搜索

[18813] 2020-08-17_应急响应手册-溯源篇（三）

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2020-08-17_应急响应手册-溯源篇（三） 应 急 响 应 手 册 - 溯 源 篇 （ 三 ） 原 创   花 十 一 一   h u a s e c   2 0 2 0 - 0 8 - 1 7 收 录 于 话 题   # 应 急 响 应   , 2 6 个 “   未 来 某 几 天 将 发 生 一 年 一 度 的 X X 活 动 ， 故 将 手 册 的 溯 源 篇 提 前 发 出 来 ， 分 享 一 些 自 己 在 溯 源 上 的 小 思 路 。 ” 应 急 响 应 手 册 - 概 念 介 绍 （ 一 ） 应 急 响 应 手 册 - 概 念 介 绍 （ 二 ） 应 急 响 应 手 册 - 概 念 介 绍 （ 三 ） 应 急 响 应 手 册 - W i n d o w s 系 统 进 程 介 绍 应 急 响 应 手 册 - 溯 源 篇 （ 一 ） 应 急 响 应 手 册 - 溯 源 篇 （ 二 ）             X X 活 动 即 将 开 始 ， 蓝 方 需 要 溯 源 ， 溯 源 的 前 提 是 I P 属 性 的 识 别 ， 下 面 介 绍 几 种 I P 识 别 方 法 。 0 1 — 爬 虫 识 别 （ 1 ） 通 过 U A 识 别 爬 虫 搜 索 引 擎 、 商 业 引 擎 、 开 源 爬 虫 框 架 等 使 用 的 U A 一 般 特 征 明 确 ， 搜 索 引 擎 （ 如 百 度 ） 使 用 的 U A 都 是 通 过 互 联 网 可 查 询 ， 一 般 都 是 确 定 的 。 由 于 大 部 分 网 站 需 要 搜 索 引 擎 爬 虫 访 问 ， 因 此 有 很 多 伪 造 搜 索 引 擎 U A 的 请 求 。 那 么 如 何 识 别 正 常 的 搜 索 引 擎 和 伪 造 的 搜 索 引 擎 请 求 呢 ？ 目 前 大 部 分 搜 索 引 擎 的 爬 虫 I P 支 持 r d n s 查 询 ， 根 据 查 询 结 果 可 以 确 定 对 应 的 搜 索 引 擎 厂 商 。 （ 2 ） 频 繁 变 换 U A 恶 意 爬 虫 为 了 模 拟 正 常 访 问 ， 欺 骗 防 护 服 务 ， 会 采 用 不 断 变 换 U A 的 方 式 对 抗 防 护 服 务 。 假 设 某 I P 在 指 定 时 间 内 访 问 了 M 个 域 名 ， 使 用 了 N 个 U A ， 如 果 M 和 N 满 足 内 置 的 一 些 检 测 条 件 ， 则 认 为 当 前 I P 在 频 繁 变 化 U A ， 行 为 可 疑 ， 需 要 进 行 标 记 。 （ 3 ） 使 用 代 理 I P 池 为 避 免 单 一 I P 请 求 特 征 明 显 ， 易 被 防 护 服 务 识 别 的 缺 点 ， 恶 意 爬 虫 会 通 过 代 理 I P 池 使 用 大 量 I P 进 行 访 问 ， 以 便 降 低 每 个 I P 的 请 求 量 和 请 求 特 征 。 这 类 I P 请 求 通 常 具 有 请 求 量 小 、 分 散 、 域 名 多 、 与 正 常 请 求 关 联 度 小 等 特 点 。 （ 4 ） 通 过 时 间 维 度 判 断 爬 虫 I P 爬 虫 请 求 时 间 粒 度 有 较 大 差 异 ， 有 些 爬 虫 为 了 获 取 网 站 实 时 最 新 信 息 ， 会 全 天 候 不 间 断 请 求 ； 有 些 为 了 避 免 影 响 网 站 或 者 用 户 工 作 时 间 访 问 被 发 现 会 在 特 定 时 间 访 问 。 A . 全 天 高 频 访 问 ， 对 于 大 部 分 网 站 ， 正 常 用 户 请 求 都 会 集 中 在 有 限 的 时 间 范 围 内 ， 全 天 绝 大 部 分 时 间 都 在 请 求 ， 且 请 求 次 数 多 的 行 为 很 大 概 率 是 异 常 访 问 行 为 。 这 类 特 征 的 请 求 由 于 时 间 范 围 广 、 访 问 量 大 ， 对 网 站 的 资 源 消 耗 较 大 。 B . 非 工 作 时 间 高 频 访 问 ， 通 过 历 史 日 志 分 析 发 现 ， 正 常 的 用 户 请 求 一 般 集 中 在 工 作 时 间 ， 非 工 作 时 间 的 大 量 访 问 很 大 概 率 是 异 常 访 问 行 为 。 这 类 行 为 虽 然 对 网 站 工 作 时 间 内 的 服 务 影 响 不 大 ， 但 也 是 在 消 耗 网 站 资 源 。 0 2 — 扫 描 识 别 （ 1 ） 基 于 字 典 进 行 扫 描 的 特 征 识 别 对 任 一 网 站 来 说 ， 其 使 用 的 W e b 服 务 端 开 发 语 言 、 开 发 框 架 是 确 定 唯 一 的 ， 比 如 J S P / A S P / P H P ； 使 用 的 W e b 服 务 器 、 中
间 件 也 是 确 定 唯 一 的 ， 比 如 I I S / A p a c h e / N g i n x 。 无 论 是 W e b 开 发 框 架 还 是 W e b 服 务 器 、 中 间 件 ， 已 发 布 的 版 本 中 均 会 存 在 一 些 已 知 或 未 知 的 可 被 利 用 的 W e b 漏 洞 。 基 于 上 述 分 析 ， 我 们 可 以 发 现 网 站 一 般 具 有 以 下 特 征 ： 1 、 具 有 特 定 且 唯 一 的 W e b 语 言 相 关 的 资 源 文 件 （ 如 . p h p   . a s p   . j s p ） 2 、 资 源 文 件 列 表 是 确 定 的 3 、 特 殊 敏 感 的 资 源 文 件 一 般 是 不 需 要 对 外 访 问 的 （ 如 . s q l   . s v n ） 如 果 I P 同 时 访 问 了 多 个 W e b 语 言 相 关 的 资 源 文 件 ， 比 如 既 访 问 了 . p h p 又 访 问 了 . j s p ， 则 认 为 当 前 I P 有 较 高 的 扫 描 行 为 嫌 疑 ； 0 3 — 攻 击 者 识 别 将 d n s l o g 平 台 中 的 特 有 字 段 p a y l o a d 带 入 目 标 发 起 d n s 请 求 ， 通 过 d n s 解 析 将 请 求 后 的 关 键 信 息 组 合 成 新 的 三 / 四 级 域 名 带 出 ， 在 n s 服 务 器 的 d n s 日 志 中 显 示 出 来 。 使 用 d n s l o g 可 以 测 试 s q l i 、 r c e 、 s s r f 、 r f i 。 常 用 的 常 用 的 d n s l o g 平 台 平 台 c e y e . i o     a d m i n . d n s l o g . l i n k   w w w . d n s l o g . c n       d n s l o g . i o   h y u g a . c o   d n s l o g . c n   t u 4 . o r g   h . i . y d s c a n . n e t a w v s s c a n 1 1 9 . a u t o v e r i f y . c n 如 果 以 上 d n s l o g 平 台 出 现 的 数 据 包 中 ， 可 以 喜 提 攻 击 者 I P 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理