WebShell 通信拦截是什么
WebShell 是攻击者上传到 Web 服务器上的后门脚本，通过 HTTP 请求下发命令、取回结果。WAF 处于请求必经之路上，可以通过特征与行为发现它的通信流量：异常的 POST 参数名与取值、可疑的 User-Agent、规律性的心跳请求、已知工具的指纹特征。需要强调的是，WAF 拦的是通信，后门文件本身还在服务器上，所以拦截必须与主机侧排查联动，否则删掉入口点后攻击者换个路径继续用。
基本信息
| 检测信号 | 异常 POST 参数、可疑 UA、规律心跳、已知工具指纹 |
|---|---|
| 动作 | 阻断并告警，同时联动主机侧排查 |
| 互补手段 | 主机侧文件与进程检查、外连行为监测 |
| 误报来源 | 管理后台、运维脚本、健康检查的固定请求 |
| 联动对象 | 主机安全、日志平台、边界 IPS 外连检测 |
典型使用场景
- 上传功能被利用：文件上传接口未做类型与内容校验，被写入后门脚本
- 组件漏洞被打：已知 CMS 或中间件漏洞被利用上传后门
- 值守发现异常外连：服务器进程向境外地址发起连接，反查 Web 访问日志
- 日常扫描：对上传目录做特征扫描，与 WAF 日志交叉验证
- 处置验证：清理后门后确认 WAF 侧不再出现相同通信特征
- 同源排查：确认同一攻击者是否在其他站点也留下了后门
处置联动
处置联动
# 1. WAF 告警中取出源 IP、目标 URL 与请求参数特征
# 2. 主机侧定位对应文件、创建时间与所属目录
# 3. 结合访问日志回溯上传入口与首次访问时间
# 4. 清除后门并修复上传校验或组件漏洞，不要只删文件
# 5. 排查同源其他主机与站点是否有相同特征
# 6. 清理后持续观察一段时间，确认无重复植入检测视角对比
| 视角 | 能看到什么 | 局限 |
|---|---|---|
| WAF 流量 | 请求特征、参数异常、频率规律 | 加密或伪装良好的通信可能漏检 |
| 主机文件 | 后门文件内容与创建时间 | 需有文件完整性监测能力 |
| 主机外连 | 进程发起的异常外连 | 发现时往往已在攻击后期 |
| 访问日志 | 上传与访问来源、时间线 | 需要日志留存完整 |
WebShell 变种多、混淆手法常见，纯特征匹配会漏检，行为特征（固定参数名、规律间隔、异常 UA）与主机侧检测结合才有稳定效果。
只删后门不修上传点，攻击者通常几分钟内就能重新植入，必须同时修复漏洞并加强上传目录的执行权限控制。