设为首页收藏本站
切换到窄版

 找回密码
 立即注册
搜索
热搜: 活动 交友 discuz
Nmaps Club»论坛 › Pentests Wiki › Wiki › 护网 › [21536] 2020-12-24_流量分析与日志溯源的个人理解 ...
返回列表 发新帖
查看: 3|回复: 0

[21536] 2020-12-24_流量分析与日志溯源的个人理解

[复制链接]
s7ckTeam

6万

主题

-6万

回帖

-58

积分

管理员

积分
-58
发表于 5 天前 | 显示全部楼层 |阅读模式
2020-12-24_流量分析与日志溯源的个人理解 流 量 分 析 与 日 志 溯 源 的 个 人 理 解 转 自 乌 雲 安 全   L e m o n S e c   2 0 2 0 - 1 2 - 2 4 下 面 是 我 结 合 网 上 论 坛 以 及 个 人 的 一 些 想 法 针 对 日 志 分 析 溯 源 的 个 人 理 解 下 面 是 我 结 合 网 上 论 坛 以 及 个 人 的 一 些 想 法 针 对 日 志 分 析 溯 源 的 个 人 理 解 现 阶 段 大 部 分 企 业 都 会 上 日 志 审 计 设 备 ， 在 配 上 流 量 分 光 ， 还 有 各 类 I D S 、 W A F 等 设 备 日 志 ， 对 安 全 溯 源 分 析 十 分 方 便 ， 但 在 日 常 工 作 中 ， 免 不 了 要 直 接 看 服 务 器 相 关 请 求 日 志 的 情 况 ， 这 个 时 候 就 需 要 我 们 自 身 具 备 日 志 分 析 的 能 力 了 。 一 、 日 志 分 析 流 程 一 、 日 志 分 析 流 程 1 、 统 计 、 统 计 首 先 需 要 对 数 据 进 行 处 理 ， 如 请 求 I P 统 计 ， 访 问 地 址 统 计 ， H T T P 状 态 码 统 计 等 ， 这 些 数 据 统 计 可 以 使 用 e x c e l 或 者 p y t h o n 脚 本 ， 如 果 手 头 有 各 类 工 具 那 就 更 容 易 统 计 了 。 2 、 威 胁 发 现 、 威 胁 发 现 关 键 字 过 滤 ： 直 接 查 找 在 请 求 中 携 带 的 关 键 字 ， 如 s c r i p t 、 s e l e c t 、 f r o m 、 e c h o 、 b a s h 、 . s h 等 查 看 异 常 请 求 ： 4 X X 请 求 、 5 X X 请 求 行 为 分 析 ： 由 于 日 志 大 概 率 不 会 记 录 p o s t 请 求 体 ， 所 以 在 p o s t 请 求 包 体 中 的 攻 击 往 往 很 难 发 现 ， 这 个 时 候 就 需 要 我 们 对 特 定 的 I P 进 行 行 为 查 看 ， 如 查 询 I P 的 威 胁 情 报 ， 某 个 I P 登 录 了 多 个 账 号 等 等 3 、 报 告 撰 写 、 报 告 撰 写
在 报 告 中 我 们 重 点 要 体 现 某 个 I P 或 者 某 些 I P 的 攻 击 画 像 ， 确 定 这 些 I P 的 攻 击 行 为 ， 以 便 最 终 确 定 是 否 来 着 同 一 拨 攻 击 ， 还 是 互 联 网 上 的 肉 鸡 日 常 扫 描 。 p s   e x c e l 中 的 数 据 透 视 表 功 能 是 真 的 香 ， 谁 用 谁 知 道 。 二 、 在 日 志 中 看 到 的 行 为 分 析 二 、 在 日 志 中 看 到 的 行 为 分 析       1 、 恶 意 、 恶 意 I P 请 求 带 有 多 个 身 份 操 作 请 求 带 有 多 个 身 份 操 作 可 以 看 到 上 述 日 志 中 ， 某 I P 对 登 录 了 邮 件 并 进 行 了 相 关 操 作 ， 可 以 看 到 其 登 录 了 不 同 的 账 户 ， 那 么 这 个 时 候 怎 么 判 断 其 是 正 常 的 请 求 还 是 恶 意 请 求 呢 ？ ( 1 ) 、 威 胁 情 报 ， 查 找 请 求 I P 相 关 的 威 胁 情 报 信 息 ， 如 果 是 恶 意 I P 那 么 大 概 率 就 有 可 能 是 恶 意 访 问 了 ( 2 ) 、 观 察 请 求 中 的 U A 标 识 ， 如 果 U A 标 识 一 样 ， 那 么 是 恶 意 访 问 的 概 率 就 又 增 加 了 ( 3 ) 、 观 察 这 个 I P 前 的 一 些 请 求 行 为 ， 你 就 可 能 发 现 来 着 不 同 I P 的 登 录 请 求 ， 恶 意 攻 击 前 的 撞 库 攻 击 ， 这 时 基 本 就 可 以 坐 实 了 ( 4 ) 、 联 系 相 关 人 员 看 该 I P 是 否 归 属 自 己 （ 太 麻 烦 ， 一 般 不 会 用 ） ， 可 以 在 二 次 确 认 时 使 用 。 2 、 非 正 常 请 求 、 非 正 常 请 求 正 常 业 务 逻 辑 不 会 发 送 的 请 求 ， 这 些 可 以 通 过 关 键 词 快 速 查 找 过 滤 3 、 扫 描 行 为 、 扫 描 行 为 通 过 过 滤 4 0 4 请 求 和 G E T 等 ， 可 以 发 现 某 些 I P 的 目 录 扫 描 探 测 行 为 ， 同 时 在 通 过 I P 去 过 滤 状 态 码 是 2 0 0 的 请 求 ， 可
以 发 现 一 些 安 全 隐 患 。 4 、 重 要 接 口 、 重 要 接 口 可 以 根 据 自 己 的 业 务 类 型 ， 对 一 些 敏 感 接 口 地 址 进 行 查 找 ， 观 察 其 访 问 行 为 。 5 、 扫 描 器 特 征 请 求 、 扫 描 器 特 征 请 求 w v s 、 a c u n e t i x 、 t e s t 、 a p p s c a n 、 n e s s u s 、 w e b r e a v e r 、 s q l m a p 、 b x s s . m e 等 b e s s . m e 是 a w v s 其 中 一 个 X S S 扫 描 插 件 的 地 址 。 部 分 扫 描 器 带 有 固 定 的 特 征 值 ， 需 要 平 时 积 累 发 现 。 6 、 关 键 词 查 找 、 关 键 词 查 找 s e l e c t 、 s l e e p 、 e c h o 、 b a s h 、 d o w n 、 p a s s w d 等 使 用 这 些 敏 感 的 关 键 字 也 能 迅 速 定 位 攻 击 请 求 ， 上 图 就 是 使 用 s q l m a p 跑 注 入 所 产 生 的 日 志 。 7 、 一 些 特 征 性 的 请 求 、 一 些 特 征 性 的 请 求 s q l m a p 的 W A F 探 测 请 求 8 、 同 源 分 析 （ 对 于 个 人 能 力 要 求 比 较 高 ） 、 同 源 分 析 （ 对 于 个 人 能 力 要 求 比 较 高 ） 恶 意 代 码 分 析 是 检 测 和 防 范 恶 意 代 码 的 重 要 基 础 。 在 反 病 毒 领 域 的 实 际 应 用 中 ， 除 了 分 析 恶 意 代 码 的 各 种 外 部 表 现 ， 还 关 心 恶 意 代 码 在 同 源 演 化 方 面 的 内 在 特 性 ， 包 括 恶 意 代 码 从 何 而 来 、 如 何 发 展 变 化 以 及 相 互 之 间 的 关 系 等 。 目 前 仅 有 少 量 专 门 针 对 恶 意 代 码 同 源 与 演 化 分 析 技 术 的 研 究 。 对 恶 意 程 序 进 行 反 汇 编 之 后 ， 从 命 令 序 列 、 字 符 串 序 列 提 取 出 一 段 特 征 码 作 为 特 征 ， 提 取 筛 选 出 相 同 的 特 征 码 ， 挑 选 一 些 加 密 算 法 代 码 作 为 特 征 码 ， 可 以 使 用 B i n d i f f 来 比 较 已 有 样 本 相 似 的 代 码 片 段 ， 找 到 相 似 度 较 高 且 不 是 系 统 A P I 的 函 数 。 优 先 选 取 B l o c k s 数 较 多 、 匹 配 指 令 数 较 多 的 函 数 ， 降 低 误 报 的 几 率 ， 分 析 时 。 除 此 之 外 ， 也 可 以 使 用 一 些 自 动 化 提 取 y a r a 规 则 的 工 具 可 以 使 用 ， 比 如 y a r g e n ： h t t p s : / / g i t h u b . c o m / N e o 2 3 x 0 / y a r G e n 。
提 取 出 来 的 恶 意 程 序 的 特 征 码 ， 可 以 在 V T 上 进 行 关 联 ， 来 追 踪 相 似 攻 击 组 件 。 V i r u s t o t a l 的 使 用 的 使 用 V i r u s T o t a l ， 是 一 个 提 供 免 费 的 可 疑 文 件 分 析 服 务 的 网 站 ， 可 以 通 过 多 种 反 病 毒 引 擎 扫 描 文 件 使 用 多 种 反 病 毒 引 擎 对 您 所 上 传 的 文 件 进 行 检 测 , 以 判 断 文 件 是 否 被 病 毒 , 蠕 虫 , 木 马 , 以 及 各 类 恶 意 软 件 感 染 。 V i r u s T o t a l 每 1 5 分 钟 更 新 一 次 病 毒 资 料 库 ， 可 以 实 时 提 供 最 新 的 反 病 毒 引 擎 以 检 测 出 大 部 分 可 能 的 威 胁 。 同 时 可 以 筛 选 出 相 同 的 特 征 码 片 段 样 本 ， 在 搜 索 框 搜 索 之 后 可 以 对 比 往 期 相 关 样 本 本 的 活 跃 ， 打 开 详 细 信 息 可 以 查 看 是 什 么 组 织 开 发 并 使 用 的 攻 击 组 件 ， 通 过 这 种 方 式 可 以 关 联 出 该 组 织 所 使 用 的 攻 击 组 件 。 最 后 将 y a r a 规 则 添 加 到 h u n t i n g 中 ， 一 旦 v i r u s t o t a l 捕 获 到 新 的 样 本 符 合 这 条 规 则 ， 就 会 立 刻 通 知 我 们 。 三 、 对 于 挖 矿 病 毒 我 想 说 的 几 个 点 三 、 对 于 挖 矿 病 毒 我 想 说 的 几 个 点 针 对 于 我 们 大 批 量 服 务 器 的 日 志 分 析 工 作 ， 可 能 会 碰 到 比 较 多 的 挖 矿 病 毒 ， 现 在 的 挖 矿 病 毒 种 类 多 ， 加 载 方 式 多 ， 这 里 简 单 总 结 几 个 点 1 、 挖 矿 病 毒 是 怎 么 进 入 到 服 务 器 的 、 挖 矿 病 毒 是 怎 么 进 入 到 服 务 器 的 大 多 数 挖 矿 病 毒 进 入 到 服 务 器 都 是 不 是 特 意 针 对 性 的 ， 一 般 都 是 利 用 现 成 的 攻 击 包 程 序 ， 对 网 络 上 所 有 的 I P 地 址 进 行 扫 描 攻 击 ， 然 后 在 目 标 机 器 执 行 自 己 构 造 好 的 攻 击 载 荷 ， 就 可 达 到 快 速 传 播 木 马 的 目 的 ， 由 于 挖 矿 木 马 的 特 点 是 利 用 快 速 控 制 大 量 肉 鸡 组 建 挖 矿 网 络 进 行 计 算 ， 而 不 需 要 选 取 特 定 的 目 标 ， 所 以 大 多 数 的 挖 矿 病 毒 都 是 批 量 进 行 的 ， 通 过 一 些 常 用 的 w e b 漏 洞 ， 系 统 漏 洞 ， 弱 口 令 ， 还 有 一 些 比 较 少 见 的 0 d a y ， N d a y ， 以 及 文 件 捆 绑 ， 下 载 器 等 等 。 2 、 挖 矿 病 毒 的 特 征 、 挖 矿 病 毒 的 特 征 一 般 服 务 器 感 染 到 挖 矿 病 毒 后 ， 服 务 器 会 超 负 荷 运 转 ， 主 要 表 现 在 C P U 的 使 用 率 上 。 挖 矿 病 毒 执 行 后 需 要 连 接 挖 矿 池 ， 这 里 肯 定 是 有 外 连 的 。 挖 矿 病 毒 在 运 行 时 ， 因 占 用 大 量 系 统 资 源 ， 造 成 系 统 卡 顿 后 容 易 被 察 觉 ， 所 以 会 使 用 伪 装 成 系 统 文 件 、 无 文 件 持 久 化 等 技 术 保 护 自 身 。 挖 矿 病 毒 的 套 路 特 征 参 考 文 章 ： h t t p s : / / z h u a n l a n . z h i h u . c o m / p / 1 6 4 5 5 7 9 4 3 3 、 针 对 无 文 件 落 地 的 、 针 对 无 文 件 落 地 的 p o w e r s h e l l 马 马 之 前 碰 到 过 一 些 没 有 文 件 落 地 ， 通 过 在 P o w e r s h e l l 中 嵌 入 P E 文 件 加 载 的 形 式 ， 达 到 执 行 “ 无 文 件 ” 形 式 挖 矿 攻 击 。 挖 矿 木 马 执 行 方 式 没 有 文 件 落 地 ， 直 接 在 P o w e r s h e l l . e x e 进 程 中 运 行 ， 这 种 注 入 “ 白 进 程 ” 执 行 的 方 式 可 能 造 成 难 以 检 测 和 清 除 恶 意 代 码 。 在 感 染 机 器 上 安 装 计 划 任 务 ， 通 过 计 划 任 务 启 动 P o w e r s h e l l 攻 击 模 块 ( 无 文 件 落 地 ) ， P o w e r s h e l l 攻 击 模 块 包 含 利 用   “ 永 恒 之 蓝 ” 漏 洞 攻 击 、 弱 口 令 爆 破 + W M I C 、   P a s s   t h e   h a s h 攻 击 代 码 。 在 攻 陷 的 机 器 上 执 行 P a y l o a d 安 装 计 划 任 务 ， 上 传 文 件 到 启 动 目 录 ， 相 应 的 P a y l o a d 执 行 后 继 续 进 行 下 一 轮 感 染 。
在 w i n d o w s 下 查 看 某 个 运 行 程 序 （ 或 进 程 ） 的 命 令 行 参 数 使 用 下 面 的 命 令 ： 如 果 想 查 询 某 一 个 进 程 的 命 令 行 参 数 ， 使 用 下 列 方 式 ： 这 样 就 可 以 得 到 进 程 的 可 执 行 文 件 位 置 等 信 息 。 这 样 可 以 查 看 p o w e r s h e l l 的 运 行 命 令 下 面 这 个 是 我 之 前 碰 到 的 一 个 p o w e r s h e l l 挖 矿 马 h t t p s : / / b l o g . c s d n . n e t / w e i x i n _ 4 4 5 7 8 3 3 4 / a r t i c l e / d e t a i l s / 1 0 7 4 3 8 0 3 8 四 、 写 报 告 时 注 意 的 点 四 、 写 报 告 时 注 意 的 点   1 、 不 一 定 恶 意 I P 的 请 求 就 是 攻 击 行 为 2 、 相 同 的 p a y l o a d 在 不 同 的 I P 请 求 ， 可 以 将 其 划 分 同 一 人 3 、 部 分 I P 的 请 求 量 较 低 ， 但 存 在 恶 意 行 为 ， 可 能 为 真 实 I P （ 具 体 可 从 漏 扫 成 功 的 地 方 去 跟 踪 ） 4 、 日 志 中 并 无 同 一 地 理 位 置 的 两 个 I P 同 一 一 个 时 间 区 间 出 现 ， 大 概 率 是 可 以 说 是 同 一 人 所 为 5 、 查 询 大 量 I P ， 发 现 威 胁 情 报 大 多 是 撞 库 攻 击 。 这 些 地 址 可 能 不 是 来 自 攻 击 团 队 ， 而 是 来 自 互 联 网 上 的 扫 描 6 丶 有 些 挖 矿 病 毒 的 程 序 里 面 不 会 直 接 连 接 ， 而 是 通 过 加 载 器 的 方 式 加 载 一 串 加 密 代 码 来 连 接 挖 矿 池 ， 不 要 因 为 查 杀 不 到 病 毒 就 判 断 服 务 器 是 安 全 的 。 五 、 总 结 五 、 总 结 我 了 解 的 日 志 流 量 分 析 溯 源 是 比 较 有 规 章 顺 序 的 一 套 流 程 ， 从 取 证 到 溯 源 ， 但 是 针 对 于 目 前 我 们 流 量 日 志 分 析 的 方 式 ， 我 感 觉 还 是 有 很 多 局 限 性 的 , 有 很 多 的 特 征 以 及 排 查 都 是 需 要 登 录 到 服 务 器 才 能 更 有 效 快 速 的 解 决 发 现 问 题 ， 这 个 也 是 出 于 客 户 环 境 的 原 因 ， 对 于 流 量 分 析 溯 源 人 员 的 权 限 问 题 也 是 对 溯 源 工 作 的 。 作 者 ： 作 者 ： A z j j 9 8 来 源 ： 来 源 ： h t t p s : / / b l o g . c s d n . n e t / w e i x i n _ 4 4 5 7 8 3 3 4 欢 迎 各 位 关 注 作 者 博 客 。 欢 迎 各 位 关 注 作 者 博 客 。 w m i c   p r o c e s s   g e t   c a p t i o n , c o m m a n d l i n e   / v a l u e w m i c   p r o c e s s   w h e r e   c a p t i o n = ” x x x . e x e ”   g e t   c a p t i o n , c o m m a n d l i n e   / v a l u e
一 如 既 往 的 学 习 ， 一 如 既 往 的 整 理 ， 一 如 即 往 的 分 享 。 感 谢 支 持 “ 如 侵 权 请 私 聊 公 众 号 删 文 ” 扫 描 关 注 扫 描 关 注 L e m o n S e c 觉 得 不 错 点 个 觉 得 不 错 点 个 “ 赞 赞 ” 、 、 “ 在 看 在 看 ” 哦 哦
回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver|手机版|小黑屋|Nmaps Club

GMT+8, 2025-1-23 10:36 , Processed in 0.386942 second(s), 30 queries .

Powered by Discuz! X3.5

© 2001-2025 Discuz! Team.

快速回复 返回顶部 返回列表