Как защититься от «бестелесных» веб-шеллов

Здесь рассматривается развивающаяся природа кибератак, с акцентом на «бестелесные» веб-оболочки в качестве ключевого инструмента для удаленного управления веб-серверами. Эти веб-оболочки отличаются от традиционных тем, что не оставляют следов на сервере, что делает их обнаружение и анализ более сложными.

Рассматриваются различные типы веб-оболочек, включая те, которые создаются через заранее созданные файлы, эксплуатируя ошибки в веб-приложениях, внесение изменений в исходный код, скрытие в базах данных или модулях сервера, и, в частности, фокус на скрытии в памяти процесса веб-сервера. Различные методы внедрения PHP-кода в процесс, эксплуатации ошибок и обхода отключенных функций. Приведен кейс-стади по PHP-багу (#80663), иллюстрирующий развитие от ошибки использования после освобождения до потенциальной записи в произвольные адреса памяти.

Рассказывается о жизненном цикле PHP в сочетании с веб-сервером, подробно описывая функцию инициализации (RINIT) и потенциал ее эксплуатации для создания «оторванной» веб-оболочки. В статье рассматриваются конфигурации PHP в Apache и PHP-FPM, обсуждаются проблемы и преимущества каждой из них.

Обсуждается разработка кода оболочки, включая необходимость безопасного выполнения в потоках и использование функции управления ресурсами PHP. Представлены этапы эксплуатации для создания «оторванной» веб-оболочки, включая загрузку PHP-скрипта, поиск по памяти, цепочки ROP и внедрение обратных дверей в процессы веб-сервера.

Статья завершается акцентом на обнаружении «бестелесных» веб-оболочек с использованием инструментария EDR/SELinux. Методы обнаружения включают мониторинг внедрения кода в процессы, сканирование внедренного кода с использованием правил YARA и обнаружение после эксплуатации через аудит новых процессов, файловой активности и сетевой активности.