1)Webshell是用來控制服務器的,在控制服務器的過程中,就會觸發許多系統函數,例如eval、z0(菜刀特征)、shell,需監控這些關鍵的函數,具體需要查看是哪個網頁發起的請求進行鑒別。
2)Webshell連接可能使用base64編碼,正常功能也會使用base64容易引起誤報,一般與eval數量對比,數量差異較小時可能被上傳 webshell進行編碼通訊。
3)除了系統函數、base64編碼通訊外,還存在int_set("display_errors","o"),為webshell流量特征之一。
4)還可以監控ifconfig whoami ipconfig 等關鍵命令,這是獲得Webshell后基本上都會執行的命令。