Webshell 检测方法有哪些

WebShell检测方法常见的三种方法如下：

• 基于流量的Webshell检测:基于流量的Webshell检测方便部署，我们可通过流量镜像直接分析原始信息。基于payload的行为分析，我们不仅可对已知的Webshell进行检测，还可识别出未知的、伪装性强的Webshell，对Webshell的访问特征（IP/UA/Cookie）、payload特征、path特征、时间特征等进行关联分析，以时间为索引，可还原攻击事件。

• 基于文件的Webshell检测:我们通过检测文件是否加密（混淆处理），创建Webshell样本hash库，可对比分析可疑文件。对文件的创建时间、修改时间、文件权限等进行检测，以确认是否为Webshell。

• 基于日志的Webshell检测:对常见的多种日志进行分析，可帮助我们有效识别Webshell的上传行为等。通过综合分析，可回溯整个攻击过程。