搜索

[28721] 2021-01-09_一次短信验证码攻击的应急响应

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-19
2021-01-09_一次短信验证码攻击的应急响应 一 次 短 信 验 证 码 攻 击 的 应 急 响 应 T r i 0 m p h e   O t s 安 全   2 0 2 1 - 0 1 - 0 9 一 次 短 信 验 证 码 攻 击 的 应 急 响 应 一 次 短 信 验 证 码 攻 击 的 应 急 响 应 前 言 前 言 前 段 时 间 客 户 现 场 被 攻 击 ， 客 户 找 到 了 公 司 ， 公 司 找 到 了 我 ， 于 是 有 了 这 一 次 的 应 急 响 应 ， 因 为 第 一 次 搞 ， 所 以 记 录 一 下 整 个 过 程 。 一 、 要 做 什 么 一 、 要 做 什 么 刚 开 始 不 知 道 干 啥 ， 非 常 迷 茫 ， 通 过 老 大 的 教 导 ， 事 后 总 结 了 下 面 几 条 个 人 觉 得 非 常 重 要 的 点 。 1 .   事 件 确 认 ， 发 生 什 么 事 情 了 ， 什 么 时 间 ， 是 否 紧 急 ， 影 响 程 度 等 。 2 .   确 定 攻 击 动 机 ， 别 人 为 什 么 攻 击 我 们 3 .   确 认 攻 击 手 段 ， 利 用 什 么 漏 洞 进 行 攻 击 的 ， 我 们 的 应 用 是 否 存 在 高 危 漏 洞 ， 还 是 某 一 个 中 间 件 ， 还 是 其 他 攻 击 手 段 4 .   制 定 解 决 方 案 ， 包 括 临 时 解 决 方 案 和 最 终 解 决 方 案 。 临 时 解 决 方 案 为 了 快 速 应 对 问 题 ， 最 终 解 决 方 案 为 了 彻 底 解 决 问 题 。 5 .   追 踪 溯 源 ， 尽 可 能 确 定 攻 击 者 的 身 份 。 6 .   形 成 书 面 报 告 ， 说 明 事 件 的 起 因 经 过 结 果 ， 说 明 事 件 的 责 任 归 属 ( 谁 的 锅 ) 。 二 、 详 细 过 程 二 、 详 细 过 程 有 了 上 面 的 指 导 ， 就 可 以 第 一 次 的 应 急 响 应 了 。 1 .   事 件 确 认 事 件 确 认 客 户 给 公 司 反 映 有 人 投 诉 说 收 到 了 大 量 的 短 信 验 证 码 ， 然 后 登 陆 了 服 务 器 发 现 了 大 量 短 信 验 证 码 请 求 。 红 色 标 记 的 就 是 失 败 的 次 数 ， 非 常 的 多 ， 可 以 确 认 有 人 在 利 用 短 信 验 证 码 接 口 进 行 攻 击 。 2 .   攻 击 动 机 攻 击 动 机 因 为 是 大 量 短 信 验 证 码 ， 所 以 攻 击 动 机 就 有 了 两 种 ： ( 1 )   有 人 盯 上 了 我 们 的 客 户 ， 在 恶 意 消 耗 我 们 的 资 源 ( 但 是 我 们 客 户 是 公 安 ) ， 所 以 可 能 性 不 大 。 ( 2 )   我 们 的 服 务 器 被 利 用 了 ， 有 人 在 利 用 服 务 器 对 特 定 的 人 进 行 短 信 验 证 码 攻 击 ， 我 们 只 是 其 中 的 一 条 。 所 以 很 可 能 是 短 信 验 证 码 轰 炸 平 台 短 信 验 证 码 轰 炸 平 台 利 用 了 我 们 的 资 源 。 后 面 给 投 诉 用 户 打 了 电 话 ， 投 诉 的 人 告 诉 我 们 ， 他 收 到 了 很 多 平 台 的 短 信 验 证 码 ， 他 的 同 事 也 收 到 了 。 ( 可 以 确 定 是 短 信 验 证 码 轰 确 定 是 短 信 验 证 码 轰 炸 炸 )
3 . 攻 击 点 分 析 攻 击 点 分 析 首 先 先 和 开 发 确 定 了 哪 些 接 口 都 可 以 发 送 短 信 验 证 码 ， 确 定 有 三 个 可 以 发 送 短 信 验 证 码 的 。 # 注 册 接 口   可 获 取 验 证 码 / a p i / u s e r / s m s x x x x ? m o b i l e = x x x x / a p i / u s e r / s m s ? m o b i l e = x x x x & x x x x x # 登 录 接 口   可 获 取 验 证 码 / s e n d L o g i n M o b i l e x x x x 通 过 开 发 确 定 了 我 们 的 应 用 存 在 下 面 的 机 制 ： 每 个 用 户 每 天 只 能 发 1 0 条 ， 每 个 I P 可 以 发 送 1 0 0 条 。 所 以 我 们 先 确 定 了 自 己 的 机 制 是 否 生 效 ， 确 定 短 信 验 证 码 机 制 是 生 效 的 ， 这 里 不 存 在 安 全 问 题 。 于 是 我 继 续 查 看 了 我 们 的 一 个 注 册 接 口 ， 发 现 获 取 短 信 验 证 码 不 需 要 输 入 图 片 验 证 码 不 需 要 输 入 图 片 验 证 码 。 如 下 图 所 示 ， 可 以 直 接 请 求 短 信 验 证 码 ， 所 以 才 导 致 可 以 大 量 的 爆 破 。 看 到 这 里 就 知 道 是 我 们 产 品 的 问 题 了 ， 好 的 产 品 都 会 在 获 取 短 信 验 证 码 前 需 要 一 个 手 工 验 证 防 止 爆 破 的 。 4 .   制 定 解 决 方 案 制 定 解 决 方 案 我 以 为 到 这 里 就 结 束 了 ， 直 接 上 图 片 验 证 码 就 好 了 。 结 果 开 发 告 诉 我 ， 这 个 功 能 他 们 原 来 有 ， 下 线 了 ， 因 为 很 多 老 年 机 加 了 这 个 功 能 无 法 收 到 短 信 验 证 码 ？ 这 是 什 么 情 况 ？ 事 情 果 然 不 简 单 ， 此 处 应 该 有 图 片 . j p g 临 时 解 决 方 案 临 时 解 决 方 案 所 以 我 们 先 确 定 了 临 时 的 解 决 方 案 ， 修 改 短 信 验 证 码 发 送 配 置 ： ( 1 ) 每 个 用 户 一 天 只 能 发 五 条 ， 一 个 I P 只 能 发 1 0 条 。 ( 2 ) 当 一 个 I P 发 送 的 数 量 超 过 1 0 0 条 后 ， 日 志 中 会 记 录 大 量 的 错 误 + i p 这 样 的 信 息 。 所 以 我 们 可 以 根 据 这 个 信 息 来 进 行 I P 封 锁 。
最 终 解 决 方 案 最 终 解 决 方 案 上 图 片 验 证 码 功 能 5 .   流 量 统 计 ， 进 行 封 流 量 统 计 ， 进 行 封 I P 处 理 处 理 因 为 日 志 都 存 储 在 E S 上 ， 而 访 问 E S 要 先 登 录 V P N ， 再 访 问 堡 垒 机 ， 再 访 问 虚 拟 机 ， 然 后 从 E S 上 导 出 日 志 ， 然 后 从 堡 垒 机 上 下 载 日 志 。 非 常 复 杂 ， 所 以 这 一 个 阶 段 花 费 了 大 量 的 时 间 ， 并 且 效 果 也 不 是 很 好 。 ( 只 拿 了 两 天 的 日 志 量 ， 大 概 有 1 0 0 G ) 这 是 我 下 载 下 来 的 日 志 ， 日 志 中 包 含 了 大 量 的 报 错 等 无 用 信 息 ， 因 为 我 需 要 的 日 志 都 是 以 2 0 2 0 开 头 的 ， 所 以 写 了 简 单 的 脚 本 将 信 息 进 行 过 滤 。
f i l e D i r = " F : x x x x x x x l o g 3 " f i l e s = o s . l i s t d i r ( f i l e D i r ) w i t h   o p e n ( " r e s u l t 3 . t x t " , " w " )   a s   f :         f o r   f i l e   i n   f i l e s :                 f i l e P a t h = f i l e D i r + " " + f i l e                 f o r   l i n e   i n   o p e n ( f i l e P a t h , e n c o d i n g = " u t f - 8 " ) :                         i f   l i n e . s t a r t s w i t h ( " 2 0 2 0 - " ) :                                 f . w r i t e ( l i n e ) f . c l o s e ( ) 过 滤 后 的 流 量 主 要 有 两 种 是 我 要 的 ， 第 一 种 就 是 发 送 过 多 ， 会 记 录 i p 和 手 机 号 码 。 第 二 种 是 成 功 发 送 的 。 2 0 2 0 - 1 2 - 1 7   2 1 : 3 5 : 4 6 . 0 3 5   E R R O R   7   - - -   [ - 8 0 8 0 - e x e c - 1 9 7 4 ]   c . d . e . w . c o m m o n . u t i l s . C h e c k I p S m s P r e v e n t       :   s e n d . m e s s a g e . o v e r . t h e . l i m i t , i p = 1 1 1 . 2 2 9 . 7 3 . 6 7 , m o b i l e = 1 3 8 x x x x x 1 2 2 0 2 0 - 1 2 - 1 7   2 1 : 3 5 : 4 6 . 0 7 2     I N F O   7   - - -   [ - 8 0 8 0 - e x e c - 1 3 4 7 ]   c . d . e . w . c o m m o n . m e s s a g e . S m s C o d e R e d i s D a o       :   g e t   c o d e   m e   1 3 5 0 x x x x x 7 0   r e d i s K e y   [ 1 1 7 ,   9 7 ,   9 7 ,   5 8 ,   1 0 9 ,   1 0 1 ,   5 8 ,   9 9 ,   1 1 1 ,   1 0 0 ,   1 0 1 ,   5 8 ,   4 9 ,   5 1 ,   5 3 ,   4 8 ,   5 4 ,   5 6 ,   5 0 ,   5 4 ,   4 8 ,   5 5 ,   4 8 ] 因 为 数 据 量 太 大 了 ， 所 以 想 着 用 s q l 去 统 计 会 方 便 一 些 ， 就 写 了 下 面 的 脚 本 。 提 取 了 时 间 ， i p 地 址 和 手 机 号 。 i m p o r t   r e # 匹 配 时 间 p a t t e r n = r e . c o m p i l e ( " 2 0 2 0 - [ 0 - 9 ] { 2 } - [ 0 - 9 ] { 2 } . * [ 0 - 9 ] { 2 } : [ 0 - 9 ] { 2 } : [ 0 - 9 ] { 2 } . [ 0 - 9 ] { 3 } " ) # 匹 配 电 话 号 码 p a t t e r n 2 = r e . c o m p i l e ( " 1 [ 0 - 9 ] { 1 0 } " ) # 匹 配 i p 地 址 p a t t e r n 3 = r e . c o m p i l e ( " [ 0 - 9 ] { 1 , 3 } . [ 0 - 9 ] { 1 , 3 } . [ 0 - 9 ] { 1 , 3 } . [ 0 - 9 ] { 1 , 3 } " ) f i l e P a t h = " F : / x x x x / x x x x / r e s u l t s / r e s u l t 3 . t x t " w i t h   o p e n ( " s q l R e s u l t 3 . t x t " , " w " )   a s   f :         f o r   l i n e   i n   o p e n ( f i l e P a t h ) :                 t r y :                         i f   " I N F O   7 "   i n   l i n e :                                 t i m e   =   r e . f i n d a l l ( p a t t e r n ,   l i n e ) [ 0 ]                                 p h o n e   =   r e . f i n d a l l ( p a t t e r n 2 ,   l i n e ) [ 0 ]                                 i p   =   ' 0 . 0 . 0 . 0 '                                 f . w r i t e ( t i m e   +   ' , '   +   p h o n e   +   ' , '   +   i p + ' n ' )                         e l i f   " E R R O R   7 "   i n   l i n e :                                 t i m e   =   r e . f i n d a l l ( p a t t e r n ,   l i n e ) [ 0 ]                                 p h o n e   =   r e . f i n d a l l ( p a t t e r n 2 ,   l i n e ) [ 0 ]                                 i p   =   r e . f i n d a l l ( p a t t e r n 3 ,   l i n e ) [ 0 ]                                 f . w r i t e ( t i m e   +   ' , '   +   p h o n e   +   ' , '   +   i p + ' n ' )                 e x c e p t :                         p a s s #   f . c l o s e ( ) 最 后 将 数 据 导 入 到 m y s q l 中 ， 一 共 有 一 共 有 6 0 0 w 行 数 据 行 数 据 ， 通 过 s q l 语 句 进 行 了 查 询 和 判 断 ， 如 下 图 所 示 。 两 天 的 数 据 量 失 败 次 数 在 2 0 0 0 次 以 上 的 就 有 5 0 0 多 个 i p ， 这 个 池 子 还 是 很 大 的 ， 然 后 查 了 一 下 其 中 的 部 分 i p ， 发 现 都 是 阿 里 云 ， 腾 讯 云 什 么 的 ， 应 该 都 是 肉 鸡
因 为 存 在 大 量 的 国 内 i p 地 址 ， 又 对 i p 地 址 的 归 属 地 进 行 了 判 断 。 最 后 发 送 给 一 线 同 学 进 行 i p 封 锁 。 总 结 总 结 这 次 应 急 其 实 挺 简 单 的 ， 但 是 因 为 v p n ， 堡 垒 机 不 好 导 出 日 志 花 费 了 很 多 时 间 。 因 为 是 第 一 次 做 ， 所 以 做 一 次 整 体 思 路 的 笔 记 ， 为 下 一 次 应 急 做 好 充 足 的 理 论 和 流 程 准 备 。 作 者 ： T r i 0 m p h e   原 文 链 接 ： h t t p s : / / x z . a l i y u n . c o m / t / 8 9 8 8 ? s p m = 5 1 7 6 . 1 2 9 0 1 0 1 5 . 0 . i 1 2 9 0 1 0 1 5 . 2 d 5 9 5 2 5 c x j k A J m
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理