| 检测视角 | 服务器主动外连、异常时间段访问、特定参数特征 |
|---|---|
| 联合 | 与 WAF 的 WebShell 规则互补（一个看流量一个看行为） |
| 处置 | 隔离站点、排查上传点、加固上传功能 |
处置动作
处置动作
1. 确认 WebShell 文件路径与创建时间
2. 结合访问日志定位上传入口
3. 下架后门并修复上传校验
4. 全站扫描排查同类文件WebShell 检测依赖行为与特征结合，单一手段容易漏检。
WebShell 通信检测
检测 Web 服务器进程发起的可疑外连或异常 POST 行为，是发现网站被植入后门的重要线索。
易错点
- 只删后门不修上传点，很快会被重新植入
- 检测规则过宽会误报正常的服务器外连业务
数据来源与参考
- OWASP Top 10（注入与文件上传风险）
- NIST SP 800-83（恶意软件处置）