一、简述
Webshell是骇客采用的恶意代码，其最终目的是更新和维护对现已遭受攻击的网站安装程序的长久浏览。Webshell实际上不可以攻击或运用远程操作漏洞，所以它自始至终是攻击的第2步。
骇客能够运用常用的漏洞，如SQL注入、远程操作文件涵盖(rfid)、ftp客户端，以至于采用跨站点代码(XSS)做为攻击的一方面，以上传恶意代码。常用功能限于shell系统命令实行、程序运行、数据库查询枚举和文件管理器。
为何采用webshell?
1.不断的远程连接
Webshell大多数涵盖1个后门，容许骇客远程连接，并且能够在任何时刻操纵网站服务器。如此一来骇客省掉了每一次浏览攻击服务器须要运用漏洞的时长。骇客也将会挑选自个修复漏洞，以确保安全并没有别人会运用该漏洞。如此一来，骇客能够维持不张扬，防止与系统管理员开展一切互动。值得一提的是，许多流行的Webshell采用登陆密码认证和别的技术来确保安全仅有上传Webshell的骇客才可以浏览它。这种技术包含将代码锁住到特殊的自己设计https头、特殊的cookie值、特殊的电脑ip地址或这种技术的组成。
2.网站控制权更新
除了服务器搭建错误，要不然webshell将在网站网站服务器的普通用户管理权限下实行，该普通用户管理权限有局限的。利用采用webshell，骇客能够试着利用运用服务器系统上的本地漏洞来实行管理权限更新攻击，以假设根管理权限，在Linux和别的根据Unix的服务器系统中，根管理权限是“超级管理员”。利用浏览根帐户，骇客通常能够在服务器系统上做一切事儿，包含安装程序、修改管理权限、增加和删除用户、盗取登陆密码、载入电子邮箱这些。
骇客在入侵一个企业网站后，大多数会将jsp或php后门文件与网站服务器网站根目录下一切正常的网页源代码混在一块，之后就能够采用谷歌浏览器来浏览jsp或是php后门，拥有1个系统命令实行环境，以做到操纵网站服务器的最终目的。Webshell通常有3种检查办法:根据访客的办法、根据Agent方式、根据服务器监控方式。这篇文章重中之重探讨根据访客的webshell检查。
全部步骤，一开始是搜集webshell数据信息，之后运用互联网安全专业人士知识对webshell形成的访客和一切正常访客开展观测探讨、数据分析，发掘出不错的能区别两大类访客的特点，之后采用二随机森林算法练习建模，之后评定优化算法特性作出主要参数调节等，最终将建模做产品化着地。原文中会先后进行详细描述。如果您的网站一直被提示有webshell木马文件，可以找专业的网站安全公司帮您清理解决，国内SINE安全，绿盟，鹰盾安全，深信服，启明星辰都是比较有名的安全公司。
