PHP Web Shell IOC Tespiti

PHP web shell'leri, sunuculara yetkisiz erişim sağlamak için kullanılan kötü niyetli yazılımlardır. Bu tür yazılımlar, genellikle web uygulamalarında bulunan zayıf noktaları hedef alarak sisteme sızar ve kötü amaçlı faaliyetlerde bulunur. Web shell tespiti, siber güvenlik açısından kritik bir öneme sahiptir. Bu yazıda, PHP web shell'lerinin tespitinde kullanılan bazı göstergeleri (IOC - Indicator of Compromise) ele alacağız.

• Dosya İsimleri ve Uzantıları: Web shell'leri genellikle sıradan dosya isimleri ve uzantıları kullanır. Örneğin, "shell.php", "cmd.php" gibi isimler sıkça görülür. Bu dosyaların varlığı, şüpheli bir durumun göstergesi olabilir.
  
• Şüpheli Kodlar: PHP dosyalarında özellikle 'eval', 'base64_decode', 'exec', 'system' gibi fonksiyonların aşırı kullanımı, kötü niyetli bir web shell'in belirtisi olabilir. Bu fonksiyonlar, zararlı kodların çalıştırılmasını sağlamak için sıkça kullanılır.
  
• Erişim Günlükleri: Sunucu erişim günlükleri, şüpheli IP adreslerinin tespit edilmesinde yardımcı olabilir. Özellikle, belirli bir dosyaya yapılan anormal sayıda erişim, bir web shell'in kullanımına işaret edebilir.
  
• Dosya Değişiklikleri: Web shell'leri genellikle mevcut dosyaları değiştirerek veya yeni dosyalar ekleyerek çalışır. Dosya bütünlüğü izleme sistemleri, dosya sisteminde beklenmedik değişiklikleri tespit etmek için kullanılabilir.
  
• HTTP İstekleri: Web shell'leri genellikle HTTP istekleri aracılığıyla uzaktan kontrol edilir. Bu nedenle, anormal veya beklenmedik HTTP istekleri, potansiyel bir tehditin göstergesi olabilir.

Sonuç olarak, PHP web shell'lerinin tespiti, bir sunucunun güvenliğini sağlamak adına oldukça önemlidir. Yukarıda belirtilen IOC'ler, sistem yöneticilerinin ve güvenlik uzmanlarının dikkat etmesi gereken önemli alanlardır. Bu tür tespit yöntemlerinin uygulanması, sistemin güvenliğini artırmak için kritik bir adımdır.