Web Shell Nedir, Nasıl Tespit Edilir ve Temizlenir?
Web shell, saldırganın bir sunucuya yüklediği ve tarayıcı üzerinden komut çalıştırmasına, dosya yönetmesine ve kalıcı erişim sağlamasına yarayan küçük bir betik dosyasıdır.
Genellikle güvenlik açığı bulunan bir yükleme formu, eski bir eklenti ya da zayıf yönetici paneli üzerinden yerleştirilir; dosya adı normal bir sistem dosyası gibi gizlenir ve fark edilmeden uzun süre çalışabilir.
📑 Bu Rehberde Neler Var?
- Web Shell Nedir?
- Web Shell Sunucuya Nasıl Bulaşır?
- Sunucuda Web Shell Olduğunu Gösteren Belirtiler Nelerdir?
- Web Shell Nasıl Tespit Edilir? Yöntemlerin Karşılaştırması
- Adım Adım Web Shell Tespiti Nasıl Yapılır?
- Web Shell Tespit Edildiğinde Ne Yapılmalı?
- Web Shell Saldırılarından Nasıl Korunulur?
- Sıkça Sorulan Sorular
Web Shell Nedir?
Genellikle PHP, ASP veya JSP gibi sunucu taraflı dillerle yazılır ve sitenin kendi dosyalarıyla karışacak şekilde isimlendirilir. Bir resim dosyasıymış gibi görünen, hatta uzantısı resim olup içeriği kod olan örneklerine de rastlıyoruz.
Web shell tek başına bir saldırı değildir; saldırının devamını sağlayan bir araçtır. Saldırgan sisteme bir kez sızdıktan sonra tekrar aynı açığı kullanmak zorunda kalmamak için bu kapıyı açık bırakır.
Web Shell Sunucuya Nasıl Bulaşır?
Web shell'in sunucuya girişi neredeyse hiçbir zaman tesadüf değildir; genellikle bir güvenlik açığının sonucu olarak ortaya çıkar. Dosya yükleme formlarında yapılan yetersiz doğrulama, güncellenmemiş eklenti ve temalar, zayıf yönetici şifreleriyle korunan paneller ve SQL enjeksiyonu gibi açıklar bu konuda en sık karşılaştığımız senaryolardır.
Örnek bir senaryoda, bir e-ticaret sitesinde kullanılan eski bir eklentideki dosya yükleme açığı sayesinde saldırgan, uzantısını gizleyerek bir PHP dosyasını sunucuya bırakabilir. Bu tür zafiyetlerin erken yakalanması için düzenli web uygulama güvenlik testi yaptırmak, web shell riskini kaynağında azaltmanın en etkili yollarından biridir.
Sunucuda Web Shell Olduğunu Gösteren Belirtiler Nelerdir?
⚠️ Dikkat Edilmesi Gereken Belirtiler
Sunucu kaynaklarında açıklanamayan yükselme, dosya listesinde tanımadığınız veya son değişiklik tarihi yakın olan dosyalar, bilinmeyen bir yönetici hesabının açılması, sitenizin arama sonuçlarında spam içerikler göstermesi ve giden ağ trafiğinde beklenmedik artışlar, web shell varlığının tipik işaretleridir.
Bu belirtilerin tek başına görülmesi mutlaka saldırı anlamına gelmez, ancak birkaçının bir arada ortaya çıkması incelemeyi geciktirmemeniz gerektiğinin bir göstergesidir. Sahada en çok gözden kaçan belirti, sitenin görünürde normal çalışması ama arka planda arama motoru spam linklerinin servis edilmesidir.
Web Shell Nasıl Tespit Edilir? Yöntemlerin Karşılaştırması
Web shell tespiti tek bir yöntemle güvenilir biçimde yapılamaz; farklı yaklaşımların bir arada kullanılması gerekir. Aşağıdaki tablo, en sık kullanılan tespit yöntemlerini ve sınırlılıklarını özetliyor.
| Yöntem | Ne Yakalar | Sınırlılığı |
|---|---|---|
| Manuel dosya incelemesi | Bilinen desenler, şüpheli fonksiyonlar | Zaman alır, gizlenmiş kodu kaçırabilir |
| Dosya bütünlüğü izleme | Yetkisiz dosya değişiklikleri | Kurulum sonrası ekleme olmalı |
| Log ve trafik analizi | Anormal istek desenleri, bilinmeyen URL'ler | Büyük log hacminde uzmanlık gerektirir |
| WAF / IDS tabanlı tespit | Bilinen saldırı imzaları | Yeni ve özel yazılmış shell'leri geç yakalayabilir |
| Uç nokta güvenliği (AV/EDR) | Davranışsal anomaliler, bilinen zararlılar | Sunucu bazlı koruma kurulu olmalı |
🤖 Yapay Zeka Destekli Tespit
Modern uç nokta ve ağ güvenliği çözümleri, imza eşleştirmenin ötesine geçerek dosya davranışını ve çalışma zamanı anomalilerini analiz ediyor. Bu yaklaşım, daha önce hiç görülmemiş bir web shell varyantını bile şüpheli davranışından yakalayabiliyor.
Adım Adım Web Shell Tespiti Nasıl Yapılır?
Şüpheli bir durumla karşılaştığınızda sistematik ilerlemek, hem zaman kazandırır hem de kritik bir dosyayı atlamanızı engeller.
- Dosya zaman damgalarını kontrol edin Son değişiklik tarihi bilinen bakım dönemleriyle uyuşmayan dosyaları listeleyin.
- Şüpheli fonksiyon taraması yapın eval, base64_decode, system, exec gibi fonksiyonların sık kullanıldığı dosyaları ayrıca inceleyin.
- Dosya izin ve boyut anomalilerine bakın Normalde statik olan dosyaların izinlerinin veya boyutunun değişmiş olması uyarıcı bir işarettir.
- Sunucu ve erişim loglarını analiz edin Bilinmeyen dosyalara yapılan tekrarlayan POST istekleri genellikle shell kullanımının izidir.
- Giden ağ trafiğini izleyin Sunucudan beklenmedik adreslere giden bağlantılar, veri sızdırma veya komut kontrol trafiğine işaret edebilir.
Bu adımları manuel yürütmek küçük sitelerde mümkün olsa da, kurumsal ölçekte düzenli dış ağ güvenlik analizi ile desteklemek daha sağlıklı sonuç verir.
Web Shell Tespit Edildiğinde Ne Yapılmalı?
Temizlik Sırasında Dikkat Edilecekler
Şüpheli dosyayı silmeden önce adli inceleme için kopyasını alın, sunucuyu ağdan izole edin, kullanılan tüm yönetici ve FTP şifrelerini değiştirin ve açığın kaynağını kapatmadan sadece dosyayı silmekle yetinmeyin; saldırgan aynı yoldan tekrar girebilir.
Temiz bir yedekten geri dönüş genellikle en güvenilir yoldur, ancak yedeğin de tarih olarak sızma öncesine ait olduğundan emin olunmalıdır. Sunucu tarafında kalıcı bir savunma hattı için uç nokta güvenliği çözümleriyle güvenlik duvarı katmanını birlikte çalıştırmak, benzer bulaşmaların erken fark edilmesini sağlar.
Web Shell Saldırılarından Nasıl Korunulur?
Önleme, tespitten her zaman daha az maliyetlidir. Dosya yükleme alanlarının sıkı doğrulanması, eklenti ve CMS güncellemelerinin düzenli takip edilmesi, yönetici panellerine çok faktörlü doğrulama eklenmesi ve kod tarafında güvenlik gözden geçirmesi yapılması web shell riskini önemli ölçüde azaltır.
Sitenizin sürekli bakım ve izlenme ihtiyacı varsa, bu süreci bakım, güvenlik ve performans optimizasyonu kapsamında düzenli bir rutine bağlamak, tek seferlik temizliklerden çok daha sürdürülebilir bir koruma sağlar.
Sıkça Sorulan Sorular (SSS)
Web shell, saldırganın bir sunucuya yüklediği ve tarayıcı üzerinden komut çalıştırma, dosya yönetme ve kalıcı erişim sağlama imkanı veren küçük bir betik dosyasıdır.
Dosya zaman damgaları, şüpheli fonksiyon taraması, dosya bütünlüğü izleme, log analizi ve ağ trafiği gözlemi bir arada kullanılarak tespit edilir; tek bir yöntem yeterli olmaz.
Şüpheli dosyanın kopyasını alıp izole ettikten sonra şifreleri değiştirin, açığın kaynağını kapatın ve mümkünse sızma öncesine ait temiz bir yedekten geri dönün.
Web shell, backdoor olarak işlev gören bir araç türüdür; genellikle web sunucusu üzerinden tarayıcıyla erişilen ve komut çalıştırmaya imkan veren bir dosya biçimindedir.
Dosya yükleme formlarının sıkı doğrulanması, düzenli güncelleme, çok faktörlü kimlik doğrulama ve periyodik güvenlik testleri web shell riskini önemli ölçüde azaltır.
Sonuç: Web Shell Riskini Yönetmek Sürekli Bir Süreçtir
Web shell tespiti tek seferlik bir tarama değil, dosya bütünlüğü izleme, log takibi ve düzenli güvenlik testlerinin bir arada yürütüldüğü sürekli bir disiplindir. Sunucu altyapınızın bu tür saldırılara karşı ne kadar dayanıklı olduğundan emin değilseniz, bir uzman ekiple birlikte kapsamlı bir değerlendirme yaptırmak güvenli bir ilk adım olur; dilerseniz İnvekor ekibiyle iletişime geçerek sitenizin mevcut durumunu birlikte gözden geçirebiliriz.
Sisteminizin Güvenliğini Şansa Bırakmayın
Detaylı bir analiz ve özel teklif için uzmanlarımızla iletişime geçin. 24 saat içinde size dönüş yapalım.
Bu İçerik Hakkında: Bu içerik İnvekor Bilgi Teknolojileri uzmanları tarafından hazırlanmıştır. Yayın öncesinde admin tarafından teknik doğruluk açısından incelenmiştir. İçerik en son 22 Ekim 2026 tarihinde güncellenmiştir.