Notable incidents
Notable web shell incidents, from ProxyLogon to ToolShell
Factual summaries of public web shell campaigns — Equifax, Exchange ProxyLogon and ProxyShell, NetScaler, MOVEit, Ivanti, SharePoint ToolShell — and their lessons.
Référence défensive · MITRE T1505.003
Trouvez le web shell avant qu'il ne trouve vos données.
Une référence pratique pour les équipes bleues et les intervenants en réponse à incident : comment les web shells sont déposés, où ils laissent des traces, comment enquêter, puis éradiquer et durcir durablement.
- Domaines
- 6
- Guides approfondis
- 9
- Termes du glossaire
- 12
case-0142 · correlated timelinehigh
- 10:42:07FIMw3wp.exe created /aspnet_client/.../errorpage.aspx
- 10:42:49LOGPOST /aspnet_client/.../errorpage.aspx · 1 client · no referer
- 10:42:50PROCw3wp.exe → cmd.exe /c whoami /all
- 10:45:13PROCw3wp.exe → cmd.exe → nltest /dclist:
Carte de défense
Du premier fichier déposé au retour d'expérience
Six domaines qui suivent une intrusion par web shell de bout en bout. Chacun mène à son hub de guides.
01
Fondamentaux
Ce que sont les web shells, pourquoi les attaquants s'en servent et comment les classer selon leur forme et leur comportement.
T1505.003persistencetaxonomy1 guide · EN
02
Comment ils sont déposés
Les classes de vulnérabilités à l'origine du dépôt : uploads, RCE, écriture de fichiers, accès admin volés, équipements de bordure.
file uploadRCEpath traversal1 guide · EN
03
Indicateurs et détection
Intégrité des fichiers, journaux du serveur web, arbres de processus et règles YARA/Sigma : les quatre couches où les shells apparaissent.
FIMw3wp.exeYARASigma4 guides · EN
04
Investigation forensique
Préserver les preuves, retrouver la vraie date de création, reconstruire la chronologie et délimiter chaque point d'ancrage.
timeline$MFTtimestomping1 guide · EN
05
Éradication et durcissement
Retirer chaque point d'ancrage, renouveler les secrets exposés, puis fermer les portes : uploads, moindre privilège, WAF, liste blanche.
no-exec uploadsWAFWDACSELinux1 guide · EN
06
Incidents marquants
Des cas publics, d'Equifax à ProxyShell, MOVEit et ToolShell, résumés factuellement avec les leçons pour les défenseurs.
ProxyLogonProxyShellMOVEit1 guide · EN
Où les shells laissent des traces
Quatre couches, une intrusion
Un web shell peut échapper à un contrôle, rarement aux quatre. Tout se joue sur la visibilité en couches.
- L1
Fichiers
Nouveaux fichiers exécutables dans les chemins servis, configurations modifiées, propriétaires inhabituels et horodatages falsifiés.
FIM · Sysmon 11 · auditd
- L2
Journaux web
URI rares, pages uniquement en POST, une poignée de clients, référents vides et tailles de réponse très variables.
W3C · combined · KQL
- L3
Arbres de processus
w3wp.exe, httpd, php-fpm ou java qui lancent des shells et des outils de reconnaissance comme whoami ou nltest.
Sysmon 1 · 4688 · EDR
- L4
Mémoire
Implants en mémoire, assemblies injectées, filtres et modules qui ne touchent jamais le disque.
memory image · modules
Guides
Derniers guides
Les guides et le glossaire sont pour l'instant publiés en anglais.
Eradication & hardening
Eradicating web shells and hardening web servers
Remove web shells without leaving the intruder a way back, then harden: safe upload handling, no-exec directories for nginx, Apache and IIS, WAF, least privilege and application allow-listing.
Forensic investigation
Investigating a web shell: forensic triage and timeline
A step-by-step forensic workflow for a suspected web shell: preservation, artifact collection on IIS and Linux, timestamp analysis, timeline building and scoping the intrusion.
Indicators & detection
YARA and Sigma rules for web shell detection
Write, test and tune YARA rules for suspicious server-side scripts and Sigma rules for web shell behaviour in logs and process telemetry — with annotated examples and a false-positive strategy.
Indicators & detection
Process-tree detection: w3wp, httpd or java spawning shells
Detect web shell activity from process telemetry: suspicious children of IIS, Apache, nginx/PHP-FPM and Java servers, with Sysmon, Event 4688, auditd, KQL and Sigma examples.
Indicators & detection
Web server log analysis for web shell detection
Find web shells in IIS, Apache and nginx access logs: rare URIs, POST-heavy files, few-client patterns, odd user agents and response sizes — with awk, PowerShell, KQL and SPL examples.
Défensif par conception
Tout est écrit pour les défenseurs : concepts, détections, forensique et durcissement. Nous ne publions jamais de code source de web shell, de charge utile déployable ni de code d'exploitation.