| 检测信号 | 异常的 POST 参数、可疑 UA、规律性心跳、已知工具指纹 |
|---|---|
| 动作 | 阻断并告警，联动排查主机 |
| 补充 | 主机侧文件与进程排查 |
处置联动
处置联动
1. WAF 告警定位来源 IP 与 URL
2. 主机侧查对应文件与最近变更
3. 清除后门并修复上传/组件漏洞
4. 观察同源其他主机是否受影响WebShell 样本变种多，特征库与行为检测要结合使用。
WebShell 通信拦截
通过特征与行为检测 WebShell 通信流量（异常参数、固定回连），与主机侧检测形成互补。
易错点
- 只清流量不查主机文件，后门仍在服务器上
- 特征过宽会把管理后台的正常请求误判为后门通信
数据来源与参考
- OWASP 文件上传防护备忘
- NIST SP 800-83（恶意软件处置）