Monarx Security 是一项 PHP 恶意软件保护服务，用于帮助网络托管服务提供商保护客户的网站和应用程序，尤其是抵御网络shell攻击。用户可以从 cPanel 界面免费监控 Monarx 活动。 

Monarx 安全是什么？

Monarx是一种独特的下一代网络防火墙 (NGFW)。它更多地关注 PHP 代码的行为，而不仅仅是它的外观或签名，这两者都可以被混淆（例如多态病毒）。这减少了文件被错误地标记为恶意的可能性，这可能导致干净的网站出现问题，并减少检测零日漏洞所需的时间。

以下是实际过程的工作方式。

1. Monarx 代理安装在我们的共享托管服务器上。代理由两个模块组成。保护跟踪和阻止 Web Shell 有效负载的执行。Hunter 每周都会对受损的源二进制文件和 Web Shell 进行全面扫描和实时扫描。
2. Monarx 代理下载与 Web 应用程序和内容管理系统 (CMS) 相关的安全规则。
3. 任何被 Monarx 代理标记为恶意的文件都会根据安全规则自动处理并发送到 Monarx 云进行进一步分析，从而减轻服务器资源需求。
4. 基于 PHP 的 web shells/后门程序被阻止执行，他们称之为“利用后有效负载预防”的技术。
5. 我们的系统管理员能够使用 Monarx API 在所有共享主机帐户中提供更强大的安全信息和事件管理 (SIEM)，从而更好地检测代码注入和类似攻击。

如您所见，这种软件即服务 (SaaS) 在后台执行了很多其他 Web 应用程序防火墙 (WAF) 所不常见的工作。最好的部分是：您可以在 cPanel 中检查 Monarx 活动，但无需配置任何内容。只要知道它就在那里。

什么是 Web Shell？

Web shell 只是一种恶意软件，用于在未经授权的情况下远程访问系统。Web shell 是一个主要威胁，因为它们很难被检测到，同时允许黑客管理员访问为所欲为：

• 网站篡改攻击
• 分布式拒绝服务 (DDoS) 攻击
• 权限升级以访问受限服务
• 授权的 root 用户可以做的任何其他事情

共有三种类型的 Web Shell。

绑定Shell：受害者的系统被感染以侦听特定端口（标准后门）。

反向Shell（connect-back shell）：系统被感染以主动寻求与网络攻击者的本地机器或命令和控制（C2）系统的连接。

双反向Shell：目标机器使用单独端口进行输入和输出的保留Shell。

攻击者为实现这一目标而采取的典型步骤：

1. 利用漏洞将 Web shell（有效负载）上传到目标机器。
2. 将 Web shell 移动到更易于访问的公共目录。
3. 访问 web shell 以上传或修改文件。

总之，阻止 web shell 执行可以降低您的网站被操纵以进行加密挖掘、垃圾邮件和其他恶意目的的可能性。 

如何访问 Monarx cPanel 插件

监控 Monarx 安全事件不需要复杂的步骤：

1. 登录到 cPanel主机面板。
2. 在“安全”下选择“Monarx 安全”。
3. 如果您看到以下消息，只需刷新 ( F5) 页面：“Monarx 仍在尝试配置您的帐户。请刷新页面。如果问题仍然存在，请稍后再回来查看。”

Monarx 仪表板将声明“您受到保护”和“您的网站没有恶意软件！” （如果没有，请联系实时支持）。右侧是 Monarx 自动对抗的恶意软件类型列表：

• 上传者访问您的服务器
• 支持高级持续威胁 (APT) 的 Web 外壳
• 网络钓&鱼和域名抢注站点注入您的服务器
• 用于欺&骗您的电子邮件帐户的邮件应用程序
• 嵌入您网站的广告软件脚本
• 其他可以感染访问您网站的用户的恶意软件

选择“详细信息”选项卡以查看 cPanel 服务器上标记为可疑的文件。

• 发现日期和时间
• 绝对文件路径
• 分类（恶意或受损/感染）
• 文件状态（隔离、阻止执行、清除恶意软件或记录以采取进一步行动）
• 类型

目前有一个面向最终用户的交互功能。如果您在任何时候发现 Monarx 错误地将受损文件标记为干净，您可以提交该文件以供进一步审查。只需登录到 cPanel 终端或 SSH，然后运行以下命令（将“文件名”替换为实际文件）：

monarx-sample-upload 文件名

Monarx 软件捕获与检测到的恶意软件相关的更多信息以供将来参考，包括： 

• 文件 SHA-256 校验和或更强
• IP 地址和原产国
• 受影响的网络应用程序（例如 CMS 插件和主题）

“帮助”部分包括有关 Monarx cPanel 界面和一般恶意软件的其他信息。