Valkyrie

Valkyrie предназначен для оперативного обнаружения подозрительных конструкций в файловой структуре веб-сервера. Инструмент объединяет сигнатурный анализ, эвристический поиск по регулярным выражениям и контроль целостности файлов. Работает автономно, не требует внешних СУБД, очередей сообщений или сторонних фреймворков.

Режимы работы

Возможности

Системные требования

Установка

1. Разместите содержимое проекта в отдельной директории веб-сервера, например /var/www/valkyrie/
2. Установите владельца и права доступа:

   chown -R www-data:www-data /var/www/valkyrie/{logs,quarantine,snapshots}
   chmod 755 /var/www/valkyrie/{logs,quarantine,snapshots}
   chmod 644 /var/www/valkyrie/*.php
                   

3. Убедитесь, что для директории проекта включён AllowOverride All (Apache) или настроен try_files (Nginx)
4. Откройте http://ваш-домен/valkyrie/ в браузере

Использование

Веб-интерфейс

Перейдите на главную страницу и нажмите кнопку запуска. Результаты отобразятся асинхронно. Для просмотра содержимого подозрительных файлов используйте ссылки «Посмотреть» (безопасный просмотр через details.php).

Командная строка

# Полное сканирование
php scan.php --scan

# Сравнение двух снимков
php scan.php --compare snapshot-20250101-120000.json snapshot-20250115-180000.json

# Справка
php scan.php --help

Быстрый поиск бэкдоров

php obuscan.php

Сканирует рекурсивно все .php файлы в текущей директории на наличие опасных функций (eval, base64_decode, shell_exec и др.).

API

GET /api/scan.php возвращает массив результатов в формате JSON. Пустой массив означает отсутствие угроз.

Настройка

Правила детектирования (rules/rules.json)

Формат массива объектов:

{
  "name": "уникальное_имя",
  "pattern": "регулярное_выражение",
  "description": "описание правила",
  "case_sensitive": false
}

Изменения применяются автоматически при следующем запуске. Валидация синтаксиса выполняется перед применением.

База сигнатур (hashes/hashes.json)

{
  "md5": { "хеш": "название_угрозы" },
  "sha1": { "хеш": "название_угрозы" }
}

Параметры ядра

В scan.php или собственном wrapper-скрипте:

$scanner = new Valkyrie($scanDir);
$scanner->setMaxFileSize(50);           // Лимит 50 МБ на файл
$scanner->setMemoryLimit(256);          // Лимит памяти 256 МБ
$scanner->enableArchiveScanning(true);  // Сканировать ZIP
$scanner->enableHashing(true);          // Включить отслеживание изменений
$scanner->enableQuarantine(true);       // Перемещать угрозы в карантин
$scanner->addExcludedDir('vendor');     // Исключить директории

Структура проекта

Valkyrie/
├── index.php           # Веб-интерфейс
├── scan.php            # CLI-сканер
├── obuscan.php         # Экспресс-поиск опасных функций
├── details.php         # Безопасный просмотр файлов
├── api/scan.php        # JSON API
├── core/
│   ├── Valkyrie.php    # Ядро: обход, анализ, карантин, отчёты
│   ├── Analyzer.php    # Движок правил (regex)
│   └── Diff.php        # Сравнение снимков
├── hashes/hashes.json  # Сигнатуры по хэшам
├── rules/rules.json    # Эвристические правила
├── logs/               # Журналы операций и ошибок
├── quarantine/         # Изолированные подозрительные файлы
└── snapshots/          # Контрольные снимки состояния

Метрики производительности

Расширенные настройки

Оптимизация для больших проектов

// scan.php
$scanner = new Valkyrie('/var/www/large-project');
$scanner->setMaxFileSize(5);              // Меньше 5 МБ
$scanner->setMemoryLimit(512);            // 512 МБ
$scanner->enableArchiveScanning(false);   // Отключить архивы
$scanner->enableHashing(true);            // Инкрементальное сканирование
$scanner->addExcludedDir('vendor');       // Исключить Composer
$scanner->addExcludedDir('node_modules'); // Исключить npm
$scanner->addExcludedDir('storage');      // Исключить кэш

Кастомные правила для специфичных угроз

{
  "name": "cryptominer_detect",
  "pattern": "(cryptonight|stratum\\\\+|miner\\.php)",
  "description": "Cryptominer detection",
  "case_sensitive": false
}

API спецификация

Endpoint: GET /api/scan.php

Пример ответа:

[
  {
    "file": "/var/www/shell.php",
    "line": 1,
    "code": "<?php eval($_POST['cmd']);",
    "rule": "eval_post_cmd"
  }
]

Развертывание в Docker

version: '3.8'
services:
valkyrie:
build: .
ports:
  - "8080:80"
volumes:
  - ./scans:/var/www/html/snapshots
  - ./quarantine:/var/www/html/quarantine
  - ./logs:/var/www/html/logs
environment:
  - PHP_MEMORY_LIMIT=512M
  - SCAN_MAX_FILE_SIZE=20
restart: unless-stopped

Безопасность и рекомендации

• Ограничьте доступ к директории сканера средствами веб-сервера (HTTP-аутентификация, whitelist IP)
• Регулярно обновляйте rules.json и hashes.json на основе актуальных данных по угрозам для PHP
• Инструмент предназначен для статического анализа и не заменяет WAF, межсетевые экраны или антивирусы общего назначения
• Перед удалением файлов из quarantine/ проведите ручной анализ содержимого
• Используйте сканер только в отношении систем, находящихся в вашей зоне ответственности

Устранение неполадок