Co to jest web shell? Jak działa i dlaczego jest groźny?

Web shell to złośliwy skrypt lub fragment kodu, który może umożliwić atakującemu zdalne wykonywanie operacji na serwerze za pośrednictwem aplikacji WWW. Taki kod może służyć do przesyłania plików, uruchamiania poleceń, instalowania kolejnego malware lub utrzymywania dostępu do przejętej strony. Jego obecność nie oznacza jednak automatycznie przełamania zabezpieczeń całej infrastruktury hostingowej. Punktem wejścia może być podatna aplikacja, nieaktualna wtyczka, przejęte konto użytkownika albo nieprawidłowo zabezpieczony mechanizm przesyłania plików.

Wyjaśniamy, czym jest web shell, w jaki sposób może dostać się na stronę, dlaczego stanowi zagrożenie i jak ograniczyć ryzyko infekcji. Pokazujemy również, jaką rolę w wykrywaniu tego rodzaju malware odgrywają mechanizmy bezpieczeństwa dostępne w hostingu SEOHOST.

• Co to jest web shell?
• Jak web shell trafia na stronę?
• Dlaczego web shell jest groźny?
• Czy web shell i backdoor oznaczają to samo?
• Czy web shell oznacza przejęcie hostingu?
• Jak SEOHOST chroni strony przed web shellami?
• Jak ograniczyć ryzyko pojawienia się web shella?
• Web shell – co warto zapamiętać?

Co to jest web shell?

Web shell to skrypt lub fragment kodu pozwalający wykonywać określone operacje na serwerze poprzez aplikację internetową. W przypadku włamania jest wykorzystywany jako narzędzie umożliwiające atakującemu dalsze działania w przejętym środowisku. Najczęściej spotykane są web shelle napisane w językach używanych do tworzenia aplikacji WWW, takich jak PHP, ASP.NET czy JSP.

Możesz potraktować web shell jako ukryte wejście pozostawione przez atakującego po uzyskaniu dostępu do strony. Sam plik nie musi przy tym wyglądać podejrzanie. Może mieć nazwę przypominającą zwykły element aplikacji, znajdować się pomiędzy prawidłowymi plikami albo występować jako fragment kodu dodany do istniejącego pliku.

Dlatego wykrywanie web shelli nie powinno polegać wyłącznie na wyszukiwaniu jednej konkretnej nazwy czy rozszerzenia. Istotne są również analiza zawartości plików, ich zachowania oraz okoliczności, w których pojawiają się na serwerze.

Jak web shell trafia na stronę?

Samo uruchomienie strony internetowej i udostępnienie jej publicznie oznacza, że będzie ona dostępna nie tylko dla użytkowników, ale również dla botów, automatycznych skanerów oraz narzędzi wyszukujących podatne aplikacje. Nie ma przy tym większego znaczenia, czy prowadzisz duży sklep internetowy, firmowy serwis czy prostą stronę z kilkoma podstronami. Duża część prób ataków odbywa się automatycznie i nie jest poprzedzona zainteresowaniem konkretną firmą czy właścicielem witryny. Narzędzie sprawdza kolejne domeny, wersje oprogramowania, charakterystyczne adresy oraz znane podatności i reaguje wtedy, gdy znajdzie możliwość wykonania określonej operacji. Wbrew pozorom nawet niewielka i mało popularna strona może więc paść ofiarą próby ataku.

Warto podkreślić, że web shell nie pojawia się na stronie bez przyczyny. Aby umieścić go w aplikacji, atakujący musi uzyskać możliwość zapisania lub zmodyfikowania kodu znajdującego się na serwerze.

Do takiej sytuacji może dojść między innymi przez:

• wykorzystanie podatności w CMS-ie, wtyczce, motywie lub innej aplikacji,
• nieprawidłowo zabezpieczony mechanizm przesyłania plików,
• przejęte dane dostępowe do panelu administracyjnego, FTP lub innej usługi,
• pozostawione na koncie stare i nieaktualizowane oprogramowanie,
• inną lukę umożliwiającą zapis lub wykonanie kodu na serwerze.

Zwróć uwagę szczególnie na aktualność oprogramowania, którego już nie używasz. Pozostawiona na serwerze stara instalacja WordPressa, nieaktywny plugin albo zapomniany katalog testowy nadal mogą być dostępne z internetu i stanowić potencjalny punkt wejścia. Dlatego samo aktualizowanie głównej strony nie zawsze wystarcza – warto również kontrolować pozostałe aplikacje i pliki znajdujące się na koncie hostingowym.

Więcej przykładów podobnych zagrożeń znajdziesz w artykule Jakie zagrożenia czyhają na stronę internetową?.

Dlaczego web shell jest groźny?

Problemem nie jest wyłącznie obecność dodatkowego pliku na serwerze. Web shell może umożliwić atakującemu dalsze działanie na przejętej stronie i utrzymanie dostępu również po częściowym usunięciu infekcji. Zakres możliwych operacji zależy od sposobu działania złośliwego kodu oraz uprawnień, z jakimi jest wykonywany.

Web shell może zostać wykorzystany do:

• przesyłania i pobierania kolejnych plików,
• uruchamiania poleceń i skryptów,
• odczytywania lub modyfikowania plików strony,
• instalowania kolejnego złośliwego oprogramowania (malware),
• pozyskiwania informacji znajdujących się w przejętym środowisku,
• wykorzystania strony do rozsyłania spamu, phishingu lub kolejnych ataków,
• utrzymania dostępu po próbie wyczyszczenia infekcji.

Niektóre web shelle pozwalają wykonywać wiele różnych czynności, inne realizują tylko kilka określonych funkcji. Nie należy więc zakładać, że każdy znaleziony skrypt daje atakującemu identyczne możliwości. Znaczenie mają zarówno jego konstrukcja, jak i konfiguracja przejętego środowiska.

Usunięcie pojedynczego web shella nie zawsze oznacza zakończenie infekcji. Po wykryciu takiego kodu należy również ustalić, w jaki sposób dostał się na stronę, oraz sprawdzić, czy na koncie nie pozostały inne złośliwe pliki, przejęte konta lub podatne komponenty umożliwiające ponowne włamanie.

Czy web shell i backdoor oznaczają to samo?

Nie są to pojęcia identyczne, choć są ze sobą blisko związane. Backdoor to ogólne określenie mechanizmu pozwalającego ominąć standardowy sposób dostępu do systemu i zachować możliwość ponownego wejścia. Web shell wykorzystywany przez atakującego może pełnić właśnie funkcję takiego backdoora, umożliwiając wykonywanie operacji przez serwer WWW lub aplikację internetową.

Dlatego w artykułach i raportach bezpieczeństwa możesz spotkać określenia web shell oraz backdoor używane obok siebie. Nie oznacza to jednak, że każdy backdoor jest web shellem. Backdoor może działać również w innych komponentach systemu, bez wykorzystania interfejsu WWW.

Czy web shell oznacza przejęcie hostingu?

Nie. Wykrycie web shella na stronie nie oznacza automatycznie, że ktoś przełamał zabezpieczenia całej platformy hostingowej. Złośliwy kod może zostać zapisany w obrębie konkretnego konta lub aplikacji, np. po wykorzystaniu podatnej wtyczki, przejęciu danych logowania albo wykorzystaniu błędu pozwalającego na zapis pliku.

To ważne rozróżnienie, ponieważ skutki włamania do pojedynczej aplikacji nie muszą oznaczać uzyskania dostępu do innych kont klientów czy do administracji całego serwera. Zakres naruszenia zależy od uprawnień przejętej aplikacji, sposobu konfiguracji środowiska oraz tego, czy atakującemu udało się wykorzystać kolejne podatności.

Bezpieczeństwo strony internetowej nie kończy się na jednym systemie antywirusowym ani na zabezpieczeniach samego serwera. Hostingodawca odpowiada za swoją infrastrukturę i wdraża mechanizmy ograniczające zagrożenia, natomiast w tym środowisku działa również oprogramowanie instalowane i utrzymywane przez właściciela serwisu. Nowe podatności są wykrywane nawet w popularnych, aktywnie rozwijanych aplikacjach, a sposoby ich wykorzystywania zmieniają się wraz z rozwojem zabezpieczeń.

Dlatego skuteczna ochrona wymaga współdziałania kilku mechanizmów bezpieczeństwa oraz regularnego aktualizowania oprogramowania. W SEOHOST jednym z elementów takiego modelu jest Monarx Security.

Jak SEOHOST chroni strony przed web shellami?

Nie istnieje jeden mechanizm, który rozwiązuje wszystkie problemy związane z bezpieczeństwem strony internetowej. Z tego powodu w środowisku hostingowym stosuje się kilka uzupełniających się rozwiązań, obejmujących:

• zabezpieczenia infrastruktury serwerowej,
• analizę i skanowanie plików,
• ochronę podczas wykonywania aplikacji,
• filtrowanie niepożądanego ruchu sieciowego,
• regularne aktualizowanie oprogramowania strony.

Monarx Security pozwala wykrywać web shelle jako złośliwe pliki, a jego mechanizmy analizują zarówno zawartość chronionej przestrzeni dyskowej, jak i określone zachowania występujące podczas działania aplikacji PHP. Dzięki temu ochrona nie opiera się wyłącznie na wyszukiwaniu plików o znanych nazwach czy porównywaniu ich z listą rozpoznanych sygnatur.

W konfiguracji SEOHOST Monarx działa na kilku warstwach:

• Monarx Antivirus z Active Protection – analizuje pliki i może automatycznie reagować na rozpoznane złośliwe oprogramowanie.
• ThreatShield – obserwuje zachowanie aplikacji podczas wykonywania kodu PHP i pomaga zatrzymywać określone próby wykorzystania podatności.
• SmartWAF – działa na warstwie sieciowej i może blokować część niepożądanego ruchu przed dotarciem do aplikacji.

Nie każdy atak musi zostać zatrzymany przez wszystkie wymienione mechanizmy. Poszczególne warstwy odpowiadają za inne rodzaje zdarzeń i wzajemnie się uzupełniają. Żaden pojedynczy system bezpieczeństwa nie daje jednak absolutnej gwarancji ochrony przed każdym zagrożeniem. Monarx traktujemy więc jako element szerszego zestawu zabezpieczeń, a nie zamiennik aktualizacji WordPressa, kontroli dostępu czy prawidłowego zarządzania stroną.

Jeżeli chcesz dowiedzieć się więcej o działaniu systemu i sposobie interpretowania wykryć, przeczytaj również:

• Monarx w SEOHOST – jak działa ochrona przed malware? – wprowadzenie do mechanizmów ochrony dostępnych na hostingu.
• Co obejmuje ochrona Monarx i czego nie skanuje? – zakres analizy plików, aplikacji PHP i ruchu sieciowego.
• Co oznaczają zdarzenia i blokady widoczne w Monarx? – informacje o wykrytych zagrożeniach i zablokowanych zdarzeniach.

Jak ograniczyć ryzyko pojawienia się web shella?

Możesz znacząco ograniczyć ryzyko wykorzystania strony, dbając przede wszystkim o oprogramowanie, które na niej działa. Nie chodzi przy tym o wykonywanie skomplikowanego audytu każdego dnia. Najważniejsze są regularność, kontrola dostępu i szybka reakcja na informacje o wykrytych podatnościach.

Zadbaj przede wszystkim o:

• Aktualizacje – regularnie aktualizuj WordPressa, inne systemy CMS, wtyczki i motywy.
• Niepotrzebne komponenty – usuwaj nieużywane aplikacje, rozszerzenia i stare instalacje pozostawione na serwerze.
• Zaufane źródła – instaluj oprogramowanie wyłącznie z wiarygodnych repozytoriów i stron producentów.
• Bezpieczeństwo kont – stosuj silne, unikalne hasła oraz uwierzytelnianie dwuskładnikowe (2FA) tam, gdzie jest dostępne.
• Uprawnienia administratorów – ograniczaj liczbę kont posiadających dostęp do krytycznych ustawień i plików.
• Kopie zapasowe – regularnie wykonuj backupy i sprawdzaj możliwość odtworzenia strony.
• Informacje o podatnościach – śledź komunikaty dotyczące luk w używanym oprogramowaniu i instaluj poprawki bezpieczeństwa.
• Powracające infekcje – ustalaj przyczynę ponownego pojawiania się złośliwych plików, zamiast ograniczać się do ich kolejnego usuwania.

Ostatni punkt jest szczególnie ważny. Jeżeli po usunięciu web shella lub innego malware na stronie ponownie pojawia się złośliwy kod, przyczyną może być nadal aktywna podatność, przejęte konto albo pozostawiony przez atakującego mechanizm umożliwiający powrót.

Web shell – co warto zapamiętać?

Web shell może umożliwiać wykonywanie operacji na przejętej stronie lub serwerze za pośrednictwem aplikacji WWW. Atakujący może wykorzystywać go jako backdoor, przesyłać kolejne pliki, instalować malware albo utrzymywać dostęp do środowiska po częściowym usunięciu infekcji. Dlatego wykrycie takiego kodu powinno prowadzić nie tylko do jego usunięcia, lecz także do sprawdzenia, w jaki sposób znalazł się na serwerze.

Równie ważne jest ustalenie zakresu naruszenia. Obecność web shella w jednej aplikacji nie oznacza automatycznie przejęcia całej infrastruktury hostingowej. Skuteczna ochrona polega na połączeniu zabezpieczeń serwera, mechanizmów wykrywania zagrożeń, aktualnego oprogramowania i odpowiedniego zarządzania dostępem.

Ten materiał jest częścią naszego cyklu o zagrożeniach występujących na stronach internetowych. Sprawdź również, czym jest złośliwy mailer PHP, uploader malware, phishing oraz adware.

Szukasz hostingu, który łączy ochronę anty-malware z wydajną infrastrukturą dla stron WWW? Sprawdź hosting SEOHOST z ochroną Monarx Security. Jeśli przenosisz istniejącą stronę od innego operatora, możesz również skorzystać z bezpłatnej migracji do SEOHOST.