用途：在环境中主动狩猎 Web Shell 活动迹象，适用于威胁情报指向相关攻击活动、事件响应中界定入侵范围、EDR/SIEM 告警触发，以及定期安全评估和紫队演练。
主要能力：采用假设驱动流程，覆盖从制定假设、确定数据源、执行查询、分析结果、验证发现、关联活动到记录与报告的完整步骤。关键概念涉及 T1505.003 Web Shell、T1190 利用公开应用、T1059.001 PowerShell。
使用方式：需要 EDR 平台（如 CrowdStrike Falcon、Microsoft Defender for Endpoint、SentinelOne）、SIEM（Splunk、Elastic、Sentinel）、部署 Sysmon、开启 Windows 安全事件日志转发，并接入威胁情报源进行 IOC 关联。工具还包括 Velociraptor、Sigma 规则等。典型场景包括 IIS 漏洞植入 China Chopper、漏洞上传 ASPXSpy、图片文件中隐藏 PHP shell、Tomcat 管理控制台部署 JSP shell。
输出格式：Hunt ID、Technique、Host、User、Evidence、Risk Level、Confidence、Recommended Action。
限制：具体查询语句、命令与配置细节暂未提供；实际效果取决于遥测覆盖与日志质量。