首页 ›存档› 技术 › 查看内容

Python安全运维实战：针对几种特定隐藏方式的Webshell查杀

2018-3-30 13:00 |来自: 互联网 294 0

摘要: 作者：北门喂猫来源： http://www.freebuf.com/articles/web/131350.html Webshell一直都是网站管理员痛恨看到的东西，一旦在网站目录里看到了陌生的webshell基本说明网站已经被攻击者拿下了。站在攻击者的角度， ...

作者：北门喂猫

来源：

http://www.freebuf.com/articles/web/131350.html

Webshell一直都是网站管理员痛恨看到的东西，一旦在网站目录里看到了陌生的webshell基本说明网站已经被攻击者拿下了。站在攻击者的角度，要想渗透一台网站服务器，第一个目标也是想方设法的寻找漏洞上传webshell。

对于webshell的防护通常基于两点：一是在攻击者上传和访问时通过特征匹配进行检测拦截或**文件类型阻止上传；二就是日常基于webshell文件特征的静态查杀（也有基于日志的，在这里不做讨论）。第一种方法不是我们今天要讨论的，waf、安全狗等一系列工具可以实现相应的功能。第二种方式静态查杀，通常会匹配一些关键字、危险函数、一些特征代码及他们的各种加密形式，以遍历文件的方式来进行查杀。然而还有很多种通过破坏遍历规则（使恶意文件无法被遍历到）的隐藏方式，通常可以达到避免被查杀的目的。今天我们要说的就是：如何利用python实现针对这几种特定隐藏方式的webshell查杀。

0X01 ntfs交换数据流隐藏webshell

NTFS交换数据流（alternate data streams，简称ADS）是NTFS磁盘格式的一个特性，在NTFS文件系统下，每个文件都可以存在多个数据流，就是说除了主文件流之外还可以有许多非主文件流寄宿在主文件流中。它使用资源派生来维持与文件相关的信息，虽然我们无法看到数据流文件，但是它却是真实存在于我们的系统中的。

利用ntfs交换数据流隐藏文件的方式很久以前就出现了，介绍利用这种方式来隐藏webshell的文章也不少。这种隐藏方式主要针对一句话木马，因为如果被包含的文件为大马则失去了隐藏的意义（若被包含的文件为大马，会直接跳转到大马页面，原页面也就相当于被篡改了，很容易就会被发现）。前两天做了个测试，却发现自己手头经常使用的几个webshell查杀工具居然都检测不出来，最好的结果只报了一个可疑文件包含，便考虑自己动手写一写。

整体逻辑很简单，首先遍历web应用所在的文件夹，找出所有利用ntfs交换数据流隐藏的文件，组成一个list；其次遍历所有.asp文件（以asp为例），找出所有采用了包含头的.asp文件，将其路径作为value，将被包含的文件路径作为key，建立一个dict。与之前的list做对比，若在dict中发现了存在于list中的元素，则断定它为webshell，最后将其路径输出，并同时将包含它的.asp文件路径输出。说白了就是以这个包含了ntfs交换数据流文件的动作来断定它是否为webshell。

使用到的windows命令：dir /r ＃显示文件的备用数据流

# -*- coding: cp936 -*-import os,os.pathimport re
def searchNTFS(catalog): #搜索所有ntfs ads文件目录，返回list resultL= []
 forroot,dirs,files in os.walk(catalog):#利用os.walk()递归遍历文件 line= ''command = 'cd '  root   '

声明：文章版权归原作者所有部分文章转自互联网如有侵权请联系 [邮箱地址] 删除

路过

雷人

握手

鲜花

鸡蛋

收藏分享邀请

上一篇：超微公司采用服务器设计节省数据中心空间下一篇：【Python破解九宫格数独】：九宫格生成与数独求解

Python安全运维实战：针对几种特定隐藏方式的Webshell查杀

相关分类