Webshell 排查：文件完整性基线

发布时间:2026-09-06 10:04

## 适用场景 服务器疑似被上传恶意脚本文件时，最忌讳的是在目录里凭感觉翻文件。可靠的排查依赖一件事：事先建立文件完整性基线。有基线，新增与改动一目了然；没有基线，海量正常文件与恶意文件混在一起，排查如同大海捞针。 ## 步骤清单 第一步，建基线。在确认干净的时间点，对 Web 目录生成文件清单与哈希，妥善保存。以后每次发布后更新基线，保持与现实同步。第二步，比差异。事发时重新生成清单，与基线对比，列出新增与内容变更的文件，范围立刻收敛。第三步，特征扫描。对差异文件与全部脚本文件做特征检查，关注常见危险函数调用、异常编码的超长行、伪装成图片的脚本文件。第四步，时间线交叉。用文件修改时间与访问日志对齐，还原文件何时被写入、写入前后有哪些可疑请求，定位到具体漏洞入口。 ## 验证方法 排查结论要能自证：找到的恶意文件与日志中的写入请求对得上，漏洞入口与利用路径说得通，三者形成完整链条才算定位完成。只删文件不找入口，相同的入侵会再来一次。 ## 注意事项 排查前先做快照留证，给后续分析留材料。处置时除了删除恶意文件，还要修复漏洞入口、轮换服务器上的凭证。排查环境与办公环境隔离，避免分析过程二次感染。顺云用户排查时可配合控制台操作日志核对时间线：文件写入时刻前后有哪些登录与配置变更，两侧记录互相印证，定位能快不少。排查结束后出一份简报，写明入口、影响范围与整改项，既是本次的复盘材料，也顺手更新了对基线的理解；还没有基线的团队，把这次当作建基线的起点，亡羊补牢的版本永远好过没有。