阿里云异常网络连接-可疑WebShell通信行为的分析解决办法

Posted 2020-12-21

阿里云异常网络连接-可疑WebShell通信行为的分析解决办法

分类专栏： 网站安全 网站被黑 服务器安全 网站被篡改 服务器运维 服务器代维 如何防止网站被黑 如何防止网站被侵入 如何防止网站被挂马 网站安全服务 阿里云 网站安全检测 百度网址安全中心 怎么查找网站漏洞 网站安全 文章标签： 异常网络连接-可疑WebShell通信行为 后门webshell文件 网站后门一句话webshell 网站后门webshell文件 阿里云ecs服务器安全提示
版权
2018年10月27日接到新客户网站服务器被上传了webshell脚本***后门问题的求助,对此我们sine安全公司针对此阿里云提示的安全问题进行了详细分析，ECS服务器被阿里云提示异常网络连接-可疑WebShell通信行为,还会伴有，网站后门-发现后门(Webshell)文件,以及提示网站后门-一句话webshell的安全提示，但是大部分都是单独服务器ECS的用户,具体被阿里云提示的截图如下：

点开消息后的内容为：受影响资产 iZ2393mzrytZ 访问者IP

Webshell URL

事件说明：云盾检测到有疑似***正在通过Webshell访问该服务器，可能是因为服务器上网站存在漏洞被植Webshell或者因为已发现的Webshell未及时删除导致******。***可通过该Webshell窃取网站核心资料，篡改数据库等危险操作。

解决方案：建议按照告警中提示URL查找网站对应磁盘文件进行删除，并及时登录安骑士"网站后门"控制台，对未隔离的后门文件进行及时隔离，避免更一步损失。

看到这些阿里云提示内容后,我们对客户网站出现的问题进行分析,阿里云的提示是反复性的提醒客户,比如9.26日被提示锅2次，过了网站被上传webshell文件后，又被阿里云安全提示,首先我们要清楚为何会被提示可疑webshell通信行为以及网站后门-一句话webshell和发现后门webshell文件,服务器里的网站程序存在漏洞导致被******上传了webshell脚本后门文件。

那么什么是阿里云提示的网站后门webshell文件呢？

webshell文件就是***通过网站的漏洞***并上传了一个脚本文件，而这个脚本文件语言有很多种比如php文件，asp文件，aspx文件，jsp文件，具体什么是webshell？通俗容易理解的意思就是这个脚本文件是***后门，有强大的管理功能可以修改网站目录下的所有文件,如果服务器中网站目录安全权限设置的不当,可以浏览整个服务器里的盘符，以及网站文件任意修改,具体这个webshell文件到底有多强大看下截图就知道了,如图：

一般这个后门脚本文件的大小在50KB到150KB之间,具体这个后门webshell文件的代码内容是什么呢那么我来截图给大家看下：

看到上述图片中的功能了吗，这就是网站后门webshell文件,这个***代码可以对网站进行篡改,网站经常被篡改跳转到博彩网站上去，以及数据被篡改,都是因为网站有漏洞才导致被上传了这些脚本后门webshell文件。

那么什么是网站后门一句话webshell的呢？

上面第一个介绍了什么是webshell文件,大家了解后会对这个一句话webshell不太理解,那么由我们sine安全通俗给大家来讲就是用简短的程序后门代码构造成的脚本文件就是一句话webshell文件,具体事例如图：

代码很小，只有一行的代码，所以会被称为一句话webshell，主要功能就是通过POST的方式去提交参数，并可以上传任意文件到网站的目录下，而且这个webshell***,利于隐蔽或嵌入到任意程序文件中来混淆，而且特殊隐蔽性质的一句话webshell是无法通过阿里云安全所扫描到而提示的。

接下来我们来了解一下可疑WebShell通信行为是什么就会通过上述两个问题的分析就会大体知道具体意思了。

那么什么是异常网络连接-可疑WebShell通信行为呢？

就是通过网站漏洞上传了后门webshell文件后通过网址形式的访问并且操作了上传或修改文件的这个通信过程就会被提示为异常网络连接-可疑WebShell通信行为。

如何解决总被上传后门webshell文件？

1.对网站进行详细的网站安全检测,以及网站漏洞的检测对网站代码的安全审计,比如对图片上传进行扩展名的严格过滤以及对图片目录进行脚本权限限制，对生成静态文件权限进行控制只允许生成html和htm.

2.网站发布文件内容编辑器的使用一定要先验证管理员权限才能使用编辑器,对网站的后台管理目录千万别用默认的文件名为admin或guanli或manage等.

3.服务器安全方面要加强对磁盘目录的权限防止跨目录浏览和修改,以及网站iis进程或apache进程运行的账户进行单独账户设置出来分别授予权限.

4.网站中要对sql注入***进行防范,对提交中的内容进行过滤或转义,对网站管理员的密码进行加强设置为大小写字母和数字加符号的组合最低12位以上。

5.尽量不要用开源的程序如dedecms,metinfo,WordPress,ecshop,zencat,Discuz,phpcms,帝国cms等等如果对程序代码不熟悉的话建议找专业做网站安全公司来处理此问题,国内推荐Sine安全公司,绿盟,启明星辰等等安全公司.

6.单独服务器linux系统和win2008,win2012系统的服务器安全加固以及网站安全部署都要详细的进行防护,因为即使网站程序再安全,服务器不安全的话那么照样还是会被牵连，所以说知己知彼才能百战百胜,希望各位有此问题的朋友多多了解这个问题的严重性以及问题的解决方案.