Notable incidents
Notable web shell incidents, from ProxyLogon to ToolShell
Factual summaries of public web shell campaigns — Equifax, Exchange ProxyLogon and ProxyShell, NetScaler, MOVEit, Ivanti, SharePoint ToolShell — and their lessons.
Referenz für Verteidiger · MITRE T1505.003
Finden Sie die Web Shell, bevor sie Ihre Daten findet.
Eine praxisnahe Referenz für Blue Teams und Incident Responder: wie Web Shells platziert werden, wo sie Spuren hinterlassen, wie man sie untersucht und wie man sie dauerhaft beseitigt und Systeme härtet.
- Bereiche
- 6
- Ausführliche Leitfäden
- 9
- Glossarbegriffe
- 12
case-0142 · correlated timelinehigh
- 10:42:07FIMw3wp.exe created /aspnet_client/.../errorpage.aspx
- 10:42:49LOGPOST /aspnet_client/.../errorpage.aspx · 1 client · no referer
- 10:42:50PROCw3wp.exe → cmd.exe /c whoami /all
- 10:45:13PROCw3wp.exe → cmd.exe → nltest /dclist:
Verteidigungskarte
Vom ersten Schreibzugriff bis zu den Lessons Learned
Sechs Bereiche, die einem Web-Shell-Angriff von Anfang bis Ende folgen. Jeder führt zu seinen Leitfäden.
01
Grundlagen
Was Web Shells sind, warum Angreifer sie nutzen und wie man sie nach Form und Verhalten einordnet.
T1505.003persistencetaxonomy1 Leitfaden · EN
02
Wie sie platziert werden
Die Schwachstellenklassen dahinter: Uploads, RCE, Dateischreib-Bugs, gestohlene Admin-Zugänge, Edge-Appliances.
file uploadRCEpath traversal1 Leitfaden · EN
03
Indikatoren & Erkennung
Dateiintegrität, Webserver-Logs, Prozessbäume und YARA/Sigma-Regeln – die vier Ebenen, auf denen Shells sichtbar werden.
FIMw3wp.exeYARASigma4 Leitfäden · EN
04
Forensische Untersuchung
Beweise sichern, den echten Erstellungszeitpunkt finden, die Zeitleiste rekonstruieren und jeden Brückenkopf eingrenzen.
timeline$MFTtimestomping1 Leitfaden · EN
05
Beseitigung & Härtung
Jeden Zugang entfernen, Offengelegtes rotieren, dann die Türen schließen: Uploads, Least Privilege, WAF, Allow-Listing.
no-exec uploadsWAFWDACSELinux1 Leitfaden · EN
06
Bekannte Vorfälle
Öffentliche Fälle von Equifax über ProxyShell bis MOVEit und ToolShell – sachlich zusammengefasst, mit Lehren für Verteidiger.
ProxyLogonProxyShellMOVEit1 Leitfaden · EN
Wo Shells Spuren hinterlassen
Vier Ebenen, ein Angriff
Eine Web Shell entgeht vielleicht einer Kontrolle, selten allen vier. Mehrschichtige Sichtbarkeit ist entscheidend.
- L1
Dateien
Neue ausführbare Dateien in ausgelieferten Pfaden, geänderte Konfigurationen, ungewöhnliche Besitzer und manipulierte Zeitstempel.
FIM · Sysmon 11 · auditd
- L2
Web-Logs
Seltene URIs, reine POST-Seiten, wenige Clients, leere Referer und stark schwankende Antwortgrößen.
W3C · combined · KQL
- L3
Prozessbäume
w3wp.exe, httpd, php-fpm oder java, die Shells und Aufklärungswerkzeuge wie whoami oder nltest starten.
Sysmon 1 · 4688 · EDR
- L4
Arbeitsspeicher
Speicherresidente Implantate, injizierte Assemblies, Filter und Module, die nie die Festplatte berühren.
memory image · modules
Leitfäden
Neueste Leitfäden
Leitfäden und Glossar erscheinen derzeit auf Englisch.
Eradication & hardening
Eradicating web shells and hardening web servers
Remove web shells without leaving the intruder a way back, then harden: safe upload handling, no-exec directories for nginx, Apache and IIS, WAF, least privilege and application allow-listing.
Forensic investigation
Investigating a web shell: forensic triage and timeline
A step-by-step forensic workflow for a suspected web shell: preservation, artifact collection on IIS and Linux, timestamp analysis, timeline building and scoping the intrusion.
Indicators & detection
YARA and Sigma rules for web shell detection
Write, test and tune YARA rules for suspicious server-side scripts and Sigma rules for web shell behaviour in logs and process telemetry — with annotated examples and a false-positive strategy.
Indicators & detection
Process-tree detection: w3wp, httpd or java spawning shells
Detect web shell activity from process telemetry: suspicious children of IIS, Apache, nginx/PHP-FPM and Java servers, with Sysmon, Event 4688, auditd, KQL and Sigma examples.
Indicators & detection
Web server log analysis for web shell detection
Find web shells in IIS, Apache and nginx access logs: rare URIs, POST-heavy files, few-client patterns, odd user agents and response sizes — with awk, PowerShell, KQL and SPL examples.
Defensiv aus Prinzip
Alles hier ist für Verteidiger geschrieben: Konzepte, Erkennungen, Forensik und Härtung. Wir veröffentlichen niemals Web-Shell-Quellcode, einsatzfähige Payloads oder Exploit-Code.