Shell web

Définition d'un Web Shell

Un web shell est un script ou un programme implanté par des attaquants sur un serveur web pour permettre un accès et un contrôle à distance. Il fonctionne comme une porte dérobée, permettant à des personnes non autorisées d'exécuter des commandes, de télécharger et de téléverser des fichiers, et de manipuler le serveur.

Comment fonctionnent les Web Shells

Les web shells sont couramment utilisés par les attaquants pour exploiter les vulnérabilités des applications web, des systèmes de gestion de contenu ou des logiciels serveurs. En exploitant ces vulnérabilités, les attaquants obtiennent un accès non autorisé et implantent le web shell sur le serveur.

Une fois installé, un web shell fournit une interface utilisateur ou une interface en ligne de commande qui permet aux attaquants d'exécuter des commandes sur le serveur compromis. Cette interface donne aux attaquants un contrôle complet sur le serveur, leur permettant d'effectuer diverses activités malveillantes. Parmi les opérations courantes effectuées à l'aide de web shells, on trouve :

1. Exécution de commandes : Les attaquants peuvent exécuter des commandes arbitraires sur le serveur, telles que la création de nouveaux comptes utilisateur, la modification des configurations système ou l'exécution de code malveillant.

2. Opérations sur les fichiers : Les web shells permettent aux attaquants de téléverser, télécharger et modifier des fichiers sur le serveur compromis. Ils peuvent voler des données sensibles ou téléverser des malwares sur le serveur, qui peuvent être utilisés pour d'autres attaques.

3. Manipulation de bases de données : Les attaquants peuvent interagir avec les bases de données sur le serveur, leur permettant de visualiser, modifier ou supprimer des données stockées dans les bases de données.

4. Accès à distance : Les web shells fournissent un accès à distance au serveur compromis, permettant aux attaquants de maintenir le contrôle même après avoir été expulsés du système. Cela leur permet de mener des attaques persistantes ou de lancer des attaques ultérieures.

Conseils de prévention

Pour protéger les serveurs web contre les attaques de web shell, il est essentiel de suivre les meilleures pratiques de sécurité et de mettre en œuvre des mesures préventives. Voici quelques conseils pour prévenir les attaques de web shell :

1. Mises à jour régulières : Mettez régulièrement à jour les applications web, les plugins et les logiciels serveurs pour corriger les vulnérabilités de sécurité connues. Cela permet de s'assurer que les attaquants ne peuvent pas exploiter des logiciels obsolètes pour implanter des web shells.

2. Authentification forte : Mettez en place des mesures d'authentification fortes et des contrôles d'accès pour prévenir les accès non autorisés au serveur. Cela comprend l'application de politiques de mots de passe sécurisés, la mise en œuvre de l'authentification multi-facteurs et la restriction des privilèges d'accès aux seules personnes autorisées.

3. Audits de sécurité : Effectuez régulièrement des audits de sécurité pour identifier les vulnérabilités potentielles ou les signes de compromission. Utilisez des outils de sécurité pour scanner la présence éventuelle de web shells sur le serveur et les supprimer rapidement.

4. Pare-feu et systèmes de détection des intrusions : Déployez un pare-feu et des systèmes de détection des intrusions (IDS) pour surveiller le trafic réseau et détecter toute activité suspecte. Ces systèmes peuvent aider à identifier et bloquer les attaques de web shell en temps réel.

5. Éducation des utilisateurs : Sensibilisez les utilisateurs aux risques associés à l'ouverture de pièces jointes d'e-mails suspects, à la visite de sites web inconnus ou au téléchargement de logiciels non autorisés. La sensibilisation des utilisateurs peut aider à prévenir la compromission initiale qui conduit à l'installation de web shells.

En suivant ces conseils de prévention, les organisations peuvent réduire le risque d'attaques de web shell et protéger leurs serveurs web contre les accès et contrôles non autorisés.

Exemples d'attaques de Web Shell

Exemple 1 : B374k PHP Web Shell

Le B374k PHP web shell est un web shell populaire utilisé par les attaquants pour prendre le contrôle des serveurs compromis. Il est écrit en PHP et offre un large éventail de fonctionnalités à exploiter par les attaquants. Parmi les principales fonctionnalités du B374k PHP web shell, on trouve :

• Gestionnaire de fichiers : Permet aux attaquants de parcourir, télécharger, téléverser et modifier des fichiers sur le serveur.
• Exécution de commandes : Fournit une interface en ligne de commande pour exécuter des commandes arbitraires sur le serveur.
• Auto-mise à jour : Possède la capacité de se mettre à jour vers une version plus récente, rendant sa détection plus difficile.

Les attaquants téléversent généralement le B374k PHP web shell sur le serveur cible via des vulnérabilités dans les applications web ou par des identifiants FTP compromis. Une fois téléversé, ils peuvent accéder au web shell à l'aide d'un navigateur web et effectuer diverses activités malveillantes.

Exemple 2 : China Chopper Web Shell

Le China Chopper web shell est un autre web shell populaire qui a été largement utilisé par les attaquants, en particulier ceux originaires de Chine. Ce web shell est connu pour sa petite taille, ce qui le rend plus difficile à détecter par les outils de sécurité.

Parmi les fonctionnalités notables du China Chopper web shell, on trouve :

• Administration basée sur le web : Permet aux attaquants de gérer le serveur compromis par le biais d'une interface web.
• Exécution de commandes : Fournit une interface en ligne de commande pour exécuter des commandes arbitraires sur le serveur.
• Fonctions de porte dérobée : Permet aux attaquants d'établir une porte dérobée persistante sur le serveur compromis pour un accès futur.

Le China Chopper web shell est souvent délivré par diverses méthodes, notamment l'exploitation de vulnérabilités dans les applications web ou par des attaques de spear-phishing. Une fois installé, les attaquants peuvent utiliser le web shell pour mener une série d'activités malveillantes, telles que le vol de données, la propagation de malware ou le lancement de nouvelles attaques.

Les web shells posent une menace significative pour la sécurité des serveurs web. Ils fournissent aux attaquants un moyen d'accès et de contrôle à distance, leur permettant de mener diverses activités malveillantes sans être détectés. Les organisations doivent être proactives dans la mise en œuvre de mesures préventives, telles que la mise à jour régulière des logiciels, la mise en œuvre d'une authentification forte et la réalisation d'audits de sécurité. En restant vigilantes et en suivant les meilleures pratiques, les organisations peuvent protéger leurs serveurs web contre les attaques de web shell et maintenir l'intégrité et la sécurité de leurs systèmes.

Termes associés

• Remote Code Execution (RCE) : Une vulnérabilité de cybersécurité qui permet à un attaquant d'exécuter du code arbitraire sur un serveur ou une application cible.
• Command and Control (C2) : Le mécanisme par lequel les attaquants maintiennent la communication avec les systèmes compromis, souvent facilité par des web shells.