القائمة
Webshell 隐蔽后门狩猎 — 在 Web 目录中识别混淆后门、一句话木马、最近修改的可疑文件
التثبيت باستخدام Codex أو Claude انسخ هذا Prompt والصقه في Codex أو Claude أو مساعد آخر ليراجع صفحة Skill ويثبّتها لك.
استنادا إلى تصنيف SOC المهني
跨 ClawHub 和 skills.sh 发现、比较、检查、审查并按用户明确授权安装 Agent Skill。用户询问“有没有某种技能”“找一个 Skill”“从市场安装/复刻 Skill”或希望扩展能力时使用；搜索不等于安装授权。
AWD-plus 综合运营工作流 — 多服务态势、低风险自动化检查、证据链汇总和处置队列
AWD 防守工作流 — 服务可用性、Webshell 排查、日志审计、flag 线索扫描与修复建议
CTF 解题工作流 — Web/文件/日志/流量线索分析、flag_scan、headless_browser 与证据化输出
文件取证 — 魔数识别、strings 提取、gzip 日志解压，全部 Go 原生无需 file/strings/zcat
日志取证与威胁关联 — 从 auth/syslog/web 日志中提取攻击 IP、失败登录、异常行为
| name | webshell-hunt |
| description | Webshell 隐蔽后门狩猎 — 在 Web 目录中识别混淆后门、一句话木马、最近修改的可疑文件 |
| license | Apache-2.0 |
find /var/www -name "*.php" -exec grep -l "eval\s*(" {} \; 2>/dev/null
find /var/www -name "*.php" -exec grep -l "base64_decode" {} \; 2>/dev/null
find /var/www -name "*.jsp" -exec grep -l "Runtime.getRuntime" {} \; 2>/dev/null
# 最近 30 天修改的 PHP 文件
find /var/www -name "*.php" -mtime -30 -ls 2>/dev/null
# 非框架目录的可疑文件
find /var/www -name "*.php" -not -path "*/vendor/*" -not -path "*/node_modules/*" -mtime -7
对可疑文件使用 read_file 或 cat 查看内容，识别：
<?php @eval($_POST[...]); ?> — 一句话木马base64_decode + eval 组合 — 混淆后门system() / exec() / shell_exec() — 命令执行md5sum <file>## Webshell 狩猎报告
- 扫描范围: [目录路径]
- 可疑文件: [路径 | 修改时间 | 风险特征]
- 确认木马: [路径 | 类型 | 内容摘要]
- 建议措施: [隔离/删除/监控]