PHP常见过WAF Webshell及最简单的检测方法
1. 简介
Webshell是指嵌入在Web服务器上的恶意代码，它通过Web界面与远程服务器进行交互，控制服务器并进行各种攻击活动。基于WAF（Web应用防火墙）的Webshell检测是一种常用的防御手段。
2. 常见过WAF的PHP Webshell类型
下面列举了一些常见的PHP Webshell类型，这些Webshell都有可能会绕过WAF检测：
2.1 常规混淆Webshell
这种Webshell通过对代码进行混淆、编码、加密等手段，使得其在WAF检测规则中无法被准确匹配。
2.2 动态生成Webshell
动态生成Webshell是指Webshell代码不直接存在于服务器上，而是通过服务器的合法功能生成恶意代码。由于动态生成的特性，这种Webshell很难被静态检测规则所发现。
2.3 二次加密Webshell
二次加密Webshell是在原有的Webshell基础上，再次进行加密，通过使用加密算法等手段来绕过WAF检测。
3. 最简单的Webshell检测方法
下面将介绍一种最简单的Webshell检测方法，通过检测Webshell的核心特征，来判断是否存在Webshell。
3.1 检测文件后缀
Webshell一般使用.php、.php5、.phtml等常见的PHP文件后缀，可以通过判断文件后缀是否为这些常见后缀来进行基本的Webshell检测。
$file_extension = strtolower(pathinfo($file_path, PATHINFO_EXTENSION));
$allowed_extensions = array('php', 'php5', 'phtml');
if (!in_array($file_extension, $allowed_extensions)) {
echo "可能存在Webshell";
}
3.2 检测文件内容
Webshell代码通常会包含一些可疑的关键字或函数，我们可以通过检测文件内容是否包含这些关键字来进行Webshell检测。
$file_content = file_get_contents($file_path);
$suspicious_keywords = array('eval', 'system', 'exec', 'passthru');
foreach ($suspicious_keywords as $keyword) {
if (strpos($file_content, $keyword) !== false) {
echo "可能存在Webshell";
break;
}
}
这种方法虽然简单，但是并不能百分百准确地检测是否存在Webshell，因为Webshell的变体非常多，检测规则很容易被绕过。因此，建议结合其他防御手段，如使用WAF、定期检查服务器日志等。
4. 总结
Webshell的出现严重威胁了服务器的安全性，因此对Webshell进行检测和防御是非常重要的。本文介绍了一种简单的Webshell检测方法，通过检测文件后缀和文件内容的关键字，可以初步判断是否存在Webshell。然而，这种方法并不完善，建议在实际应用中结合其他安全措施，提高服务器的安全性。