Co to jest web shell? Jak działa i dlaczego jest groźny?

Jednym z zagrożeń spotykanych w sieci jest web shell. To określenie rzadko pojawia się w codziennym języku właścicieli stron internetowych, ale w świecie administracji serwerami i cyberbezpieczeństwa jest bardzo dobrze znane. Web shell jest złośliwym kodem umieszczanym na serwerze WWW, który może umożliwić atakującemu wykonywanie poleceń, przesyłanie kolejnych plików albo utrzymywanie dostępu do przejętej strony. Nie oznacza to jednak, że jego obecność jest jednoznaczna z przełamaniem zabezpieczeń całej usługi hostingowej. Punktem wejścia może być podatna aplikacja, nieaktualna wtyczka, przejęte konto użytkownika albo nieprawidłowo zabezpieczony mechanizm przesyłania plików. Dlatego bezpieczeństwo strony internetowej zależy zarówno od ochrony infrastruktury, jak i od oprogramowania działającego na samym koncie hostingowym.

W tym artykule wyjaśniamy, czym jest web shell, jak może dostać się na stronę, do czego jest wykorzystywany i jak ograniczyć ryzyko jego pojawienia się.

• Co to jest web shell?
• Jak web shell trafia na stronę?
• Dlaczego web shell jest groźny?
• Czy web shell i backdoor oznaczają to samo?
• Czy web shell oznacza przejęcie hostingu?
• Jak SEOHOST chroni strony przed web shellami?
• Jak ograniczyć ryzyko pojawienia się web shell?

Ochrona przed złośliwymi plikami jest jednym z elementów zabezpieczeń działających na serwerach SEOHOST. Wykorzystujemy w tym celu Monarx Security, który analizuje pliki, działanie aplikacji PHP oraz wybrane zdarzenia związane z ruchem kierowanym do stron WWW. Sprawdź, jak działa ten system w praktyce.

Co to jest web shell?

Web shell to złośliwy skrypt lub fragment kodu umożliwiający zdalne wykonywanie określonych operacji na serwerze poprzez aplikację WWW. Najczęściej spotykane są web shelle napisane w językach wykorzystywanych przez strony internetowe, np. PHP, ASP.NET czy JSP.

Możesz potraktować web shell jako ukryte wejście pozostawione przez atakującego po uzyskaniu dostępu do strony. Sam plik nie musi przy tym wyglądać podejrzanie. Może posiadać nazwę przypominającą zwykły element aplikacji, znajdować się pomiędzy prawidłowymi plikami albo być fragmentem kodu dodanym do istniejącego pliku. Z tego powodu wykrywanie web shelli nie powinno polegać wyłącznie na wyszukiwaniu jednej konkretnej nazwy czy rozszerzenia.

Jak web shell trafia na stronę?

Samo uruchomienie strony internetowej i udostępnienie jej publicznie oznacza, że będzie ona dostępna nie tylko dla użytkowników, ale również dla botów, automatycznych skanerów oraz narzędzi wyszukujących podatne aplikacje. Nie ma przy tym większego znaczenia, czy prowadzisz duży sklep internetowy, firmowy serwis czy prostą stronę z kilkoma podstronami. Duża część prób ataków odbywa się automatycznie i nie jest poprzedzona zainteresowaniem konkretną firmą czy właścicielem witryny. Narzędzie sprawdza kolejne domeny, wersje oprogramowania, charakterystyczne adresy oraz znane podatności i reaguje wtedy, gdy znajdzie możliwość wykonania określonej operacji. Wbrew pozorom nawet niewielka i mało popularna strona może więc paść ofiarą próby ataku. Powinieneś przede wszystkim zadbać o to, aby takie próby miały możliwie małą szansę powodzenia, a ewentualne nieprawidłowości zostały szybko wykryte.

Więcej przykładów tego typu zagrożeń zebraliśmy w artykule Jakie zagrożenia czyhają na stronę internetową?.

I tu uwaga, Web shell nie pojawia się na serwerze bez przyczyny. Atakujący musi wcześniej uzyskać możliwość zapisania lub zmodyfikowania kodu znajdującego się na stronie.

Do takiej sytuacji może dojść m.in. przez:

• wykorzystanie podatności w CMS-ie, wtyczce, motywie lub innej aplikacji,
• nieprawidłowo zabezpieczony mechanizm przesyłania plików,
• przejęte dane dostępowe do panelu administracyjnego, FTP lub innej usługi,
• pozostawione na koncie stare i nieaktualizowane oprogramowanie,
• inną lukę umożliwiającą zapis lub wykonanie kodu na serwerze.

Zwróć uwagę szczególnie na aktualność oprogramowania, którego już nie używasz. Pozostawiona na serwerze stara instalacja WordPressa, nieaktywny plugin albo zapomniany katalog testowy nadal mogą być dostępne z internetu i stanowić potencjalny punkt wejścia.

Dlaczego web shell jest groźny?

Problemem nie jest wyłącznie obecność dodatkowego pliku. Web shell może umożliwić atakującemu dalsze działanie na przejętej stronie i utrzymanie dostępu również po wykonaniu częściowego czyszczenia serwisu.

W zależności od sposobu działania i posiadanych uprawnień web shell może służyć do:

• przesyłania i pobierania kolejnych plików,
• uruchamiania poleceń i skryptów,
• odczytywania lub modyfikowania plików strony,
• instalowania kolejnego malware,
• pozyskiwania informacji znajdujących się w przejętym środowisku,
• wykorzystania strony do rozsyłania spamu, phishingu lub kolejnych ataków,
• utrzymania dostępu po próbie wyczyszczenia infekcji.

Dlatego po wykryciu web shell nie powinieneś ograniczać się wyłącznie do usunięcia jednego znalezionego pliku. Warto również ustalić, w jaki sposób kod dostał się na stronę i czy na koncie nie znajdują się inne elementy pozostawione przez atakującego.

Czy web shell i backdoor oznaczają to samo?

Nie są to pojęcia identyczne, ale są ze sobą bardzo mocno związane. Backdoor to ogólne określenie mechanizmu pozwalającego ominąć standardowy sposób dostępu do systemu i zachować możliwość ponownego wejścia. Web shell jest jednym z rodzajów takiego backdoora, działającym poprzez serwer WWW lub aplikację internetową.

Dlatego w artykułach i raportach bezpieczeństwa możesz spotkać określenia web shell i backdoor używane obok siebie. Nie oznacza to jednak, że każdy backdoor jest web shellem.

Czy web shell oznacza przejęcie hostingu?

Nie. Wykrycie web shell na stronie nie oznacza automatycznie, że ktoś przełamał zabezpieczenia całej platformy hostingowej. Złośliwy kod może zostać zapisany w obrębie konkretnego konta lub aplikacji np. po wykorzystaniu podatnej wtyczki, przejęciu danych logowania albo wykorzystaniu błędu pozwalającego na zapis pliku.

Bezpieczeństwo strony internetowej nie kończy się więc na jednym systemie antywirusowym ani na zabezpieczeniach samego serwera. Hostingodawca odpowiada za swoją infrastrukturę i wdraża mechanizmy ograniczające zagrożenia, natomiast na tej infrastrukturze działa również oprogramowanie instalowane i utrzymywane przez właściciela serwisu. Nie oznacza to jednak, że którakolwiek ze stron zaniedbuje swoje obowiązki, jeżeli pojawi się nowa podatność lub metoda ataku. Luki bezpieczeństwa są wykrywane również w popularnych, aktywnie rozwijanych systemach, a sposoby ich wykorzystywania zmieniają się wraz z rozwojem zabezpieczeń. Między innymi z tego powodu systemy ochrony muszą być stale aktualizowane, a ich skuteczne działanie opiera się na połączeniu kilku różnych warstw bezpieczeństwa. W SEOHOST jednym z elementów takiego modelu jest Monarx Security.

Jak SEOHOST chroni strony przed web shellami?

Nie istnieje jeden mechanizm, który rozwiązuje wszystkie problemy związane z bezpieczeństwem strony internetowej dlatego stosuje się kilka wzajemnie uzupełniających się rozwiązań:

• zabezpieczenia infrastruktury,
• skanowanie plików,
• ochronę podczas wykonywania aplikacji,
• filtrowanie niepożądanego ruchu
• oraz regularne aktualizowanie samego oprogramowania.

W SEOHOST jednym z takich elementów jest Monarx Security. Monarx klasyfikuje samodzielne web shelle jako pliki złośliwe, a jego mechanizmy analizują zarówno pliki znajdujące się na serwerze, jak i określone zachowania występujące podczas działania aplikacji PHP. Dzięki temu ochrona nie opiera się wyłącznie na sprawdzaniu, czy na serwerze znajduje się plik o znanej nazwie.

Monarx działa u nas na kilku warstwach. Za analizę plików odpowiada Antivirus, ThreatShield obserwuje zachowanie aplikacji podczas wykonywania PHP, natomiast SmartWAF pomaga zatrzymywać część niepożądanego ruchu wcześniej, na warstwie sieciowej.

Żaden pojedynczy mechanizm bezpieczeństwa nie daje jednak absolutnej gwarancji ochrony przed każdym zagrożeniem. Dlatego Monarx traktujemy jako element szerszego systemu zabezpieczeń, a nie zamiennik aktualizacji WordPressa, kontroli dostępu czy prawidłowego zarządzania stroną.

Więcej informacji znajdziesz w przygotowanych przez nas materiałach:

• Monarx w SEOHOST – jak działa ochrona przed malware?
• Co obejmuje ochrona Monarx i czego nie skanuje?
• Co oznaczają zdarzenia i blokady widoczne w Monarx?

Jak ograniczyć ryzyko pojawienia się web shell?

Możesz znacząco ograniczyć ryzyko wykorzystania strony, dbając przede wszystkim o oprogramowanie, które na niej działa. Nie chodzi przy tym o wykonywanie skomplikowanego audytu każdego dnia. Najważniejsze są regularność i szybka reakcja na informacje o wykrytych podatnościach.

Zadbaj przede wszystkim o:

• aktualizowanie WordPressa, innych CMS-ów, wtyczek i motywów,
• usuwanie komponentów, których już nie używasz,
• instalowanie oprogramowania wyłącznie z zaufanych źródeł,
• silne i unikalne hasła oraz 2FA tam, gdzie jest dostępne,
• ograniczenie liczby kont posiadających uprawnienia administratora,
• regularne wykonywanie kopii zapasowych,
• śledzenie informacji o podatnościach używanego oprogramowania,
• sprawdzenie przyczyny, jeżeli po usunięciu malware pojawiają się kolejne infekcje.

Jeżeli złośliwe pliki pojawiają się ponownie, zwróć szczególną uwagę na ostatni punkt. Samo ponowne usuwanie malware może nie wystarczyć, jeżeli nadal istnieje podatność, przejęte konto albo pozostawiony element umożliwiający ponowne uzyskanie dostępu.

Web shell – co warto zapamiętać?

Web shell jest narzędziem umożliwiającym atakującemu wykonywanie operacji na przejętej stronie lub serwerze poprzez aplikację WWW. Może zostać wykorzystany jako backdoor, służyć do przesyłania kolejnych plików, instalowania malware albo utrzymywania dostępu do strony. Jego wykrycie powinno więc prowadzić nie tylko do usunięcia złośliwego kodu, ale również do sprawdzenia, w jaki sposób znalazł się on na serwerze.

Powinieneś również pamiętać, że sama obecność web shell nie oznacza automatycznie przejęcia całej infrastruktury hostingowej. W wielu przypadkach punktem wejścia jest konkretna aplikacja, jej komponent lub przejęte dane dostępowe. Dlatego najlepsze efekty daje połączenie zabezpieczeń hostingu, automatycznych systemów wykrywających zagrożenia oraz prawidłowej administracji samą stroną.

Ten materiał jest częścią naszego cyklu o zagrożeniach występujących na stronach internetowych. Zobacz również Co to jest złośliwy mailer PHP?, Co to jest uploader malware?, Co to jest phishing? oraz Co to jest adware?.

Szukasz hostingu, który łączy ochronę anty-malware z szybką infrastrukturą dla stron WWW? Sprawdź hosting SEOHOST z ochroną Monarx.