Webシェルの仕組み
「シェル」は、コンピューターに命令を出すための操作画面のことです。Webシェルは、その操作画面をWebページとして使えるようにしたもので、攻撃者は特定のURLにアクセスするだけで、サーバー上のファイルの閲覧・書き換え・削除や、コマンドの実行ができるようになります。
いわば、サーバーの中に攻撃者専用の管理画面を作られてしまう状態です。バックドアの中でも、特に強力なものといえます。
WordPressサイトでの例
WordPressはPHPで動いているため、WebシェルもPHPファイルとして設置されるのが一般的です。
- プラグインやテーマの脆弱性を突いて、ファイルのアップロード機能から送り込まれる
wp-content/uploads/の中や、WordPress本体に似たファイル名で置かれる- 中身が暗号化・難読化されていて、ファイルを開いても何をするコードなのか読み取れない
Webシェルを設置されると、攻撃者は改ざん・スパムページの生成・迷惑メールの送信などを自由に行えます。同じサーバーにある別のサイトまで被害が広がることもあります。
見つけ方・確認方法
wp-content/uploads/の中に.phpファイルがないか確認する- ランダムな文字列のファイル名や、更新日時が不自然に新しいファイルがないか確認する
- サーバーのアクセスログに、見覚えのないPHPファイルへのアクセスが繰り返し記録されていないか確認する
疑わしいファイルを見つけても、すぐに削除するのは避けてください。いつ・どこから設置されたかを調べる手がかりになるため、まずはファイルとログを保存しておくことをおすすめします。
対策
- テーマ・プラグインを最新に保ち、ファイルをアップロードされる脆弱性を残さない
wp-content/uploads/でPHPが実行されないよう、サーバーの設定で制限する- WAF（Webアプリケーションファイアウォール）で、不正なアップロードやアクセスを遮断する
- ファイルの改ざんを検知する仕組みを入れる
