Wissensdatenbank

Was ist eine Shell und warum sollte sie nicht auf meiner Seite sein?

Eine Shell ist ein bösartiges Skript, das Fernzugriff und Kontrolle über einen Webserver ermöglicht. Angreifer können dieses Skript verwenden, um Dateien auf Ihren Server hochzuladen, auf die Datenbank zuzugreifen, Systemeinstellungen zu ändern oder sogar den gesamten Server zu übernehmen. Shells werden normalerweise über Anwendungen mit Sicherheitslücken oder schwache Passwörter auf den Server hochgeladen. Das Vorhandensein einer Shell auf Ihrer Seite kann zu schwerwiegenden Sicherheitsverletzungen und Datenverlusten führen. Daher ist es äußerst wichtig, Shells zu erkennen und zu entfernen.

Wichtiger Hinweis: Shells werden normalerweise in PHP, Python, Perl oder anderen serverseitigen Sprachen geschrieben. Sie können jedoch mit jeder Skriptsprache erstellt werden.

Wie erkenne ich, ob sich eine Shell auf meiner Seite befindet?

Um festzustellen, ob sich eine Shell auf Ihrer Seite befindet, sollten Sie auf folgende Anzeichen achten:

• Unerwartete Dateien und Ordner: Dateien und Ordner auf Ihrem Server, die Sie zuvor nicht gesehen oder erstellt haben (insbesondere in Webverzeichnissen).
• Geänderte Dateien: Unerwartete Änderungen der letzten Änderungsdaten Ihrer Dateien.
• Hohe Serverlast: Ihr Server verbraucht mehr Ressourcen als normal (CPU, Speicher usw.).
• Seltsamer Datenverkehr: Verdächtiger Datenverkehr, der auf Ihre Seite gelangt oder von Ihrer Seite ausgeht.
• Fehlermeldungen: Unerwartete Fehlermeldungen oder Warnungen auf Ihrer Seite.
• Sicherheitswarnungen: Ihre Sicherheitssoftware oder Ihr Hosting-Provider sendet Sicherheitswarnungen.
• Benutzerbeschwerden: Ihre Benutzer melden seltsames Verhalten oder Fehler auf Ihrer Seite.

Wenn Sie eines dieser Anzeichen bemerken, besteht eine hohe Wahrscheinlichkeit, dass sich eine Shell auf Ihrer Seite befindet, und Sie müssen sofort Maßnahmen ergreifen.

Welche Methoden kann ich verwenden, um Shells zu finden?

Es gibt verschiedene Methoden, die Sie verwenden können, um Shells zu finden:

1. Manuelle Überprüfung: Sie können die Dateien auf Ihrem Server manuell überprüfen, um nach verdächtigen Dateien und Ordnern zu suchen. Diese Methode kann zeitaufwändig sein, ist aber in manchen Fällen effektiv. Es kann sich lohnen, sich besonders auf Dateien zu konzentrieren, die sich in letzter Zeit geändert haben.
2. Sicherheitsprüfung: Sie können Webanwendungs-Sicherheitsscanner oder serverseitige Sicherheitsscanner verwenden, um Ihre Website automatisch zu scannen. Diese Scanner können bekannte Shell-Signaturen und bösartigen Code erkennen.
3. Log-Analyse: Sie können Ihre Serverprotokolle (Zugriffsprotokolle, Fehlerprotokolle usw.) analysieren, um verdächtige Aktivitäten zu erkennen. Beispielsweise können Anfragen von unbekannten IP-Adressen oder fehlerhafte Dateizugriffe ein Anzeichen für Shell-Aktivitäten sein.
4. Dateiintegritätsüberwachung: Sie können Dateiintegritätsüberwachungstools (z. B. AIDE oder Tripwire) verwenden, um Änderungen an Ihren Dateien zu verfolgen. Diese Tools warnen Sie, wenn unbefugte Änderungen an Ihren Dateien vorgenommen werden.
5. Code-Analyse: Sie können Code-Analysetools verwenden, um den Quellcode Ihrer Website zu analysieren. Diese Tools können potenzielle Sicherheitslücken und bösartigen Code erkennen.
6. Shell-Erkennungstools: Es gibt spezielle Tools zur Erkennung von Shells. Diese Tools können verdächtige Dateien anhand der charakteristischen Merkmale von Shells (z. B. mit Base64 codierter Code, Eval-Funktionen) erkennen.

Schritt-für-Schritt-Anleitung (Manuelle Überprüfung):

1. Auf den Server zugreifen: Greifen Sie über eine Methode wie SSH oder FTP auf Ihren Server zu.
2. Zum Webverzeichnis navigieren: Navigieren Sie zum Webverzeichnis, in dem sich die Dateien Ihrer Website befinden (normalerweise public_html, www oder ein ähnlicher Name).
3. Dateien auflisten: Verwenden Sie den Befehl ls -lart, um die Dateien nach dem Datum der letzten Änderung zu sortieren.
4. Verdächtige Dateien überprüfen: Überprüfen Sie sorgfältig Dateien, die kürzlich geändert wurden oder die Sie zuvor noch nicht gesehen haben.
5. Dateiinhalt überprüfen: Öffnen Sie den Inhalt verdächtiger Dateien mit einem Texteditor und suchen Sie nach bösartigem Code. Achten Sie besonders auf Funktionen wie eval, base64_decode, exec.

Shell-Erkennungstools und Befehlszeilenbeispiele

Shell-Erkennungstools ermöglichen Ihnen im Vergleich zur manuellen Überprüfung einen schnelleren und umfassenderen Scan. Hier sind einige beliebte Tools und Befehlszeilenbeispiele:

• ClamAV: Eine Open-Source-Antivirensoftware. Sie kann Dateien auf Ihrer Website auf Malware scannen.

  clamscan -r /pfad/zu/ihrer/website

• rkhunter (Rootkit Hunter): Ein Tool zur Erkennung von Rootkits und potenzieller Malware.

  rkhunter --check

• LMD (Linux Malware Detect): Ein Tool zur Erkennung von Malware, das für Linux-Systeme entwickelt wurde.

  lmd -c -m /pfad/zu/ihrer/website

• find Befehl: Kann verwendet werden, um Dateien anhand bestimmter Kriterien über die Befehlszeile zu suchen. Zum Beispiel, um PHP-Dateien zu finden, die in den letzten 24 Stunden geändert wurden:

  find /pfad/zu/ihrer/website -name "*.php" -mtime -1

• grep Befehl: Kann verwendet werden, um in Dateien nach bestimmten Texten zu suchen. Zum Beispiel, um Dateien zu finden, die den Ausdruck "eval(base64_decode" enthalten:

  grep -r "eval(base64_decode" /pfad/zu/ihrer/website

Wichtiger Hinweis: Bevor Sie diese Tools verwenden, stellen Sie sicher, dass Ihr System auf dem neuesten Stand ist und die Tools korrekt konfiguriert sind.

Wie führt man eine Log-Analyse durch?

Server-Logs protokollieren die Ereignisse, die auf Ihrer Website stattfinden. Durch die Analyse dieser Logs können Sie verdächtige Aktivitäten erkennen. Hier sind einige Tipps zur Log-Analyse:

• Welche Protokolle sollten Sie überprüfen? Die wichtigsten Protokolle sind:
  • Zugriffsprotokolle: Protokollieren alle Anfragen an Ihre Website. Sie enthalten Informationen wie IP-Adressen, angeforderte URLs, Benutzeragenten und HTTP-Statuscodes.
  • Fehlerprotokolle: Protokollieren Fehler, die auf Ihrer Website auftreten. Sie enthalten Informationen wie PHP-Fehler, Datenbankfehler und andere Serverfehler.
• Worauf sollten Sie achten?
  • Unbekannte IP-Adressen: Anfragen von IP-Adressen, die noch nie auf Ihre Website zugegriffen haben oder verdächtig erscheinen.
  • Fehlerhafte Dateizugriffe: Versuche, auf nicht existierende Dateien zuzugreifen oder unbefugten Zugriff zu erhalten.
  • Anormale Anfragen: Anfragen mit langen URLs, seltsamen Parametern oder verdächtigen Benutzeragenten.
  • Hohe Anzahl von Anfragen: Eine übermäßige Anzahl von Anfragen von einer bestimmten IP-Adresse (kann ein Zeichen für einen DDoS-Angriff sein).
  • Fehlercodes: Häufiges Auftreten von Fehlercodes wie 404 (Nicht gefunden) oder 500 (Serverfehler).
• Tools zur Protokollanalyse: Sie können verschiedene Tools verwenden, um die Protokollanalyse zu erleichtern. Zum Beispiel:
  • AWStats: Ein Tool, das Webserver-Protokolle analysiert und Statistiken erstellt.
  • GoAccess: Ein Echtzeit-Webprotokoll-Analysator.
  • ELK Stack (Elasticsearch, Logstash, Kibana): Eine leistungsstarke Plattform zur Analyse und Visualisierung großer Mengen von Protokolldaten.

Beispiel aus dem echten Leben: Eine E-Commerce-Website bemerkte in ihren Serverprotokollen eine große Anzahl von POST-Anfragen von unbekannten IP-Adressen. Diese Anfragen waren Versuche, Produkte zur Website hinzuzufügen und Bestellungen aufzugeben. Die Protokollanalyse ergab, dass diese Anfragen von einem automatischen Bot stammten und die Website mit gefälschten Bestellungen gefüllt werden sollte. Durch Sicherheitsmaßnahmen konnte der Angriff abgewehrt werden.

Was tun, wenn eine Shell gefunden wird?

Wenn Sie eine Shell auf Ihrer Website finden, sollten Sie die folgenden Schritte ausführen:

1. Shell löschen: Löschen Sie die gefundene Shell-Datei umgehend von Ihrem Server.
2. Sicherheitslücke schließen: Untersuchen Sie, wie die Shell auf den Server hochgeladen wurde, und schließen Sie diese Sicherheitslücke. Dies könnte eine Schwachstelle in Ihrer Anwendung, ein schwaches Passwort oder veraltete Software sein.
3. Passwörter ändern: Ändern Sie die Passwörter aller Benutzerkonten (insbesondere Administratorkonten), Datenbankkonten und FTP-Konten.
4. System scannen: Scannen Sie Ihren Server und Ihre Website umfassend, um nach weiteren Shells oder bösartiger Software zu suchen.
5. Daten wiederherstellen (falls erforderlich): Wenn Angreifer Ihre Daten geändert oder gelöscht haben, stellen Sie die Daten aus Ihrem letzten Backup wieder her.
6. Firewall konfigurieren: Schützen Sie Ihre Website mit einer Web Application Firewall (WAF) vor zukünftigen Angriffen.
7. Sicherheitsupdates durchführen: Installieren Sie die neuesten Versionen aller Ihrer Software (Betriebssystem, Webserver, Anwendungen usw.).
8. Vorfall melden: Wenn ein Verstoß gegen personenbezogene Daten vorliegt, melden Sie den Vorfall den zuständigen Behörden (z. B. der Datenschutzbehörde).

Fallstudie: Eine Nachrichtenseite wurde aufgrund einer auf ihre Server hochgeladenen Shell gehackt. Die Angreifer verschafften sich über die Shell Zugriff auf die Seite, änderten die Startseite und veröffentlichten gefälschte Nachrichten. Die Site-Administratoren löschten die Shell sofort nach ihrer Entdeckung, schlossen die Sicherheitslücke und stellten die Site aus dem letzten Backup wieder her. Außerdem änderten sie die Passwörter aller Benutzerkonten und installierten eine Web Application Firewall auf der Site.

Maßnahmen zum Schutz vor Shell-Angriffen

Es gibt verschiedene Maßnahmen, die Sie ergreifen können, um sich vor Shell-Angriffen zu schützen:

• Verwenden Sie starke Passwörter: Verwenden Sie für alle Ihre Konten starke und einzigartige Passwörter.
• Halten Sie Ihre Software auf dem neuesten Stand: Aktualisieren Sie regelmäßig Ihre gesamte Software, einschließlich Betriebssystem, Webserver, Anwendungen und Plugins.
• Sicherheitslücken patchen: Scannen und patchen Sie regelmäßig Sicherheitslücken in Ihren Anwendungen.
• Entfernen Sie unnötige Software: Entfernen Sie nicht verwendete Software von Ihrem Server. Dies reduziert die Angriffsfläche.
• Dateiberechtigungen korrekt einstellen: Stellen Sie die Berechtigungen Ihrer Dateien und Ordner korrekt ein. Erteilen Sie nicht unnötig Schreibrechte.
• Eingaben validieren: Validieren und bereinigen Sie immer Benutzereingaben (Formulare, URL-Parameter usw.). Dies ist wichtig, um Angriffe wie SQL-Injection und Cross-Site-Scripting (XSS) zu verhindern.
• Datei-Uploads einschränken: Wenn Sie Datei-Uploads zulassen, beschränken Sie die Dateitypen und -größen. Verhindern Sie das Hochladen ausführbarer Dateien (z. B. .php, .exe).
• Verwenden Sie eine Firewall: Schützen Sie Ihre Website mit einer Web Application Firewall (WAF) vor bösartigem Datenverkehr.
• Regelmäßige Backups erstellen: Sichern Sie Ihre Website und Datenbank regelmäßig. So können Sie Ihre Daten im Falle eines Angriffs einfach wiederherstellen.
• Sicherheitsüberwachung durchführen: Überwachen Sie Ihren Server und Ihre Website regelmäßig auf Sicherheit. Verwenden Sie die Protokollanalyse, um verdächtige Aktivitäten zu erkennen.
• Zwei-Faktor-Authentifizierung verwenden: Verwenden Sie nach Möglichkeit für alle Ihre Konten die Zwei-Faktor-Authentifizierung (2FA).

Wichtiger Hinweis: Sicherheit ist keine einmalige Angelegenheit. Es ist ein kontinuierlicher Prozess. Durch regelmäßige Sicherheitsvorkehrungen und die Überwachung Ihres Systems können Sie Ihre Website vor Shell-Angriffen schützen.

Arten von Sicherheitslücken und ihre Beziehung zu Shells

Es gibt verschiedene Sicherheitslücken, die dazu führen können, dass Shells auf den Server hochgeladen werden. Hier sind die häufigsten Arten von Sicherheitslücken und ihre Beziehung zu Shells:

Shell-Typen und -Eigenschaften

Es gibt verschiedene Arten von Shells, und jede hat ihre eigenen Eigenschaften. Hier sind einige gängige Shell-Typen:

Wichtiger Hinweis: Shell-Typen und -Eigenschaften entwickeln sich ständig weiter. Daher ist es wichtig, dass Sie Ihre Sicherheitsmaßnahmen regelmäßig aktualisieren und auf neue Bedrohungen vorbereitet sind.