> For the complete documentation index, see [llms.txt](https://h08.gitbook.io/undefined/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://h08.gitbook.io/undefined/custom-rule-and-active-response/1./1.3.md).

# 1.3 난독화된 웹쉘 탐지

## 1. 개요

* 일반적인 시그니처 기반 탐지는 파일 확장자나 단순 문자열 매칭에 의존하여, Base64 인코딩이나 함수 은닉 기법 등을 사용하는 고도화 된 난독화 웹쉘을 탐지하는 데 한계가 있다.
* 이에 쉘 스크립트, YARA, Evalhook을 이용하여 다중적인 탐지 체계를 구축하였다.

***

## 2. YARA

{% embed url="<https://virustotal.github.io/yara/>" %}

* 악성코드 탐지 및 분석을 위한 오픈소스 도구.
* 파일을 위한 정규표현식.

***

## 3. Evalhook

* php 엔진의 내부 동작을 가로채는 후킹 기술을 eval 함수와 같은 동적 실행 구조에 적용한 개념.
* PHP의 핵심 엔진인 Zend Engine의 API를 이용하여 직접 C언어로 작성된 PHP 확장 모듈