웹셸 · 변조 탐지
- eval·base64_decode·system 등 위험 패턴 탐지
- 업로드·캐시 폴더의 PHP 파일
- 최근 변경 파일·숨김 파일
- 정상 소스와 비교한 변조 여부
INCIDENT RESPONSE
PHP 웹셸 탐지 · 침해 사고 대응
이미 무언가 일어났다고 의심될 때, 증거를 보존하면서 원인을 찾고 복구합니다. 같은 경로로 다시 들어오지 못하게 막는 것까지가 대응입니다.
지금 해킹이 의심되나요? 서버를 끄거나 포맷하기 전에 1566-5767로 전화 주세요. 증거 보존 방법부터 안내해 드립니다.
WHEN
이런 증상이 있나요?
- 검색 결과에 도박·성인·의약품 페이지가 보일 때SEO 스팸 삽입은 웹셸 침투 뒤에 흔히 나타나는 증상입니다.
- 접속하면 다른 사이트로 넘어가거나 경고가 뜰 때악성 리다이렉트나 악성코드 유포지로 악용되고 있을 수 있습니다.
- 업로드 폴더에 모르는 .php 파일이 있을 때웹셸일 가능성이 높습니다. 지우기 전에 연락 주세요.
- 모르는 관리자 계정이나 예약 작업이 생겼을 때공격자가 다시 들어오기 위한 통로를 만든 흔적일 수 있습니다.
- 서버 CPU·트래픽이 이유 없이 치솟을 때채굴 프로그램이나 다른 서버 공격에 쓰이고 있을 수 있습니다.
- KISA·원청·고객에게서 해킹 통보를 받았을 때사실관계 정리와 신고·통지 대응이 함께 필요합니다.
SCOPE
대응 범위
증거 보존 → 원인 분석 → 제거·복구 → 재발 방지 순서로 진행합니다.
침입 경로 추적
- 웹 서버 접근 로그 분석
- OS 이벤트·인증 로그
- DB 접속·쿼리 이력
- 침입 시점·경로 타임라인
지속 수단 제거
- 비인가 계정·SSH 키
- 예약 작업·서비스·시작 프로그램
- 변조된 설정 파일(.htaccess, web.config)
- DB에 삽입된 악성 스크립트
복구 · 정리
- 악성 리다이렉트·SEO 스팸 제거
- 검색엔진 노출 정리 안내
- 비밀번호·키 일괄 변경
- 정상 동작 확인
재발 방지
- 침입 경로가 된 취약점 조치
- 업로드 폴더 실행 차단
- PHP·솔루션 보안 업데이트
- 모니터링·정기 웹셸 스캔
보고 · 신고 지원
- 사고 분석 보고서·타임라인
- 침해지표(IoC) 정리
- KISA 침해사고 신고(118) 지원
- 개인정보 유출 여부 사실관계 정리
PROCESS
진행 절차
- 01
접수 · 초기 대응
전화로 상황을 듣고 증거 보존과 네트워크 분리 방법부터 안내합니다.
산출물: 초기 조치 안내 - 02
증거 보존 · 분석
파일·로그를 보존한 뒤 웹셸과 변조 파일, 침입 경로를 분석합니다.
산출물: 분석 결과 - 03
제거 · 복구
악성 파일과 지속 수단을 제거하고 서비스를 정상화합니다.
산출물: 복구 내역 - 04
재발 방지
침입 경로가 된 취약점과 설정을 조치합니다.
산출물: 조치 내역 - 05
보고 · 신고 지원
사고 보고서와 신고·통지에 필요한 사실관계를 정리합니다.
산출물: 사고 분석 보고서
DELIVERABLES
산출물
- 사고 분석 보고서원인·영향·조치
- 침입 타임라인언제 어떻게 들어왔는지
- 침해지표(IoC)파일 해시·IP·계정
- 재발 방지 조치 내역같은 경로 차단
FAQ
자주 묻는 질문
해킹이 의심되면 가장 먼저 무엇을 해야 하나요?
서버를 바로 포맷하거나 파일·로그를 지우지 마세요. 원인 분석에 필요한 증거가 사라집니다. 가능하면 네트워크만 분리하고, 비밀번호 변경은 해당 서버가 아닌 다른 PC에서 진행한 뒤 1566-5767로 연락 주세요.
웹셸만 지우면 끝나지 않나요?
웹셸은 결과일 뿐입니다. 들어온 경로(업로드 취약점, 오래된 솔루션, 유출된 계정 등)를 막지 않으면 같은 방법으로 다시 심어집니다. 공격자가 따로 만든 계정이나 예약 작업도 함께 찾아 제거해야 합니다.
개인정보가 유출됐는지 어떻게 알 수 있나요?
웹·DB 로그로 공격자가 어떤 데이터에 접근했는지 확인합니다. 개인정보 유출이 확인되면 법령상 신고·통지 기한(유출을 알게 된 때부터 72시간 이내 등)이 짧아 빠른 사실 확인이 중요하며, 판단에 필요한 사실관계를 정리해 드립니다.
다른 업체가 만든 사이트도 대응하나요?
가능합니다. 서버 접근 권한만 있으면 언어·솔루션과 관계없이 분석하며, 개발사와 연락이 닿지 않는 경우에도 진행할 수 있습니다.
CONTACT
무료 PHP 보안진단 신청
시스템 개요만 알려 주셔도 됩니다. 영업일 기준 1일 이내에 담당 엔지니어가 연락드립니다.
- 전화1566-5767
- 이메일sinit@sinit.co.kr
- 팩스0303-0007-5767
침해 사고가 의심되나요?
서버를 끄거나 포맷하기 전에 전화 주세요. 증거 보존 방법부터 안내해 드립니다.