防止webshell “被后门”的小方法

如果不放心网上那些公开的webshell大马,那么我们可以自己进行简单的改造,以防止自己幸幸苦苦拿下的webshell”被后门”。下面以phpwebshell为例介绍一个小方法以供参考。

由于webshell的后门一般只会获取webshell地址和密码,所以我们可以添加一些自定义判断,这样就算别人拿到webshell地址和密码,也无法完成登录:

  • url参数控制
     if ($_GET['key'] != 'nobody') header('Location: http://127.0.0.1'); 

访问方式 shell.php?key=nobody

  • http请求头控制
     $headers = apache_request_headers();
    if ($headers['key'] != 'nobody') header('Location: http://127.0.0.1'); 

访问方式 通过插件定义一项http请求头为 key:nobody

判断标准可以是其它任意可控项,比如自定义的cookie、user-agent等。

这个方法同样适用于敏感的管理后台等。

发表评论

电子邮件地址不会被公开。


*