从安全防护能力看，检测是第一位的能力，webshell的检测主要有以下几种方式：

（1）基于流量的webshell检测引擎

方便部署，通过流量镜像直接分析原始信息。基于payload的行为分析，不仅对已知webshell进行检测，还能识别出未知的、伪装性强的webshell。对webshell的访问特征（IP/UA/Cookie)、payload特征、path特征、时间特征等进行关联分析，以时间为索引，还原攻击事件。

（2）基于文件的webshell分析引擎

检测是否包含webshell特征，例如常用的各种函数。检测是否加密（混淆处理）来判断是否为webshell文件hash检测，创建webshell样本hashing库，进行对比分析可疑文件。对文件的创建时间、修改时间、文件权限等进行检测，以确认是否为webshell沙箱技术，根据动态语言沙箱运行时的行为特征进行判断

（3）基于日志的webshell分析引擎

支持常见的多种日志格式。对网站的访问行为进行建模，可有效识别webshell的上传等行为对日志进行综合分析，回溯整个攻击过程。

三种检测方式，基于文件的检测，很多时候获取样本的部署成本比较高，同时仅仅靠样本无法看到整个攻击过程。基于日志的有些行为信息在日志中看不到，总体来说还是基于“流量”的看到的信息最多，也能更充分的还原整个攻击过程。