Détecter et neutraliser des webshells

Le formulaire d'envoi d'avatar du site acceptait n'importe quel fichier. Des scripts ont été déposés dans /var/www/html.

1. Trouvez les webshells (motifs eval(, base64_decode, system(, shell_exec…) → answer nombre <n>
2. Adresse IP qui les a utilisés (journal /var/log/nginx/access.log) → answer ip <ip>
3. Mettez-les en quarantaine dans /root/quarantine/ (déplacement, pas suppression : ce sont des preuves)
4. Interdisez l'exécution PHP dans /upload/ : dans /etc/nginx/sites-enabled/site, ajoutez avant le bloc PHP général : location ~* ^/upload/.*\.php$ { deny all; } — puis testez et rechargez NGINX