| 常见形态 | 随机命名 .php、图片目录里的可执行文件 |
|---|---|
| 特征 | eval/system/assert、base64_decode、拼接混淆 |
| 定位 | 时间窗内新增文件 + 异常访问记录 |
| 复验 | 删除后全量复扫，关注再次生成 |
按时间与特征排查 webshell
按时间与特征排查 webshell
find /www/wwwroot -type f -name '*.php' -mtime -30 -ls | head -n 40
grep -RnE 'eval\(|assert\(|base64_decode\(|shell_exec\(' /www/wwwroot --include='*.php' -l | head -n 40发现一处按「必然还有第二处」处理：webshell 常成组投放，分布在多个目录。