 là hai khái niệm không còn xa lạ với các kỹ sư bảo mật. Những "cửa hậu" này cho phép kẻ tấn công duy trì quyền truy cập trái phép vào hệ thống, thực hiện các thao tác từ xa mà không cần khai thác lỗ hổng lại từ đầu. Tuy nhiên, nhiều người vẫn thường nhầm lẫn giữa Webshell và Backdoor, cũng như chưa nắm rõ cách thức phát hiện và phòng chống chúng hiệu quả.

Hiểu rõ bản chất của Webshell và Backdoor, phân biệt sự khác nhau giữa chúng

Khám phá các loại Webshell và Backdoor phổ biến đang tồn tại

Các loại Webshell phổ biến theo ngôn ngữ lập trình

Nắm vững kỹ thuật phát hiện hiện đại theo cách của các chuyên gia hàng đầu

Áp dụng các biện pháp phòng chống chủ động để bảo vệ hệ thống

 (cửa hậu) trong an ninh mạng là một cơ chế ẩn được cài đặt sau khi hệ thống bị xâm nhập, nhằm giúp kẻ tấn công dễ dàng truy cập từ xa trở lại mà bỏ qua các cơ chế bảo mật thông thường. Về bản chất, backdoor cho phép kẻ tấn công chiếm 

 hệ thống bị nhiễm, tương tự như các công cụ quản trị hợp pháp nhưng phục vụ mục đích xấu.

Thông qua backdoor, hacker có thể làm bất cứ gì trên máy nạn nhân: gửi/nhận tệp, thực thi hoặc xóa file, đánh cắp dữ liệu, cài thêm malware, thậm chí điều khiển nhiều máy thành mạng botnet phục vụ tấn công khác.

Backdoor có thể tồn tại dưới nhiều hình thức. Ví dụ, kẻ tấn công có thể 

tạo một tài khoản quản trị ẩn

 âm thầm chờ nhận lệnh điều khiển từ máy chủ của hacker. Backdoor cũng có thể do chính nhà phát triển cố ý hoặc vô tình tích hợp vào phần mềm/hệ thống (chẳng hạn một tài khoản mặc định hoặc đoạn mã bí mật còn sót lại).

 – một webshell được cấy vào phần mềm SolarWinds Orion qua chuỗi cung ứng, cho phép hacker thực thi mã từ xa bên trong hệ thống Orion. Điều này cho thấy backdoor có thể xuất hiện ngay cả trong các sản phẩm phần mềm hợp lệ nếu quy trình phát triển hoặc phân phối bị xâm phạm.

 là một dạng backdoor đặc thù được triển khai dưới dạng tập tin kịch bản (script) trên máy chủ web. Webshell thường là một file mã độc (ví dụ 

...) được cài lên máy chủ và kẻ tấn công có thể kích hoạt nó bằng cách truy cập qua giao diện web (HTTP(S)). Khi webshell được thực thi, nó cho phép hacker gửi các lệnh hệ thống tùy ý thông qua trình duyệt, giống như việc thực hiện các thao tác trên một "shell" từ xa.

Về bản chất, webshell chính là một 

 phục vụ mục đích quản trị hệ thống: cho phép quản lý file, thực thi lệnh, quản lý cơ sở dữ liệu, thậm chí thêm/sửa/xóa tài khoản người dùng... từ xa. Ban đầu, một số công cụ webshell được tạo ra cho quản trị viên hợp pháp nhằm tương tác với máy chủ web dễ dàng (ví dụ: các web-based file manager). Tuy nhiên sau đó, tin tặc đã lợi dụng những công cụ này hoặc tự viết webshell cho mục đích xấu.

Hiện nay có rất nhiều biến thể webshell khác nhau, từ đơn giản vài dòng mã đến phức tạp. Một số webshell phổ biến thường được giới hacker sử dụng gồm: 

 – đây là các webshell PHP nổi tiếng giúp thực thi lệnh và quản lý server từ xa. Ngoài ra còn có các webshell nâng cao như 

, cung cấp giao diện đồ họa trên web kèm nhiều tiện ích (terminal, quản lý database, gửi mail, v.v.) để kiểm soát hệ thống mục tiêu.

Phân biệt giữa Webshell và Backdoor

 tập trung vào môi trường web. Nói cách khác, 

mọi webshell đều có thể xem là backdoor, nhưng không phải backdoor nào cũng là webshell

. Sự khác biệt chính nằm ở phương thức và phạm vi hoạt động:

 Backdoor là khái niệm rộng, bao gồm mọi phương thức giúp truy cập trái phép vào hệ thống (cấp hệ điều hành, ứng dụng, mạng, firmware thiết bị...). Trong khi đó, webshell chỉ giới hạn trên máy chủ web và được kích hoạt qua giao thức HTTP/HTTPS. Một backdoor thông thường (ví dụ Trojan) có thể chạy như một tiến trình hệ thống hoặc dịch vụ mạng, lắng nghe kết nối hoặc chủ động kết nối ra ngoài. Ngược lại, webshell 

 hơn: nó tồn tại dưới dạng file trên server và chỉ chạy khi có request HTTP phù hợp gửi tới.

 Webshell luôn được cài vào thư mục web (web directory) của một ứng dụng web, như một thành phần của website. Còn backdoor có thể nằm ở nhiều nơi – một chương trình trên máy, một dịch vụ Windows (dạng DLL dịch vụ chạy ngầm), một tài khoản ẩn trong cơ sở dữ liệu, v.v.

 Thông thường, webshell chạy dưới quyền của tiến trình web (user privileges), ban đầu có thể bị giới hạn quyền. Kẻ tấn công thường cố gắng 

 từ webshell (ví dụ khai thác lỗ hổng hệ điều hành để lên quyền root/Administrator). Ngược lại, nhiều backdoor khác khi được cài (ví dụ backdoor qua Trojan) đã chạy sẵn với quyền cao hoặc như một dịch vụ hệ thống, cho phép hacker can thiệp sâu mà không cần leo thang thêm.

mục đích cuối cùng của webshell và backdoor đều giống nhau: mở một "cửa hậu" bí mật giúp kẻ tấn công duy trì quyền truy cập

. Trong thực tế, kẻ tấn công thường kết hợp cả webshell và các backdoor khác để tối đa hiệu quả.

Có rất nhiều biến thể webshell tùy theo ngôn ngữ lập trình web và mức độ phức tạp. Dưới đây là một số loại webshell thường gặp:

 Phổ biến nhất là webshell viết bằng PHP (do nhiều website sử dụng PHP). Bên cạnh đó còn có webshell viết bằng ASP/ASPX (chạy trên IIS của Microsoft), webshell JSP/Servlet (trên các máy chủ Java), webshell viết bằng Python, Node.js... Bất kỳ môi trường nào cho phép upload hoặc chèn mã script phía server đều có thể xuất hiện webshell. Ví dụ, 

 là một webshell ASPX/PHP rất nhỏ gọn (~4KB) được phát hiện từ 2012, thường được các nhóm APT Trung Quốc sử dụng để điều khiển máy chủ web từ xa. Thậm chí trong chiến dịch tấn công ProxyLogon vào Microsoft Exchange năm 2021, nhóm Hafnium đã sử dụng biến thể China Chopper viết bằng JScript để cài webshell vào Exchange và thực thi lệnh quản trị với quyền SYSTEM.

 Nhiều webshell chỉ là một đoạn mã ngắn (vài dòng) thực hiện chức năng tối thiểu như nhận và thực thi trực tiếp lệnh hệ thống. Chúng thường sử dụng các hàm nguy hiểm như 

 hoặc ```` (backtick) trong PHP để thực thi lệnh OS từ tham số đầu vào. Những webshell "đơn giản" này dễ dàng được tùy biến, thêm mã hóa, làm rối mã để né tránh chữ ký nhận diện cố định. Ngược lại, cũng có những webshell 

 được phát triển thành bộ công cụ hoàn chỉnh, có 

 (một chương trình điều khiển có giao diện cho hacker). Ví dụ, 

 đề cập ở trên gồm hai thành phần: file webshell trên server và một chương trình client GUI để hacker gửi lệnh và nhận kết quả một cách thuận tiện. Tương tự, cộng đồng hacker còn có các framework webshell mạnh mẽ như 

 do tác giả Trung Quốc phát triển. Những webshell dạng này tích hợp cơ chế 

mã hóa thông tin liên lạc (ví dụ AES)

 giữa server và hacker, và có thể 

hoạt động hoàn toàn trong bộ nhớ

 (fileless) mà không để lại nhiều dấu vết trên đĩa.

Webshell tích hợp sẵn trong mã nguồn hợp pháp:

 Một số malware và hacker có thủ đoạn cài webshell vào trong mã nguồn ứng dụng hợp lệ hoặc plugin mở rộng. Khi đó webshell trông như một phần của ứng dụng, khó bị phát hiện hơn. Trường hợp backdoor SUPERNOVA là một ví dụ: file webshell được ngụy trang thành thư viện .NET hợp lệ trong phần mềm SolarWinds Orion, đã chỉnh sửa tinh vi để tránh các cơ chế bảo mật và chống mã độc.

Backdoor có phạm vi rộng hơn webshell và xuất hiện dưới nhiều hình thức trong các giai đoạn tấn công khác nhau. Dưới đây là các loại backdoor thường gặp trong thực tế:

 Đây là loại backdoor phổ biến dưới dạng một chương trình malware giả mạo phần mềm hợp lệ. Khi được cài lên máy nạn nhân, trojan sẽ mở một kênh liên lạc bí mật ra ngoài internet (ví dụ kết nối tới máy chủ C2 của hacker) hoặc lắng nghe trên cổng mạng để chờ hacker điều khiển. RAT cho phép kẻ tấn công điều khiển máy từ xa, thu thập thông tin, ghi lại bàn phím, bật webcam, v.v.

 Như đã phân tích, webshell cũng là một dạng backdoor nhưng chuyên biệt cho máy chủ web. Sau khi chiếm được quyền truy cập ban đầu (ví dụ upload file lên web do lỗ hổng), hacker có thể cài webshell để duy trì quyền điều khiển website và từ đó xâm nhập tiếp mạng nội bộ. Webshell thường là bước đầu trong chuỗi backdoor của các cuộc tấn công vào ứng dụng web hoặc hệ thống Cloud.

 Đây là những cửa hậu được cố ý hoặc vô tình gài vào trong phần mềm/hệ thống ngay từ đầu. Ví dụ: một 

 với mật khẩu cố định (hard-coded) trong firmware thiết bị mạng, một đoạn mã "cổng hậu" do lập trình viên để lại nhằm truy cập bảo trì sản phẩm, v.v. Nếu kẻ tấn công khám phá hoặc biết được những backdoor này, họ có thể lợi dụng để truy cập hệ thống mà 

Backdoor qua chuỗi cung ứng (supply chain exploit):

 Đây là kiểu backdoor rất nguy hiểm, khi kẻ tấn công chèn mã độc vào một thành phần phần mềm trước khi phần mềm đó đến tay người dùng cuối. Nạn nhân cài phần mềm "hợp lệ" nhưng thực chất đã bị cài cắm cửa hậu. Trường hợp SolarWinds Orion với backdoor SunBurst (liên quan vụ tấn công FireEye và nhiều cơ quan Mỹ năm 2020) là ví dụ nổi tiếng: mã độc được chèn vào bản cập nhật phần mềm Orion, tạo cửa hậu cho hacker truy cập hàng loạt hệ thống của khách hàng SolarWinds.

Backdoor ở cấp hệ điều hành (OS rootkit):

 Đây là dạng backdoor nâng cao, khi hacker đã có quyền hệ thống và cài các công cụ sâu vào nhân (kernel) của hệ điều hành. 

 có thể thay đổi/hook các chức năng hệ thống để mở cửa hậu và 

 khỏi sự kiểm tra của phần mềm bảo mật. Ví dụ, rootkit có thể cài một dịch vụ lắng nghe cổng ẩn, hoặc chèn mã vào tiến trình hợp lệ (process injection) để duy trì kết nối ra ngoài.

các loại backdoor phổ biến gồm Trojan (ngụy trang thành phần mềm hợp lệ để cài mã độc điều khiển từ xa), webshell (script web cung cấp truy cập quản trị trái phép), backdoor tích hợp sẵn trong phần cứng/phần mềm, và backdoor cấy qua chuỗi cung ứng phần mềm

. Hiểu rõ các dạng backdoor giúp chúng ta đề ra biện pháp phù hợp để phát hiện và phòng thủ.

Mỗi nền tảng web server hỗ trợ các ngôn ngữ lập trình khác nhau, và mỗi ngôn ngữ này đều có các biến thể webshell riêng với đặc điểm kỹ thuật đặc trưng. Dưới đây là chi tiết về các loại webshell phổ biến theo từng ngôn ngữ:

: Đây là loại webshell phổ biến nhất do PHP được sử dụng rộng rãi trên các máy chủ web. PHP webshell thường sử dụng các hàm nguy hiểm như 

 cung cấp nhiều PHP webshell đơn giản và hiệu quả cho nghiên cứu bảo mật.

: Sử dụng trên các máy chủ Java như Tomcat, JBoss hoặc WebLogic. JSP webshell thường tận dụng các API Java để thực thi lệnh hệ thống. Ví dụ cơ bản: 

<% Runtime.getRuntime().exec(request.getParameter("cmd")); %>

 hoặc sử dụng EL (Expression Language): 

 cung cấp nhiều mẫu JSP webshell đa dạng, bao gồm cả webshell không hiển thị kết quả (no echo) và webshell sử dụng Unicode để tránh phát hiện.

: Hai loại này chạy trên máy chủ Windows IIS. ASP classic (

) thường sử dụng VBScript với các lệnh như 

) sử dụng C# hoặc VB.NET. Một ví dụ ASP webshell điển hình từ 

Set oScript = Server.CreateObject("WSCRIPT.SHELL")

 để thực thi lệnh. ASPX webshell thường phức tạp hơn, có thể tận dụng tính năng của .NET Framework như trong 

 với giao diện điều hướng thư mục và thực thi lệnh.

 cung cấp bộ sưu tập đa dạng webshell cho tất cả các ngôn ngữ này, giúp các nhà nghiên cứu bảo mật có nguồn tài liệu phong phú cho việc kiểm thử xâm nhập hoặc trong các cuộc thi CTF. Nhớ rằng chỉ sử dụng các công cụ này trong môi trường được phép và cho mục đích nghiên cứu hợp pháp.

🕵️ Kỹ thuật phát hiện Webshell hiện đại

Phát hiện webshell là một thách thức vì hacker thường sử dụng kỹ thuật 

 để qua mặt các biện pháp bảo mật. Tuy nhiên, nhờ kết hợp nhiều phương pháp, quản trị viên có thể nhận biết sự hiện diện của webshell. Dưới đây là các kỹ thuật phát hiện webshell 

So sánh tệp tin (File Integrity Monitoring):

 để phát hiện webshell là so sánh các tệp trên máy chủ web với bộ tệp gốc ban đầu của ứng dụng. Bất kỳ file nào 

 mà không nằm trong bản phân phối chính thức đều đáng ngờ. Quản trị viên nên duy trì một bản sao sạch của mã nguồn (hoặc checksum whitelist) và định kỳ so sánh với tệp trên server để phát hiện file lạ.

 Dựa vào log HTTP của web server, có thể tìm các 

 liên quan đến webshell. Những truy vấn do hacker gửi tới webshell thường có đặc điểm dị thường:  Bằng cách tìm các URL được truy cập bởi 

rất ít User-Agent hoặc rất ít địa chỉ IP

, quản trị viên có thể khoanh vùng các endpoint khả nghi.

 Hacker có thể dùng custom tool với User-Agent lạ, không phổ biến như trình duyệt thông thường.

 Thông thường, các request hợp lệ đến ứng dụng web có trường Referrer (để chỉ nguồn trang trước đó). Request tới webshell có thể 

 Nếu website chủ yếu được truy cập bởi người dùng nội bộ hoặc từ một vài vùng địa lý, mà log xuất hiện request từ một IP khác thường, đặc biệt nếu IP đó chỉ truy cập một URL đặc biệt (webshell), thì rất đáng nghi.

Tìm mẫu dấu hiệu mã độc (Signature/YARA):

 Trong một số trường hợp, webshell có thể bị phát hiện qua dấu hiệu nhận dạng sẵn có. Các mẫu webshell thông dụng như 

... thường bị các giải pháp bảo mật lập 

. Quản trị viên có thể sử dụng các 

 hoặc bộ lọc IDS/IPS để quét mã nguồn web, tìm kiếm chuỗi hoặc cấu trúc nghi vấn (ví dụ chuỗi 

Phân tích hành vi trên mạng (Network & Anomaly Detection):

 Do webshell giao tiếp qua giao thức HTTP/HTTPS, việc giám sát lưu lượng mạng có thể cung cấp manh mối. Thay vào đó, kỹ thuật 

phát hiện bất thường (anomaly detection)

 hành vi truy cập bình thường vào website (các URL thường được gọi, tần suất, kích thước gói tin, thời gian truy cập, v.v) rồi phát hiện 

những điểm bất thường so với đường baseline

Giám sát tiến trình máy chủ (EDR/HIDS):

 Webshell suy cho cùng sẽ thực thi các lệnh hệ thống thông qua tiến trình máy chủ web (vd: 

 của IIS). Do đó, một kỹ thuật mạnh để phát hiện webshell là dùng các giải pháp 

 hoặc các agent giám sát host như Sysmon, OSSEC... để theo dõi hoạt động của tiến trình web. Bất kỳ hành vi nào 

 của tiến trình web có thể là dấu hiệu của webshell.

Điểm mấu chốt trong phát hiện webshell là 

 (ví dụ mã hóa để qua mắt signature, hoặc ẩn trong lưu lượng HTTPS để né IDS), nhưng khó có thể đồng thời qua mặt tất cả.

Ở CyberJutsu Academy, chúng tôi đào tạo chi tiết về kỹ thuật phát hiện webshell trong khóa học 

. Với 70 giờ thực hành, bạn sẽ được học cách định dạng, phát hiện và phân tích webshell cũng như các kỹ thuật xâm nhập nâng cao khác của Red Team.

🔍 Kỹ thuật phát hiện Backdoor hiện đại

Việc phát hiện backdoor tổng quát (không chỉ webshell) cũng đòi hỏi sự kết hợp nhiều phương pháp và công cụ, do backdoor có thể ẩn náu ở nhiều lớp khác nhau trong hệ thống. Một số kỹ thuật hiện đại để nhận diện backdoor bao gồm:

 Giám sát lưu lượng mạng để phát hiện 

 có thể là chìa khóa tìm ra backdoor. Ví dụ, nếu một máy chủ nội bộ không phải là server quan trọng nhưng lại thường xuyên 

kết nối đến địa chỉ IP lạ ở nước ngoài

 vào nửa đêm, đó có thể là Trojan đang 

Kiểm tra nhật ký hệ thống và ứng dụng:

 Phân tích log đăng nhập, log hệ điều hành, log ứng dụng có thể lộ diện các hành vi đáng ngờ. Ví dụ, log Windows Event cho thấy có dịch vụ lạ được cài đặt, hoặc có sự thay đổi cấu hình hệ thống (Registry) mở cổng network mới.

 Đối với backdoor nằm trong mã ứng dụng hoặc scripts, phương pháp hiệu quả là 

. Chẳng hạn, tìm xem có tài khoản mặc định/hardcode nào trong code hay không, có đoạn mã nào mở cổng debug, hoặc đoạn mã chỉ chạy khi nhận input đặc biệt (dấu hiệu cửa hậu logic).

Sử dụng công cụ quét bảo mật tự động:

 Nhiều giải pháp antivirus/anti-malware hiện đại tích hợp khả năng phát hiện backdoor dựa trên 

. Quản trị viên nên định kỳ chạy quét hệ thống bằng các công cụ uy tín để tìm malware backdoor đã biết.

Giám sát tiến trình và file hệ thống:

 Tương tự phát hiện webshell, đối với backdoor trên host, giải pháp EDR và HIDS có vai trò quan trọng. EDR có thể phát hiện khi một tiến trình hợp lệ 

 Với những backdoor tinh vi (fileless malware, chỉ hoạt động trong RAM hoặc ẩn trong firmware), việc phát hiện đòi hỏi kỹ thuật cao hơn như phân tích bộ nhớ (memory forensic) hoặc giám sát hệ thống ở mức low-level.

Tựu trung, để phát hiện backdoor, cần triển khai chiến lược 

phòng thủ nhiều lớp và giám sát liên tục

. Các tổ chức lớn thường xây dựng đội 

 chuyên săn tìm dấu hiệu xâm nhập ẩn (bao gồm backdoor) trong hệ thống một cách chủ động, thay vì chờ báo động thụ động.

ngăn chặn hacker tải lên hoặc chèn được webshell vào ứng dụng web

, đồng thời triển khai các biện pháp giảm thiểu thiệt hại nếu webshell có xuất hiện. Các kỹ thuật và best practice bao gồm:

Cập nhật và vá lỗ hổng kịp thời:

 Phần lớn webshell được cài cắm thông qua việc khai thác 

 của ứng dụng web hoặc CMS. Do đó, yếu tố tiên quyết là luôn cập nhật bản vá cho hệ quản trị nội dung (WordPress, Joomla,...), framework web, và cả máy chủ dịch vụ (Apache, Nginx, IIS, v.v) ngay khi có bản vá.

Cấu hình chặt chẽ việc upload và quyền file:

 Nếu website có chức năng upload file (cho phép người dùng đăng ảnh, tài liệu...), hãy 

 được phép một cách nghiêm ngặt. Tuyệt đối không cho upload các loại script như 

... vào thư mục có thể thực thi.

Lập trình an toàn, kiểm soát input chặt chẽ:

 giúp giảm nguy cơ xuất hiện lỗ hổng cho phép chèn webshell. Cụ thể, lập trình viên nên 

tránh sử dụng các hàm thực thi lệnh hệ thống

, ````...) trên đầu vào người dùng cung cấp.

Sử dụng tường lửa ứng dụng web (WAF):

 Triển khai WAF có thể giúp chặn 

 dẫn đến cài webshell. WAF hoạt động như lá chắn lọc các request HTTP đến máy chủ web, tự động ngăn chặn các payload độc hại đã biết (SQL injection, Local File Inclusion, etc.).

Giám sát và kiểm tra thường xuyên:

 để phát hiện sớm nếu có webshell lọt qua. Triển khai các biện pháp phát hiện đã nêu (FIM, phân tích log, EDR…) như trên chính là một phần của phòng chống chủ động.

Tất cả các biện pháp trên nhằm mục tiêu khiến hacker 

nhanh chóng phát hiện và loại bỏ

Phòng chống backdoor đòi hỏi cách tiếp cận toàn diện trên nhiều khía cạnh của an ninh hệ thống. Mục tiêu là 

ngăn kẻ tấn công tạo được cửa hậu

giảm thiểu khả năng khai thác của cửa hậu nếu nó tồn tại

. Dưới đây là các chiến lược phòng chống backdoor quan trọng:

Giữ hệ thống và phần mềm luôn cập nhật:

 Tương tự webshell, rất nhiều backdoor (đặc biệt là trojan) xâm nhập được là do hệ thống có lỗ hổng chưa vá. Do đó, luôn cập nhật hệ điều hành, phần mềm máy chủ, ứng dụng lên phiên bản mới nhất.

Kiểm tra bảo mật định kỳ và kỹ lưỡng:

quét bảo mật và đánh giá lỗ hổng

 định kỳ để phát hiện điểm yếu có thể bị cài backdoor. Đồng thời tiến hành 

 hệ thống: kiểm tra danh sách user trên server, kiểm tra quyền trên tài khoản, dò tìm xem có tài khoản hoặc nhóm người dùng nào lạ xuất hiện không.

Thực hiện nguyên tắc an ninh Zero Trust:

 (Không tin tưởng mặc định) giúp giảm thiểu tác hại của backdoor. Thay vì cho rằng mạng nội bộ là an toàn, hãy thiết lập kiểm soát truy cập chặt chẽ ở mọi lớp.

Hạn chế quyền và cô lập dịch vụ:

 triệt để trên toàn hệ thống. Mỗi dịch vụ chỉ nên chạy với quyền thấp nhất cần thiết. Không dùng chung tài khoản admin cho nhiều dịch vụ.

Bảo vệ thông tin xác thực và khóa bí mật:

 Nhiều backdoor lợi dụng thông tin xác thực bị lộ (như mật khẩu quản trị mặc định, khóa API, token truy cập...). Do đó, quản trị cần đảm bảo 

đổi tất cả mật khẩu mặc định

, sử dụng mật khẩu mạnh và quản lý chúng an toàn (qua vault).

Dùng giải pháp bảo mật nâng cao:

Endpoint Security (EDR, antivirus thế hệ mới)

 trên máy trạm và máy chủ để kịp thời chặn đứng malware cài backdoor.

Thực thi quy trình phát triển phần mềm an toàn:

 Đối với các nhà phát triển phần mềm, cần tuân thủ quy trình 

Kiểm soát chặt chẽ chuỗi cung ứng:

 Các doanh nghiệp cần đánh giá độ tin cậy của nhà cung cấp phần mềm, phần cứng. Đòi hỏi cam kết không có backdoor (ví dụ yêu cầu xem xét mã nguồn, hoặc chứng nhận an ninh).

Cuối cùng, một lời khuyên tổng quát: Để giảm thiểu rủi ro backdoor, doanh nghiệp cần 

giữ phần mềm cập nhật, tiến hành kiểm tra bảo mật thường xuyên, tuân thủ thực hành phát triển an toàn và áp dụng cơ chế kiểm soát truy cập nghiêm ngặt

. Backdoor, dù dưới dạng nào, cũng lợi dụng 

sự lỏng lẻo trong quản trị hệ thống

 là những mối đe dọa dai dẳng trong an ninh mạng hiện đại, thường được tin tặc sử dụng để 

 trái phép và thực hiện các hành vi xâm nhập sâu hơn. Sự khác biệt giữa chúng nằm ở cách thức và môi trường hoạt động, nhưng cả hai đều có thể gây hậu quả nghiêm trọng như đánh cắp dữ liệu, phá hoại hệ thống hoặc tạo bàn đạp cho các cuộc tấn công tiếp theo.

Việc hiểu rõ khái niệm và phân biệt webshell với backdoor giúp chúng ta nhận thức đúng mức độ nguy hiểm của từng loại. Quan trọng hơn, nắm vững các 

 sẽ cho phép đội ngũ an ninh phát hiện sớm dấu hiệu bất thường, từ đó 

 trước khi thiệt hại lan rộng. Đồng thời, triển khai đồng bộ các biện pháp 

 – từ vá lỗ hổng, cấu hình hệ thống an toàn, đến giám sát nhiều lớp – sẽ giảm thiểu khả năng kẻ tấn công thành công trong việc cài cắm backdoor/webshell ngay từ đầu.

Tại CyberJutsu, chúng tôi luôn nhấn mạnh rằng: "Học bằng cách phá – Phá để hiểu". Thông qua 

, chúng tôi giúp bạn hiểu sâu sắc về các lỗ hổng web, bao gồm những lỗ hổng dẫn đến việc upload webshell, để từ đó biết cách bảo vệ hệ thống của mình tốt hơn. Hãy trang bị kiến thức để không trở thành nạn nhân của các cuộc tấn công phức tạp này.

An ninh mạng là cuộc chơi "mèo vờn chuột" không ngừng nghỉ. Kẻ tấn công luôn tìm cách tạo ra webshell/backdoor mới tinh vi hơn (như webshell fileless, backdoor 0-day trong chuỗi cung ứng), thì người bảo vệ cũng cần liên tục cập nhật kiến thức, công nghệ để nâng cao khả năng phòng thủ.

Backdoor là gì? Webshell nguy hiểm đến mức nào?

Phát hiện và phòng ngừa WebShells theo cách của NSA

Cybersecurity Information: Detect and Prevent Web Shell Malware

What is a Web Shell (Detection & Protection)

Phát hiện backdoor SUPERNOVA (SolarWinds Orion)

Tag: Backdoor