LuTeam

如果不放心网上那些公开的webshell大马，那么我们可以自己进行简单的改造，以防止自己幸幸苦苦拿下的webshell”被后门”。下面以phpwebshell为例介绍一个小方法以供参考。

由于webshell的后门一般只会获取webshell地址和密码，所以我们可以添加一些自定义判断，这样就算别人拿到webshell地址和密码，也无法完成登录：

• url参数控制

   if ($_GET['key'] != 'nobody') header('Location: http://127.0.0.1'); 

访问方式 shell.php?key=nobody

• http请求头控制

   $headers = apache_request_headers();
  if ($headers['key'] != 'nobody') header('Location: http://127.0.0.1'); 

访问方式 通过插件定义一项http请求头为 key:nobody

判断标准可以是其它任意可控项，比如自定义的cookie、user-agent等。

这个方法同样适用于敏感的管理后台等。