Scanner de chevaux de Troie Web malveillants sur site Web (WebshellScanner)

Prise en charge du type de cheval de Troie d'analyse : asp/aspx/php/jsp/asa/cer
Principales fonctions du logiciel :
1. Recherchez les chevaux de Troie Web (Webshell) sur le site Web
2. Générez des rapports statistiques
Il est utilisé pour vérifier si le site Web a été piraté. Il est généralement utilisé pour des opérations sur le serveur, ou pour télécharger le code source sur le serveur en local puis utiliser ce logiciel pour effectuer une recherche.
Nous avons traité les demandes de chacun pour la première version, corrigé quelques bugs mineurs et ajouté un programme de mise à jour automatique. Le test a réussi sous Windows2003, Windows XP, Windows 2000 Server sans environnement .net. Les instructions de mise à jour simples sont les suivantes :
1. Ajoutez un module de mise à niveau automatique, la mise à niveau en ligne peut être effectuée dans l'environnement .net ; -------------------------------------------------- ------
La mise à niveau nécessite de demander au serveur de télécharger le remplacement du fichier. Si le téléchargement échoue, veuillez télécharger la mise à jour manuellement. Le programme de mise à jour nécessite que le serveur soit installé avec .net v2.0.50727 ou supérieur pour pouvoir fonctionner, de sorte que les serveurs qui ne prennent pas en charge .net ne peuvent pas utiliser les mises à jour automatiques.
2. Aucun environnement .net n'est requis pour exécuter le scanner ; -------------------------------------------------- ------
Ce problème est assez gênant. Le programme est développé en .NET et nécessite l'installation du .NET Framework. Cependant, Windows 2000, Windows XP et Windows 2003 ne disposent pas d'un environnement d'exploitation .NET 2.0 par défaut. Par conséquent, en utilisant le principe de Mobile Fetion et en utilisant le programme de Fetion pour charger le programme principal, le programme principal peut s'exécuter dans un environnement qui ne prend pas en charge .net. Vous pouvez utiliser les fichiers du package VMDotNet pour exécuter la plupart des programmes développés en .net. Si la DLL est manquante, ajoutez-la simplement.
3. Ajoutez des règles asp, principalement pour le mécanisme de contournement du webshell d'asp
; -------------------------------------------------- ------
Étant donné que les règles originales sont essentiellement des règles Lake2 et une version légèrement modifiée, de nombreux camarades ont trouvé de nombreux mécanismes pour contourner la détection, tels que l'utilisation d'Access ou d'Excel pour créer des fichiers asp, y compris des astuces telles que l'inclusion de gif, etc. Ces mécanismes de contournement sont tous abordés dans cette version. (Amis qui veulent quand même le contourner, essayez-le pour voir si mon expression régulière est robuste ou non)
4. Mise à jour des règles PHP et ajout de quelques fonctions de cryptage exécutées sous eval ; -------------------------------------------------- ------
Sous PHP, les fichiers cryptés sont d'abord déchiffrés via des fonctions puis exécutés via eval. Cette version gère plusieurs fonctions peu courantes : gzinflate, str_rot13, etc. ; PHP a de nombreuses méthodes de contournement, et c'est difficile à détecter. façon...
5. Ajout de vérifications pour les shells qui exploitent les vulnérabilités d'analyse de dossiers IIS6.0 et d'analyse de fichiers
; -------------------------------------------------- ------
Il n'y a rien à dire à ce sujet. Le répertoire s'appelle 1.asp ou le fichier s'appelle 1.asp 2.jpg. Il est évidemment piraté et doit être soigneusement vérifié pour vérifier le problème.
6. Correction d'un bug (le premier répertoire sous le lecteur ne peut pas être analysé) ; -------------------------------------------------- ------
Je l'ai découvert accidentellement lors des tests. Il semble que personne ne m'ait soumis ce problème. Je suppose que tout le monde a analysé le répertoire directement et n'a pas analysé le disque (il n'est vraiment pas nécessaire d'analyser le disque ~)