Web Shell Detector

Web Shell Detector – это PHP-скрипт, который помогает находить и идентифицировать оболочки (shells) PHP/CGI(Perl)/ASP/ASPX. Детектор веб-шеллов имеет базу сигнатур «веб-шеллов», которая помогает идентифицировать «веб-шелл» с точностью до 99%. Используя новейшие технологии JavaScript и CSS, детектор веб-шеллов обладает легким и удобным интерфейсом.

Web Shell Detector выпущен под лицензией MIT http://www.opensource.org/licenses/mit-license.php

Консольная версия (python): https://github.com/emposha/Shell-Detector

Участники

Piotr Łuczko

John Thornton

Обнаружение

Количество известных шеллов: 604

Требования

PHP 5.x, OpenSSL (только для безопасной отправки файлов)

Использование

Чтобы активировать Детектор веб-шеллов:

1. Загрузите shelldetect.php и shelldetect.db в корневой каталог

2. Откройте файл shelldetect.php в вашем браузере

   Пример: http://www.website.com/shelldetect.php

3. Используйте имя пользователя и пароль по умолчанию

   Имя пользователя: admin Пароль: protect

4. Проверьте все подозрительные файлы; если некоторые файлы выглядят подозрительно, отправьте их команде http://www.shelldetector.com. После отправки файл будет проверен, и если будут обнаружены угрозы, он будет добавлен в базу сигнатур веб-шеллов «web shell detector».

5. Если какие-либо веб-шеллы найдены и идентифицированы, используйте ваш FTP/SSH клиент, чтобы удалить их с вашего веб-сервера (ВАЖНО: будьте осторожны, так как некоторые шеллы могут быть интегрированы в системные файлы!).

Демо

http://www.emposha.com/demo/shelldetect/

Параметры

• extension - расширения, которые следует сканировать
• showlinenumbers - показать номер строки, где используется подозрительная функция
• dateformat - используется с временем доступа и временем изменения
• langauge - если я хочу использовать другой язык
• directory - сканировать конкретный каталог
• task - выполнять различные задачи
• report_format - используется с is_cron(true) формат файла для отчета
• is_cron - если true, работает как cron (без вывода)
• filelimit - максимальное количество файлов для сканирования (если более 30000, следует сканировать конкретный каталог)
• useget - активировать переменную _GET для простого получения задач
• authentication - защитить скрипт с помощью пользователя и пароля; чтобы отключить, просто установите NULL
• remotefingerprint - получить базу сигнатур шеллов удаленно

История изменений

• 1.66 спасибо Джону Торнтону (John Thornton) за небольшие доработки и поддержку PHP 5.3.3

• 1.64 добавлена поддержка ini-файла настроек (на случай, если вы хотите использовать одинаковые настройки без изменения кода), переписан метод вывода, исправлен is_cron, добавлен итальянский перевод (спасибо Marco Saiu)

• 1.63 добавлен новый механизм распознавания шеллов, обновлены сигнатуры шеллов.

• 1.62 версия jQuery откачена до 1.7.x из-за ошибки с диалогом jQuery UI, добавлен новый тип файлов, обновлены сигнатуры шеллов.

• 1.61 добавлен новый способ отправки подозрительных файлов, некоторые исправления CSS и кода, добавлены новые сигнатуры шеллов.

• 1.6 добавлена поддержка для указания не-шелловых файлов (но эти файлы все равно необходимо удалить), добавлен индикатор загрузчика.

• 1.52 добавлен мета-тег noindex (чтобы удалить скрипт из результатов поиска), добавлена опция сканирования всех файлов: extension = *

• 1.51 обновление функции unpack

• 1.5 добавлена функция unpack, добавлена проверка версии приложения, исправлено множество предупреждений, исправлен обработчик ошибок.

• 1.4 добавлена опция скрытия подозрительных файлов, изменено сканирование файлов.

• 1.3 изменена отправка подозрительных файлов на shelldetector.com, добавлено поле email с возможностью получать уведомления о подозрительных файлах.

• 1.2 добавлена функция шифрования, добавлена аутентификация, исправлены некоторые мелкие ошибки

• 1.1 изменение функции fingerprint изменен regex показа строки

• 1.0 первая версия