WebShell 通信检测是什么
从 IPS 的视角看 WebShell，关注点与 WAF 相反：WAF 看攻击者进来的请求长什么样，IPS 看服务器出去的行为是否反常——Web 服务进程主动向外部地址发起连接、在固定时间间隔发送等长报文、通过 DNS 查询外传数据。这类行为通常意味着后门已经在运行并建立了控制通道。两者的检测信号不同，必须结合使用：只有入口检测会漏掉已经落地的后门通信，只有出口检测则抓到的是既成事实。
基本信息
| 检测视角 | 服务器主动外连、异常时间段通信、心跳规律、加密可疑流量 |
|---|---|
| 典型信号 | 非业务端口外连、固定间隔等长报文、DNS 异常查询 |
| 互补手段 | WAF 入口特征检测、主机文件与进程排查 |
| 处置动作 | 隔离站点、定位后门文件、修复上传或组件漏洞 |
| 误报来源 | 服务器正常的升级源、监控上报、第三方接口调用 |
典型使用场景
- 服务器被植入后门后，出口流量出现规律性外连，IPS 先于主机侧发现异常
- 内网服务器不允许主动外连，出现外连即视为异常，可直接告警
- 排查已确认的入侵事件：用出口行为回溯后门的控制通道与时间线
- 验证清理效果：确认后门清除后相关外连特征不再出现
- 加密隧道检测：识别 DNS 或 HTTPS 隧道类外传行为
- 与其他站点交叉比对：同一控制端地址是否出现在多台服务器上
处置动作
处置动作
# 1. 确认 WebShell 文件路径、创建时间与所属目录
# 2. 结合 Web 访问日志定位上传入口与首次访问时间
# 3. 记录外连的目标地址、端口与通信规律，作为证据
# 4. 下架后门并修复上传校验或组件漏洞，不只删文件
# 5. 全站与同网段主机扫描同类文件与相同控制端地址
# 6. 清理后持续观察一段时间，确认没有重新植入与外连行为特征对照
| 特征 | 正常业务的样子 | 可疑的样子 |
|---|---|---|
| 外连目标 | 已知业务对端、固定网段 | 陌生境外地址、非常用端口 |
| 通信规律 | 随业务量波动 | 固定间隔、报文长度接近 |
| 发生时间 | 与业务高峰一致 | 深夜或长期无访问时段 |
| 协议形态 | 标准业务协议 | HTTP 中夹带二进制、DNS 长查询 |
WebShell 检测依赖行为与特征结合：只靠规则库很容易被混淆与加密绕过，只靠行为基线则难以区分自研程序的正常外连。
检测规则过宽会误报正常的服务器外连业务，例如软件升级源与监控上报，部署前先把这些已知来源整理成基线。