搜索

[16291] 2021-01-07_企业FRP安全实践

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2021-01-07_企业FRP安全实践 企 业 F R P 安 全 实 践 s o l o s e c   F r e e B u f   2 0 2 1 - 0 1 - 0 7 一 、 序 一 、 序 1 . 1   前 言 前 言 近 期 看 到 一 则 消 息 如 下 ： 看 到 的 第 一 反 应 是 无 论 此 事 真 假 ， 但 如 果 发 生 在 我 司 ， 安 全 部 有 没 有 能 力 去 发 现 ？ 于 是 ， 本 着 守 望 互 助 和 发 散 思 考 的 原 则 研 究 了 一 波 内 网 端 口 映 射 到 公 网 软 件 ， 恰 好 看 到 朋 友 圈 已 经 有 人 总 结 了 常 见 列 表 ： 本 人 能 力 有 限 ， 故 仅 挑 选 一 款 倍 受 喜 爱 的 f r p 来 浅 析 一 二 ， 希 望 可 以 抛 砖 引 玉 。 文 章 核 心 内 容 如 下 ： 两 种 常 用 模 式 的 示 例 如 何 提 取 特 征 进 行 安 全 检 测 绕 过 安 全 检 测 的 思 路 1 . 2   f r p 简 介 简 介 f r p   是 一 个 专 注 于 内 网 穿 透 的 高 性 能 的 反 向 代 理 应 用 ， 支 持   T C P 、 U D P 、 H T T P 、 H T T P S   等 多 种 协 议 。 可 以 将 内 网 服 务 以 安 全 、 便 捷 的 方 式 通 过 具 有 公 网   I P   节 点 的 中 转 暴 露 到 公 网 。 为 什 么 使 用   f r p   ？ 通 过 在 具 有 公 网   I P   的 节 点 上 部 署   f r p   服 务 端 ， 可 以 轻 松 地 将 内 网 服 务 穿 透 到 公 网 ， 同 时 提 供 诸 多 专 业 的 功 能 特 性 ， 这 包 括 ： 客 户 端 服 务 端 通 信 支 持   T C P 、 K C P   以 及   W e b s o c k e t   等 多 种 协 议 。 采 用   T C P   连 接 流 式 复 用 ， 在 单 个 连 接 间 承 载 更 多 请 求 ， 节 省 连 接 建 立 时 间 。 代 理 组 间 的 负 载 均 衡 。 端 口 复 用 ， 多 个 服 务 通 过 同 一 个 服 务 端 端 口 暴 露 。 多 个 原 生 支 持 的 客 户 端 插 件 （ 静 态 文 件 查 看 ， H T T P 、 S O C K 5   代 理 等 ） ， 便 于 独 立 使 用   f r p   客 户 端 完 成 某 些 工 作 。 高 度 扩 展 性 的 服 务 端 插 件 系 统 ， 方 便 结 合 自 身 需 求 进 行 功 能 扩 展 。 服 务 端 和 客 户 端   U I   页 面 。 二 、 两 种 常 见 示 例 二 、 两 种 常 见 示 例 2 . 1   S S H   访 问 内 网 机 器 访 问 内 网 机 器 1 、 图 示 图 示 最 能 一 眼 直 观 看 懂 ， 奈 何 翻 遍 互 联 网 没 有 找 到 让 我 满 意 的 示 意 图 ， 为 清 晰 表 达 ， 故 简 单 画 图 。 2 、 配 置 f r p s 配 置 f r p c 配 置 客 户 端 连 接 3 、 日 志 f r p s 日 志 ， 包 含 ： 启 动 、 连 接 成 功 、 退 出 成 功 2 0 2 0 年 1 1 月 1 7 日 上 午 1 1 : 5 6 ， 某 公 司 发 出 全 员 级 别 的 通 告 。 人 工 智 能 部 A I 实 验 室 一 名 实 习 生 私 自 将 公 司 内 网 端 口 映 射 到 公 网 ， 导 致 不 法 分 子 入 侵 公 司 服 务 器 ， 违 反 《 集 团 员 工 行 为 准 则 》 和 《 员 工 信 息 安 全 规 范 》 有 关 规 定 ， 解 除 其 实 习 协 议 ， 并 将 相 关 涉 案 人 员 移 送 司 法 处 理 。 对 此 ， 该 公 司 客 服 工 作 人 员 表 示 ： “ 针 对 此 情 况 我 们 没 有 收 到 相 关 部 门 的 通 知 。 我 们 会 尝 试 与 相 关 部 门 沟 通 ， 有 进 展 的 话 会 予 以 答 复 。 ” f r p , p r o x y c h a i n , l c x , n g r o k , r e g r o k , e w , F P i p e , P o r t m a p , T e r m i t e , s o c a t , n a t b y p a s s , i o x , a b p t t s , P o w e r c a t , d n s c a t , r e G e o r g , t u n a , r e D u h , i o d i n e , E a r t h W o r m , s S o c k s , v e n o m , s 5 . g o [ c o m m o n ] b i n d _ p o r t   =   6 0 0 0 0 l o g _ f i l e   =   / s o l o / s e c s o f t / f r p _ 0 . 3 4 . 3 _ l i n u x _ a m d 6 4 / f r p s . l o g [ c o m m o n ] s e r v e r _ a d d r   =   1 1 5 . 1 5 9 . 5 4 . 2 3 0 s e r v e r _ p o r t   =   6 0 0 0 0 [ s s h ] t y p e   =   t c p l o c a l _ i p   =   1 2 7 . 0 . 0 . 1 l o c a l _ p o r t   =   2 2 r e m o t e _ p o r t   =   6 0 0 0 1 s s h   - o P o r t = 6 0 0 0 1   r o o t @ 1 1 5 . 1 5 9 . 5 4 . 2 3 0
f r p c 日 志 ， 只 包 含 启 动 2 . 2   安 全 地 暴 露 内 网 服 务 安 全 地 暴 露 内 网 服 务 1 、 图 示 2 、 配 置 f r p s 配 置 f r p c 内 网 服 务 器 f r p c 客 户 端 启 动 服 务 ： 客 户 端 连 接 3 、 日 志 这 里 针 对 f r p s 开 启 了 t r a c e 模 式 ， 可 以 收 到 全 面 的 信 息 ， 对 于 下 文 w i r e s h a r k 抓 包 分 析 、 对 照 数 据 包 分 析 指 令 等 有 帮 助 。 f r p s ： F r p c 内 网 服 务 器 ： f r p c 客 户 端 启 动 服 务 ： 三 、 如 何 检 测 三 、 如 何 检 测 3 . 1   针 对 第 一 种 针 对 第 一 种 1 、 特 征 提 取 登 陆 后 查 看 连 接 ： w 查 看 有 l o c a l h o s t 登 陆 确 立 连 接 中 有 到 f r p s 连 接 确 立 连 接 中 有 到 1 2 7 . 0 . 0 . 1 : 2 2 的 连 接 #   以 下 为 启 动 2 0 2 0 / 1 1 / 2 4   1 5 : 2 4 : 3 7   [ I ]   [ s e r v i c e . g o : 1 9 0 ]   f r p s   t c p   l i s t e n   o n   0 . 0 . 0 . 0 : 6 0 0 0 0 2 0 2 0 / 1 1 / 2 4   1 5 : 2 4 : 3 7   [ I ]   [ r o o t . g o : 2 1 5 ]   s t a r t   f r p s   s u c c e s s #   以 下 为 连 接 2 0 2 0 / 1 1 / 2 4   1 5 : 3 1 : 1 4   [ I ]   [ s e r v i c e . g o : 4 4 4 ]   [ 5 4 5 f 5 4 4 d b a e 9 8 e 7 d ]   c l i e n t   l o g i n   i n f o :   i p   [ 3 6 . 1 1 2 . 4 6 . 2 0 6 : 5 8 0 9 0 ]   v e r s i o n   [ 0 . 3 4 . 3 ]   h o s t n a m e   [ ]   o s   [ l i n u x ]   a r c h   [ a m d 6 4 ] 2 0 2 0 / 1 1 / 2 4   1 5 : 3 1 : 1 4   [ I ]   [ t c p . g o : 6 3 ]   [ 5 4 5 f 5 4 4 d b a e 9 8 e 7 d ]   [ s s h ]   t c p   p r o x y   l i s t e n   p o r t   [ 6 0 0 0 1 ] 2 0 2 0 / 1 1 / 2 4   1 5 : 3 1 : 1 4   [ I ]   [ c o n t r o l . g o : 4 4 6 ]   [ 5 4 5 f 5 4 4 d b a e 9 8 e 7 d ]   n e w   p r o x y   [ s s h ]   s u c c e s s 2 0 2 0 / 1 1 / 2 4   1 5 : 3 1 : 1 8   [ I ]   [ p r o x y . g o : 1 0 3 ]   [ 5 4 5 f 5 4 4 d b a e 9 8 e 7 d ]   [ s s h ]   g e t   a   n e w   w o r k   c o n n e c t i o n :   [ 3 6 . 1 1 2 . 4 6 . 2 0 6 : 5 8 0 9 0 ] 2 0 2 0 / 1 1 / 2 4   1 5 : 3 2 : 1 9   [ I ]   [ p r o x y . g o : 1 0 3 ]   [ 5 4 5 f 5 4 4 d b a e 9 8 e 7 d ]   [ s s h ]   g e t   a   n e w   w o r k   c o n n e c t i o n :   [ 3 6 . 1 1 2 . 4 6 . 2 0 6 : 5 8 0 9 0 ] #   以 下 为 断 开 客 户 端 2 0 2 0 / 1 1 / 2 4   1 5 : 4 6 : 3 5   [ I ]   [ c o n t r o l . g o : 3 0 9 ]   [ 5 4 5 f 5 4 4 d b a e 9 8 e 7 d ]   c o n t r o l   w r i t e r   i s   c l o s i n g 2 0 2 0 / 1 1 / 2 4   1 5 : 4 6 : 3 5   [ I ]   [ p r o x y . g o : 8 7 ]   [ 5 4 5 f 5 4 4 d b a e 9 8 e 7 d ]   [ s s h ]   p r o x y   c l o s i n g 2 0 2 0 / 1 1 / 2 4   1 5 : 4 6 : 3 5   [ I ]   [ p r o x y . g o : 1 5 9 ]   [ 5 4 5 f 5 4 4 d b a e 9 8 e 7 d ]   [ s s h ]   l i s t e n e r   i s   c l o s e d 2 0 2 0 / 1 1 / 2 4   1 5 : 4 6 : 3 5   [ I ]   [ c o n t r o l . g o : 3 8 4 ]   [ 5 4 5 f 5 4 4 d b a e 9 8 e 7 d ]   c l i e n t   e x i t   s u c c e s s [ r o o t @ l o c a l h o s t   f r p _ 0 . 3 4 . 3 _ l i n u x _ a m d 6 4 ] #   . / f r p c   - c   . / f r p c . i n i 2 0 2 0 / 1 1 / 2 4   1 5 : 2 4 : 4 9   [ I ]   [ s e r v i c e . g o : 2 8 8 ]   [ 5 4 5 f 5 4 4 d b a e 9 8 e 7 d ]   l o g i n   t o   s e r v e r   s u c c e s s ,   g e t   r u n   i d   [ 5 4 5 f 5 4 4 d b a e 9 8 e 7 d ] ,   s e r v e r   u d p   p o r t   [ [ c o m m o n ] b i n d _ p o r t   =   6 0 0 0 0 l o g _ f i l e   =   / s o l o / s e c s o f t / f r p _ S S H - 2 . 0 - O p e n S S H _ 7 . 5 _ l i n u x _ a m d 6 4 / f r p s . l o g #   t r a c e ,   d e b u g ,   i n f o ,   w a r n ,   e r r o r #   这 里 开 启 t r a c e 模 式 信 息 最 全 面 ， 有 助 于 对 照 w i r e s h a r k 抓 包 分 析 l o g _ l e v e l   =   t r a c e [ c o m m o n ] s e r v e r _ a d d r   =   1 1 5 . 1 5 9 . 5 4 . 2 3 0 s e r v e r _ p o r t   =   6 0 0 0 0 [ s e c r e t _ s s h ] t y p e   =   s t c p s k   =   h a h a h a h a h a u s e _ e n c r y p t i o n   =   t r u e u s e _ c o m p r e s s i o n   =   t r u e l o c a l _ i p   =   1 2 7 . 0 . 0 . 1 l o c a l _ p o r t   =   2 2 [ c o m m o n ] s e r v e r _ a d d r   =   1 1 5 . 1 5 9 . 5 4 . 2 3 0 s e r v e r _ p o r t   =   6 0 0 0 0 [ s e c r e t _ s s h _ v i s i t o r ] t y p e   =   s t c p r o l e   =   v i s i t o r s e r v e r _ n a m e   =   s e c r e t _ s s h s k   =   h a h a h a h a h a b i n d _ a d d r   =   1 2 7 . 0 . 0 . 1 b i n d _ p o r t   =   7 0 0 0 s s h   - o P o r t = 7 0 0 0   r o o t @ 1 2 7 . 0 . 0 . 1 2 0 2 0 / 1 1 / 2 5   1 9 : 3 0 : 2 8   [ I ]   [ s e r v i c e . g o : 1 9 0 ]   f r p s   t c p   l i s t e n   o n   0 . 0 . 0 . 0 : 6 0 0 0 0 2 0 2 0 / 1 1 / 2 5   1 9 : 3 0 : 2 8   [ I ]   [ r o o t . g o : 2 1 5 ]   s t a r t   f r p s   s u c c e s s 2 0 2 0 / 1 1 / 2 5   1 9 : 3 1 : 0 3   [ T ]   [ s e r v i c e . g o : 3 9 1 ]   s t a r t   c h e c k   T L S   c o n n e c t i o n . . 2 0 2 0 / 1 1 / 2 5   1 9 : 2 4 : 3 7   [ I ]   [ s e r v i c e . g o : 2 9 0 ]   [ b c a e 2 0 7 f 6 9 3 a 5 e 1 0 ]   l o g i n   t o   s e r v e r   s u c c e s s ,   g e t   r u n   i d   [ b c a e 2 0 7 f 6 9 3 a 5 e 1 0 ] ,   s e r v e r   u d p   p o r t   [ 0 ] 2 0 2 0 / 1 1 / 2 5   1 9 : 2 4 : 3 7   [ I ]   [ p r o x y _ m a n a g e r . 2 0 2 0 / 1 1 / 2 5   1 9 : 3 2 : 0 5   [ I ]   [ s e r v i c e . g o : 2 9 0 ]   [ 4 d 8 d a 0 5 9 a 1 c 4 e 7 1 0 ]   l o g i n   t o   s e r v e r   s u c c e s s ,   g e t   r u n   i d   [ 4 d 8 d a 0 5 9 a 1 c 4 e 7 1 0 ] ,   s e r v e r   u d p   p o r t   [ 0 ] 2 0 2 0 / 1 1 / 2 5   1 9 : 3 2 : 0 5   [ I ]   [ v i s i t o r _ m a n a g e r .
根 据 端 口 反 查 ： 断 开 连 接 后 查 看 ： f r p c 关 闭 服 务 后 查 看 ： 综 上 总 结 ： 程 序 运 行 时 有 1 2 7 . 0 . 0 . 1 : 2 2 的 监 听 和 网 络 连 接 会 有 一 定 特 征 进 程 启 动 未 编 译 版 本 可 通 过 指 纹 （ m d 5 ） 匹 配 2 、 检 测 “ 君 子 生 非 异 也 ， 善 假 于 物 也 ” ， 故 这 里 借 助 多 种 产 品 来 协 助 安 全 检 测 。 产 品 一 ： 程 序 运 行 时 刷 新 资 产 状 态 ， 可 以 查 看 到 f r p c 进 程 ： 通 过 网 络 连 接 查 看 ： 通 过 进 程 查 看 ： 通 过 m d 5 检 查 （ 这 里 偷 懒 就 对 比 了 一 下 值 ） ： 产 品 二 ： 通 过 网 络 连 接 查 看 ： [ r o o t @ l o c a l h o s t   ~ ] #   l s o f   - i : 5 5 7 2 8 C O M M A N D       P I D   U S E R       F D       T Y P E       D E V I C E   S I Z E / O F F   N O D E   N A M E f r p c         2 7 4 9 0   r o o t         8 u     I P v 4   1 1 5 1 8 3 3 1             0 t 0     T C P   l o c a l h o s t : 5 5 7 2 8 - > l o c a l h o s t : s s h   ( E S T A B L I S H E D ) s s h d         3 0 9 9 0   r o o t         3 u     I P v 4   1 1 4 8 3 0 5 0             0 t 0     T C P   l o c a l h o s t : s s h - > l o c a l h o s t : 5 5 7 2 8   ( E S T A B L I S H E D ) s e l e c t   d a t e t i m e , a g e n t _ i p , c m d , s r c _ i p , s r c _ p o r t , d s t _ i p , d s t _ p o r t , p n a m e   f r o m   q t e v e n t _ n e t _ c o n n e c t   w h e r e   d a t a t i m e   >   " n o w - 2 h "   w h e r e   p n a m e   l i k e   " f r p " s e l e c t   p i d   a s   进 程 I D ,   p r o c e s s N a m e   a s   进 程 名 称 ,   f r o m _ u n i x t i m e ( s t a r t T i m e )   a s   s t a r t _ t i m e ,   s t a r t A r g s   ,   m d 5   a s   M D 5   f r o m   w x . w i s t e r i a _ a s s e t s . l i n u x _ p r o c e s s   w h e r e   p r o c e s s N a m e   l i k e   " f r p " _ _ t o p i c _ _ : a e g i s - l o g - n e t w o r k   a n d   i p : 1 7 2 . 2 3 . 2 5 0 . 2 1 3   a n d   f r p c
通 过 进 程 查 看 ： 3 . 2   针 对 第 二 种 针 对 第 二 种 1 、 特 征 提 取 这 里 只 贴 图 ， 请 按 照 上 节 内 容 自 我 思 考 。 2 、 检 测 产 品 一 ： 通 过 网 络 连 接 查 看 : 通 过 进 程 查 看 ： 产 品 二 ： 通 过 网 络 连 接 查 看 ： _ _ t o p i c _ _ : a e g i s - l o g - p r o c e s s   a n d   i p : 1 7 2 . 2 3 . 2 5 0 . 2 1 3   a n d   f r p c s e l e c t   d a t e t i m e , a g e n t _ i p , c m d , s r c _ i p , s r c _ p o r t , d s t _ i p , d s t _ p o r t , p n a m e   f r o m   q t e v e n t _ n e t _ c o n n e c t   w h e r e   d a t a t i m e   >   " n o w - 2 h "   w h e r e   p n a m e   l i k e   " f r p " s e l e c t   p i d   a s   进 程 I D ,   p r o c e s s N a m e   a s   进 程 名 称 ,   f r o m _ u n i x t i m e ( s t a r t T i m e )   a s   s t a r t _ t i m e ,   s t a r t A r g s   ,   m d 5   a s   M D 5   f r o m   w x . w i s t e r i a _ a s s e t s . l i n u x _ p r o c e s s   w h e r e   p r o c e s s N a m e   l i k e   " f r p " _ _ t o p i c _ _ : a e g i s - l o g - n e t w o r k   a n d   i p : 1 7 2 . 2 3 . 2 5 0 . 2 1 3   a n d   f r p c
通 过 进 程 查 看 ： 3 . 3   针 对 于 客 户 端 针 对 于 客 户 端 流 量 分 析 类 安 全 产 品 可 以 根 据 特 征 检 测 。 四 、 绕 过 思 路 四 、 绕 过 思 路 4 . 1   数 据 包 特 征 分 析 数 据 包 特 征 分 析 传 统 的 流 量 分 析 安 全 设 备 是 根 据 规 则 来 命 中 事 件 类 型 ， 那 么 我 们 来 研 究 一 下 数 据 包 有 什 么 特 征 。 抓 取 了 一 次 从 建 立 连 接 到 s s h 登 陆 的 数 据 包 ， 干 干 净 净 的 话 大 概 2 0 个 。 找 到 第 一 个 传 输 f l a g 信 息 的 数 据 包 ， 右 键 F o l l o w — T C P   S t r e a m 先 从 数 据 包 中 分 析 有 用 的 字 段   v e r s i o n , h o s t n a m e , o s , a r c h , u s e r , p r i v i l e g e _ k e y , r u n i d , m e t a s ， 接 下 来 会 从 代 码 萌 新 层 面 讨 论 如 何 去 掉 特 征 。 4 . 2   代 码 分 析 代 码 分 析 g i t 拉 取 源 代 码 分 析 ， g i t   c l o n e h t t p s : / / g i t h u b . c o m / f a t e d i e r / f r p 首 先 定 位 到 先 拿 v e r s i o n 字 段 为 例 ， 第 二 三 段 均 为 f r p s 端 收 到 连 接 时 打 l o g 用 的 ， 所 以 不 用 考 虑 。 p k g / m s g / m s g . g o t y p e   L o g i n   s t r u c t   { V e r s i o n             s t r i n g                         ` j s o n : " v e r s i o n " ` H o s t n a m e           s t r i n g                         ` j s o n : " h o s t n a m e " ` O s                       s t r i n g                         ` j s o n : " o s " ` A r c h                   s t r i n g
我 们 打 开 第 一 段 会 定 位 到 ， 再 次 跟 进 到 ， 代 码 如 下 我 这 里 修 改 版 本 号 ” 0 . 3 4 . 3 ” 为 ” S S H - 2 . 0 - O p e n S S H _ 7 . 4 ” （ 一 时 脑 洞 ， 想 着 会 不 会 被 识 别 为 s s h 服 务 ， 哈 哈 ） 这 里 还 有 个 小 插 曲 ， 就 是 修 改 了 v e r s i o n 后 ， 建 立 连 接 时 返 回 翻 了 一 下 代 码 定 位 到 中 有 如 下 ： L e s s T h a n 函 数 中 会 去 做 一 堆 版 本 号 比 对 ， 检 测 什 么 呀 ， 直 接 把 返 回 值 r e t u r n   t r u e ， 或 者 把 返 回 值 r e t u r n   f a l s e 都 可 以 解 决 。 害 ， 发 现 好 多 参 数 都 是 发 了 个 寂 寞 ～ 既 然 如 此 ， 那 么 就 顺 便 修 改 一 下 o s 和 a r c h ， 用 了 个 很 l o w 很 简 单 方 法 好 了 ， 编 译 打 包 。 f r p 里 面 集 成 了 打 包 s h e l l ， 去 到 对 应 目 录 下 执 行 p a c k a g e . s h ， 结 果 如 下 ： 好 啦 ， 这 下 子 可 以 舒 舒 服 服 的 绕 过 安 全 检 测 了 吧 一 边 测 试 一 边 抓 包 看 是 否 能 绕 过 安 全 检 测 ~ 果 不 其 然 ， 还 是 检 测 出 来 了 ， 打 脸 了 不 哭 不 哭 ， 我 们 来 继 续 找 原 因 ， 先 看 一 下 数 据 包 仔 细 翻 了 翻 找 到 了 刚 刚 没 有 看 到 的 说 明 文 档 ， 里 面 描 述 了 用 户 登 陆 操 作 信 息 、 创 建 代 理 的 相 关 信 息 、 心 跳 相 关 信 息 、 新 增   f r p c   连 接 相 关 信 息 等 数 据 字 段 格 式 ， 结 合 上 图 ， 突 然 有 个 扎 眼 的 字 段 “ p r i v i l e g e _ k e y ” ， 此 时 想 了 一 下 如 果 单 独 从 前 面 几 个 字 段 的 k e y 去 做 特 征 误 报 率 太 高 了 ， 如 果 我 设 计 就 找 几 个 特 殊 的 k e y 和 几 个 特 殊 的 v a l u e 。 心 中 定 了 想 法 ， 就 去 看 一 下 这 个 k e y 。 c l i e n t / s e r v i c e . g o p k g / u t i l / v e r s i o n / v e r s i o n . g o v a r   v e r s i o n   s t r i n g   =   " 0 . 3 4 . 3 " f u n c   F u l l ( )   s t r i n g   { r e t u r n   v e r s i o n } " P l e a s e   u p g r a d e   y o u r   f r p c   v e r s i o n   t o   a t   l e a s t   0 . 1 8 . 0 " p k g / u t i l / v e r s i o n / v e r s i o n . g o f u n c   C o m p a t ( c l i e n t   s t r i n g )   ( o k   b o o l ,   m s g   s t r i n g )   { i f   L e s s T h a n ( c l i e n t ,   " 0 . 1 8 . 0 " )   { r e t u r n   f a l s e ,   " P l e a s e   u p g r a d e   y o u r   f r p c   v e r s i o n   t o   a t   l e a s t   0 . 1 8 . 0 " } r e t u r n   t r u e ,   " " } f u n c   L e s s T h a n C o m p a t L e s s T h a n 2 0 2 0 / 1 1 / 2 5   1 0 : 0 7 : 4 5   [ I ]   [ s e r v i c e . g o : 4 4 4 ]   [ f d 5 d 9 a 9 4 2 7 8 e 3 5 b 7 ]   c l i e n t   l o g i n   i n f o :   i p   [ 1 0 6 . 1 2 0 . 2 4 7 . 1 8 8 : 8 1 0 3 ]   v e r s i o n   [ 0 . 3 4 . 3 ]   h o s t n a m e   [ ]   o s   [ d a r w i n ]   a r c h   [ a m d 6 4 ] v a r   n e w A r c h   s t r i n g   =   " s o l o s e c " v a r   n e w O s   s t r i n g   =   " u n k n o w " l o g i n M s g   : =   & m s g . L o g i n { / / A r c h :             r u n t i m e . G O A R C H , A r c h :   n e w A r c h , / / O s :                 r u n t i m e . G O O S , O s :                 n e w O s , P o o l C o u n t :   s v r . c f g . P o o l C o u n t , U s e r :             s v r . c f g . U s e r , V e r s i o n :       v e r s i o n . F u l l ( ) , T i m e s t a m p :   t i m e . N o w ( ) . U n i x ( ) , R u n I D :           s v r . r u n I D , M e t a s :           s v r . c f g . M e t a s , } ( n e w - e n v )   ➜     f r p   g i t : ( d e v )   ✗   . / p a c k a g e . s h               g o   f m t   . / . . . e n v   C G O _ E N A B L E D = 0   g o   b u i l d   - l d f l a g s   " - s   - w "   - o   b i n / f r p s   . / c m d / f r p s e n v   C G O _ E N A B L E D = 0   g o   b u i l d   - l d f l a g s   " - s   - w "   - o   b i n / f r p c   . / c m d / f r p c b u i l d   v e r s i o n :   S S H - 2 . 0 - O p e n S S H _ 7 . 4 e n v   C G O _ E N A B L E D = 0   G O O S = d a r w i n   G O A R C H = a m d 6 4   g o   b u i l d   - l d f l a g s   " - s   - w "   - o   . / d o c / s e r v e r _ p l u g i n _ z h . m d
这 里 重 点 是 第 一 个 文 件 ， 第 二 三 个 均 是 d o c 里 面 的 内 容 ， 不 用 管 。 这 里 看 了 一 下 P r i v i l e g e K e y 在 和 都 有 关 联 ， 但 是 字 段 名 却 只 有 这 个 文 件 包 含 了 3 次 ， 全 局 替 换 一 波 字 段 名 ， 老 样 子 编 译 打 包 一 波 。 随 手 一 测 ~ （ 不 要 问 ， 需 要 结 果 的 同 学 自 己 动 手 试 一 下 就 知 道 了 ） 五 、 思 考 五 、 思 考 做 一 些 发 散 思 考 和 思 路 ， 时 间 原 因 ， 并 未 全 部 尝 试 ； 攻 防 本 是 对 抗 过 程 ， 文 中 方 法 可 能 随 时 失 效 ， 授 人 鱼 不 如 授 人 以 渔 。 5 . 1   针 对 特 征 绕 过 的 检 测 针 对 特 征 绕 过 的 检 测 上 文 中 绕 过 是 在 建 立 连 接 时 用 户 发 送 登 录 信 息 给 服 务 端 时 ， 那 么 如 果 针 对 此 检 测 可 以 有 两 个 思 路 ： 1 、 提 取 登 录 信 息 的 新 特 征 ， 防 止 正 则 匹 配 绕 过 2 、 对 前 置 或 后 置 阶 段 特 征 提 取 ， 如 发 送 R P C 请 求 建 立 连 接 数 据 包 、 建 立 连 接 后 的 心 跳 数 据 包 （ 最 近 读 安 全 客 有 感 ， 可 参 照 引 用 和 致 谢 [ 2 ] ） 5 . 2   N e t F l i t e r 检 测 流 量 转 发 检 测 流 量 转 发 N e t F i l t e r 可 以 针 对 L i n u x 包 过 滤 、 网 络 地 址 转 换 ( N A T ) 和 基 于 协 议 类 型 的 连 接 跟 踪 ， 可 以 做 多 个 H O O K 点 ， 我 们 可 以 抽 象 流 量 转 发 模 型 有 以 下 特 征 ： 数 据 包 内 容 相 同 ， 但 五 元 组 不 同 数 据 包 间 隔 时 间 短 会 在 1 2 7 . 0 . 0 . 1 上 面 做 些 文 章 以 上 特 征 用 代 码 实 现 用 作 入 侵 检 测 取 证 时 很 棒 ， 有 魄 力 的 也 可 以 做 成 服 务 检 测 报 送 式 ， 用 s a l t 或 a n s i b l e 推 送 到 服 务 器 检 测 。 5 . 3   f r p s   I P 隐 藏 隐 藏 设 想 ， 每 次 得 手 后 都 会 在 服 务 器 留 一 个 明 文 的 . i n i 文 件 ， 应 急 响 应 和 溯 源 时 岂 不 是 白 白 送 上 思 路 ？ 以 上 已 有 师 傅 实 现 ， 可 参 照 引 用 和 致 谢 [ 3 ] 5 . 4   补 偿 控 制 补 偿 控 制 f r p c 很 多 人 会 在 B Y O D 终 端 启 动 ， 个 人 的 测 试 中 几 款 p c 端 的 a g e n t 都 无 法 从 服 务 端 采 集 到 终 端 的 f r p 软 件 信 息 和 事 件 ， 故 在 没 有 更 好 的 方 法 之 前 用 一 些 手 段 去 补 偿 控 制 ， 当 然 这 些 手 段 也 需 要 不 断 的 建 设 和 运 营 ， 在 阶 段 初 期 误 报 率 和 复 杂 度 估 计 会 很 高 。 服 务 器 只 允 许 堡 垒 机 I P 登 录 ， 其 它 i p 做 限 制 或 登 录 告 警 （ 针 对 使 用 f r p 映 射 非 s s h 服 务 无 法 奏 效 ） 抓 取 出 互 联 网 流 量 中 心 跳 特 征 包 （ 很 多 S a a s 服 务 会 有 心 跳 包 ， 会 产 生 大 量 误 报 ， 这 个 需 要 运 营 ， 如 果 流 量 分 析 产 品 可 以 实 现 则 更 佳 ） 零 信 任 解 决 方 案 ， 基 于 账 号 、 角 色 、 权 限 、 访 问 对 象 ， 结 合 微 隔 离 、 S D P ， 极 端 一 些 可 以 达 到 M A C （ 强 制 访 问 控 制 ） 模 型 六 、 引 用 和 致 谢 六 、 引 用 和 致 谢 p k g / m s g / m s g . g o p k g / a u t h / t o k e n . g o p k g / a u t h / o i d c . g o
感 谢 引 用 中 各 位 大 佬 和 团 队 的 分 享 精 神 ！ f r p 是 一 个 免 费 开 源 且 在 开 发 中 的 软 件 ， 我 相 信 它 会 越 来 越 好 ； 各 安 全 检 测 方 法 和 测 试 手 法 也 仅 限 于 本 人 研 究 过 的 产 品 和 特 定 版 本 ， 不 能 以 偏 概 全 。 如 果 文 章 中 有 任 何 描 述 不 正 确 或 引 用 不 当 的 地 方 ， 辛 苦 大 佬 们 指 正 。 也 欢 迎 各 位 安 全 同 僚 拍 砖 、 交 流 和 技 术 分 享 ！ 微 信 ： s o l o s e c 或 f r e e b u f 留 言 交 流 ～ 引 用 来 源 ： [ 1 ] h t t p s : / / g o f r p . o r g / d o c s / f r p 官 方 文 档 [ 2 ] h t t p s : / / m p . w e i x i n . q q . c o m / s / f 1 1 p M e 5 5 a F R 9 2 N f H _ V N g B g 入 侵 检 测 系 列 1 （ 上 ） ： 基 于 私 有 协 议 的 加 密 流 量 分 析 思 路 （ T e a m v i e w e r 篇 ） [ 3 ] h t t p s : / / u k n o w s e c . c n / p o s t s / n o t e s / F R P % E 6 % 9 4 % B 9 % E 9 % 8 0 % A 0 % E 8 % A E % A 1 % E 5 % 8 8 % 9 2 . h t m l F R P 改 造 计 划 精 彩 推 荐 精 彩 推 荐 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理