Cas réel : web shell sur un CMS, puis clé SSH ajoutée

Objectif

Enquêter sur un site dont une page a changé toute seule : retrouver, dans les journaux du serveur web, le dépôt d'un web shell par une faille du CMS, son usage pour exécuter des commandes, l'élévation vers root, et la clé SSH que l'attaquant a ajoutée pour revenir — puis tout éradiquer.

Incident public type (CMS vulnérable, web shell, porte dérobée SSH), réécrit pour MasterLinux. Le « web shell » du lab est un fichier texte inerte, jamais interprété ; tous les artefacts sont simulés.