Lo que sucedió fue que la compañía de un amigo está usando el framework datke nuke datado. Se encontró una página html con 'hackeado por xxxx' cargada en el servidor web.
Al investigar, se determina que un webshell se cargó a través de la explotación de una vulnerabilidad y que la página html 'hackeado por xxxx' se 'creó' usando el shell web.
Técnicamente, el archivo html se creó y no se cargó. Lo único que se subió fue el shell web.
El sitio web tiene WAF en su lugar. Posiblemente un CDN (no recuerdo detalles).
La cosa es, WAF puede bloquear / detectar la creación / carga de archivos a través del shell web o simplemente lo trata como cualquier otra actividad de carga / descarga diaria.
Además, entiendo que WAF puede bloquear y detectar el shell web. Pero, ¿qué hay de los ofuscados?