hunting-for-webshells-in-web-servers

用途：检测 Web 服务器上被植入的 Webshell。主要能力包括：香农熵分析，标记熵值高于 5.5 的文件；模式匹配，识别 eval()、base64_decode()、system()、passthru()、shell_exec() 等可疑函数调用；文件修改时间分析，发现近期被更改的文件；扩展名过滤，针对 .php、.jsp、.asp、.aspx、.cgi、.py 文件。使用方式：先安装依赖 pip install yara-python；确定要扫描的 Web 服务器文档根目录（如 /var/www/html、/opt/lampp/htdocs）；运行脚本 python scripts/agent.py --webroot /var/www/html --output webshell_report.json。示例：某文件熵为 6.12（阈值 5.5），匹配 eval()、base64_decode()、str_rot13()，最近修改时间在非工作时段，判定为可疑，可能是经过混淆的 Webshell。限制：资料未提供扫描性能、误报率、支持的操作系统及除上述以外的高级配置说明。