### WebShell 查杀后仍有流量怎么办

第一步：确认并隔离威胁

- 立即隔离：最重要的一步是立即将受感染的服务器从网络中隔离出来。拔掉网线，或者在防火墙上设置策略，切断所有入站和出站的网络连接。这能防止攻击者继续控制服务器，并阻止他们进行横向移动，感染其他内网资产
- 确认流量来源：
  - 查看进程：使用 `netstat -ano` （Windows）或 `netstat -anp` （Linux）命令，查找建立异常外连的进程
  - 关联PID：找到可疑进程的PID（进程ID），然后使用 `ps -ef | grep [PID]` （Linux）或任务管理器（Windows）来确定该进程的详细信息，包括其父进程、启动路径和命令行参数

第二步：分析与清除持久化机制

当 WebShell 被清除后，外连流量依然存在，这表明攻击者已经利用 WebShell 留下了后门

- 排查计划任务：攻击者最常用的持久化方式之一就是利用计划任务
  - Linux：检查 `/etc/crontab`、`/etc/cron.d/`、`/var/spool/cron/` 和用户的 `crontab -l`，查找是否有可疑的定时任务，例如定时执行脚本或下载恶意文件的任务
  - Windows：使用 `schtasks` 命令或任务计划程序来检查是否存在异常的定时任务
- 排查自启动项：恶意程序可能会通过系统自启动项实现开机自启
  - Linux：检查 `/etc/rc.local`、`/etc/profile`、`~/.bashrc` 等文件
  - Windows：检查注册表的 `HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run` 和 `HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run`
- 排查系统服务：攻击者可能会创建新的系统服务
  - Windows：使用 `services.msc` 或 `sc query state=all` 命令检查是否有异常服务
  - Linux：检查 `/etc/init.d/` 或 `/lib/systemd/system/` 目录
- 排查系统后门文件：恶意文件可能被伪装成系统文件，藏在 `/tmp`、`/var/tmp` 或 `/var/shm` 等临时目录，甚至是 `/bin` 或 `/usr/bin` 下

第三步：取证与溯源

在清除所有威胁后，我们需要进行更深入的取证，以了解攻击者是如何入侵的

- 检查日志：
  - Web日志：分析Web服务器的 `access.log` 和 `error.log`，查找可疑的入侵路径
  - 系统日志：检查 `/var/log/secure` 或 `auth.log`，看是否有异常登录或权限提升记录
  - 其他日志：检查数据库、FTP 等服务的日志，寻找可疑的活动
- 文件时间戳：使用 `ls -alt` 命令，查看最近修改的文件，这有助于发现攻击者新创建的恶意文件
- 威胁情报：将可疑的 IP 地址、域名、文件哈希值提交到威胁情报平台，看它们是否与已知的恶意活动相关

第四步：修复漏洞并加固

- 漏洞修复：定位并修复被利用的漏洞。如果攻击者是通过 WebShell 入侵的，很可能是因为 Web 应用存在漏洞，例如文件上传、代码执行或反序列化漏洞
- 权限收紧：
  - 应用权限：将 Web 应用以低权限用户运行，限制其对文件系统的读写权限
  - 账户权限：删除攻击者创建的任何后门账户，并修改所有关键账户的密码
- 安全设备加固：
  - WAF/IPS：更新 WAF 和 IPS 的规则，以阻止已知的攻击 Payload
  - 端点安全：在服务器上部署 EDR，增强对恶意进程的检测和响应能力