搜索

[13709] 2019-01-29_企业安全建设之HIDS

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-18
2019-01-29_企业安全建设之HIDS 企 业 安 全 建 设 之 H I D S 罹 ♛ 殇   F r e e B u f   2 0 1 9 - 0 1 - 2 9 0 x 0 1 ： 前 言 ： 前 言 直 奔 主 题 ， 先 来 看 看 网 络 层 是 如 何 进 行 入 侵 检 测 的 ： 直 奔 主 题 ， 先 来 看 看 网 络 层 是 如 何 进 行 入 侵 检 测 的 ： 入 侵 检 测 重 点 关 注 的 ， 是 入 侵 检 测 重 点 关 注 的 ， 是 G e t S h e l l 这 个 动 作 ， 以 及 这 个 动 作 ， 以 及 G e t S h e l l 成 功 之 后 的 恶 意 行 为 （ 为 了 扩 大 战 果 ， 黑 客 多 半 会 成 功 之 后 的 恶 意 行 为 （ 为 了 扩 大 战 果 ， 黑 客 多 半 会 利 用 利 用 S h e l l 进 行 探 测 、 翻 找 窃 取 、 横 向 移 动 攻 击 其 它 内 部 目 标 ） 。 包 括 自 己 以 往 的 真 实 的 工 作 中 ， 更 多 的 是 分 析 进 行 探 测 、 翻 找 窃 取 、 横 向 移 动 攻 击 其 它 内 部 目 标 ） 。 包 括 自 己 以 往 的 真 实 的 工 作 中 ， 更 多 的 是 分 析 了 了 G e t S h e l l 之 前 的 一 些 之 前 的 一 些 “ 外 部 扫 描 、 攻 击 尝 试 外 部 扫 描 、 攻 击 尝 试 ” 行 为 ， 基 本 上 是 没 有 意 义 的 。 外 部 的 扫 描 和 尝 试 攻 击 无 时 无 刻 不 行 为 ， 基 本 上 是 没 有 意 义 的 。 外 部 的 扫 描 和 尝 试 攻 击 无 时 无 刻 不 在 持 续 发 生 的 ， 而 类 似 于 在 持 续 发 生 的 ， 而 类 似 于 S Q L 注 入 、 注 入 、 X S S 等 一 些 不 直 接 等 一 些 不 直 接 G e t S H e l l 的 的 W e b 攻 击 ， 暂 时 不 在 狭 义 的 攻 击 ， 暂 时 不 在 狭 义 的 “ 入 侵 检 测 入 侵 检 测 ” 考 虑 考 虑 范 围 ， 当 然 ， 利 用 范 围 ， 当 然 ， 利 用 S Q L 注 入 、 注 入 、 X S S 等 入 口 ， 进 行 了 等 入 口 ， 进 行 了 G e t S h e l l 操 作 的 ， 我 们 仍 抓 操 作 的 ， 我 们 仍 抓 G e t S h e l l 这 个 关 键 点 ， 就 如 这 个 关 键 点 ， 就 如 s q l 注 注 入 进 行 入 进 行 G E T s h e l l ， 常 见 的 使 用 ， 常 见 的 使 用 i n t o   o u t f i l e 写 函 数 ， 那 么 最 简 单 的 就 是 我 们 把 流 量 镜 像 一 份 ， 孵 化 成 日 志 ， 从 写 函 数 ， 那 么 最 简 单 的 就 是 我 们 把 流 量 镜 像 一 份 ， 孵 化 成 日 志 ， 从 u r i / p o s t / c o o k i e 等 可 能 出 现 注 入 的 地 方 检 测 是 否 是 否 了 等 可 能 出 现 注 入 的 地 方 检 测 是 否 是 否 了 i n t o   o u t f i l e ， 和 常 用 ， 和 常 用 w e b s h e l l 形 式 以 及 状 态 码 是 否 是 形 式 以 及 状 态 码 是 否 是 2 0 0 。 。 常 见 的 可 以 常 见 的 可 以 g e t s h e l l 的 的 w e b 攻 击 攻 击 直 接 上 传 获 取 w e b s h e l l 、 S Q L 注 入 、 远 程 文 件 包 含 ( R F I ) 、 F T P ， 甚 至 使 用 跨 站 点 脚 本 ( X S S ) 作 为 攻 击 的 一 部 分 ， 甚 至 一 些 比 较 老 旧 的 方 法 利 用 后 台 数 据 库 备 份 及 恢 复 获 取 w e b s h e l l 、 数 据 库 压 缩 等 。 通 用 功 能 包 括 但 不 限 于 s h e l l 命 令 执 行 、 代 码 执 行 、 数 据 库 枚 举 和 文 件 管 理 。 0 x 0 2 ： ： w e b s h e l l 的 检 测 的 检 测 可 以 通 过 监 控 指 定 目 录 下 的 所 有 文 件 的 创 建 、 修 改 、 重 命 名 等 操 作 ， 再 比 如 说 < ? p h p   e v a l ( $ _ P O S T [ 1 ] ) ? > 时 ， 判 断 为 w e b s h e l l ， 但 如 果 只 出 现 e v a l 的 函 数 ， 就 判 断 为 敏 感 函 数 。 也 可 以 通 过 w e b s h e l l   h a s h 、 文 件 名 等 进 行 检 测 ， 在 G i t H u b 上 就 有 这 么 一 个 项 目 ： w e b s h e l l 特 征 、 某 大 佬 之 前 写 过 通 过 机 器 学 习 的 方 法 去 检 测 w e b s h e l l ： 初 探 机 器 学 习 检 测 P H P W e b s h e l l 、 本 人 之 前 也 根 据 工 作 经 验 总 结 过 ： w e b s h e l l 入 侵 检 测 。 其 实 可 以 看 到 ， 从 网 络 层 检 测 ， 基 于 关 键 字 等 检 测 方 式 ， 有 被 绕 过 的 风 险 ， 上 面 还 介 绍 了 基 于 目 录 下 文 件 的 监 控 到 达 检 测 风 险 的 作 用 ， 就 由 此 引 出 了 H I D S （ 主 机 型 入 侵 检 测 系 统 ） 0 x 0 3 ： 简 介 ： 简 介 H I D S ( H o s t - b a s e d   I n t r u s i o n   D e t e c t i o n   S y s t e m ) 作 为 传 统 攻 防 视 角 的 重 要 一 环 ， 有 着 不 可 替 代 的 作 用 ， 可 以 有 效 的 检 测 到 从 网 络 层 面 难 以 发 现 的 安 全 问 题 ， 如 ： 后 门 ， 反 弹 s h e l l ， 恶 意 操 作 ， 主 机 组 件 安 全 漏 洞 ， 系 统 用 户 管 理 安 全 问 题 ， 主 机 基 线 安 全 风 险 等 。 需 求 分 析 需 求 分 析 下 面 引 用 “ 点 融 ” 和 “ 美 团 ” 对 H I D S 的 需 求 ：     1 . 灵 活 且 轻 量 级 ： 对 系 统 资 源 需 求 少 ， 系 统 负 载 占 用 小 ；     2 .   有 丰 富 的 A P I 和 强 大 的 联 动 能 力 ： 兼 容 性 好 ， 可 横 向 扩 展 ， 支 持 和 C M D B 联 动 ， 支 持 D o c k e r ， 可 以 梳 理 建 立 “ 白 名 单 ” ( 如 某 应 用 的 对 外 连 接 名 单 ， 数 据 库 名 单 等 ) 。 ；     3 . 支 持 基 线 检 查 / 系 统 完 整 性 检 测 ；     4 .   支 持 规 则 引 擎 ， 能 够 灵 活 的 进 行 规 则 配 置 ( 规 则 引 擎 最 好 可 以 和 A g e n t S m i t h - N I D S 复 用 ) ；
架 构 架 构 目 前 大 部 分 的 H I D S 平 台 建 设 主 要 分 三 大 部 分 ： 终 端 A g e n t 监 控 组 件 ， D a s h b o a r d 控 制 面 板 和 与 S I E M 、 运 维 数 据 等 其 他 平 台 对 接 的 接 口 集 合 ： 终 端 A g e n t 通 过 对 业 务 I T 资 产 文 件 的 监 控 可 以 发 现 一 些 潜 在 威 胁 的 文 件 或 者 是 被 人 中 的 w e b s h e l l 后 门 ， 也 可 以 记 录 和 发 现 文 件 改 动 。 同 时 终 端 A g e n t 肩 负 着 把 日 志 摆 渡 到 数 据 库 的 工 作 ， 方 便 运 维 人 员 对 日 志 进 行 检 索 ， 进 行 终 端 日 志 的 统 一 化 收 集 管 理 。 这 里 直 接 使 用 了 公 司 先 已 有 的 安 全 架 构 ， 直 接 将 日 志 发 送 到 k i b a n a 统 一 分 析 。 0 x 0 4   开 源 开 源 H I D S 安 全 部 门 不 是 盈 利 部 门 ， “ 一 个 人 的 信 息 安 全 部 ” 之 中 型 公 司 常 用 开 源 项 目 二 次 开 发 ， 知 名 的 H I D S 项 目 如 O S S E C 、 O s q u e r y 。 O S S E C 的 主 要 功 能 包 括 日 志 监 控 、 文 件 完 整 性 检 测 、 R o o t k i t 检 测 以 及 联 动 配 置 ， 另 外 你 也 可 以 将 自 己 的 其 他 监 控 项 集 成 到 O S S E C 中 。 可 以 参 照 O S S E C 官 网 ， 如 果 你 可 以 一 样 ， 不 想 参 考 英 文 文 档 ~ O S S E C _ 安 装 、 O S S E C _ 扩 展 使 用 。 日 志 监 控 日 志 监 控 日 志 是 平 常 安 全 运 维 中 很 重 要 的 一 项 ， O S S E C 日 志 检 测 为 实 时 检 测 ， O S S E C 的 客 户 端 本 身 没 有 解 码 文 件 和 规 则 ， 所 监 控 的 日 志 会 通 过 1 5 1 4 端 口 发 送 到 服 务 端 。 在 a g e n t 端 o s s e c . c o n f / a g e n t . c o n f   配 置 ， 需 要 注 意 的 是 c o m m a n d 和 f u l l _ c o m m a n d 不 能 配 置 在 a g e n t . c o n f 中 ， 需 要 配 置 在 o s s e c . c o n f 中 ： 终 端 A g e n t 组 件 ： 主 要 作 用 包 括 ： 监 控 文 件 变 更 、 监 控 服 务 器 状 态 、 下 发 一 些 操 作 指 令 等 （ 如 果 控 制 了 一 台 H I D S 服 务 器 相 当 于 拥 有 了 百 万 台 肉 鸡 ， H I D S 的 研 发 大 佬 ， 只 能 帮 到 这 了 ） 。 D a s h B o a r d ： 用 来 执 行 一 些 策 略 推 送 、 资 源 管 理 方 面 的 操 作 M Q   & &   S e r v e r s ： 用 来 做 负 载 均 衡 并 吞 吐 数 据 到 数 据 库 D a t a b a s e ： 数 据 库 S I E M   A P I s ： 用 来 将 H I D S 的 数 据 和 S I E M 做 整 合
客 户 端 监 控 一 个 以 时 间 日 志 文 件 ， o s s e c / l o g s / a l e r t s / 2 0 1 9 / J a n / o s s e c - a l e r t s - 0 6 . l o g （ 本 次 0 6 为 a g e n t 端 的 主 机 名 ） a u t h 认 证 日 志 端 口 监 听 日 志 再 已 启 动 项 为 例 ， L i n u x 下 开 机 启 动 项 是 应 急 响 应 中 很 重 要 的 检 测 项 ， R e d h a t 中 的 运 行 模 式 2 、 3 、 5 都 把 / e t c / r c . d / r c . l o c a l 做 为 初 始 化 脚 本 中 的 最 后 一 个 。 这 里 我 在 a g e n t 的 o s s e c . c o n f 中 新 加 一 个 监 控 ， 检 测 当 r c . l o c a l 发 生 改 变 的 时 候 告 警 。
客 户 端 监 控 规 则 服 务 器 监 控 规 则 会 在 q u e u e / d i f f / a g e n t 生 成 和 规 则 i d 相 同 的 文 件 夹 ， 报 警 如 下 ： 监 控 结 果 这 里 包 括 做 了 一 些 端 口 反 弹 如 b a s h 、 n c 、 p y t h o n 就 不 一 一 贴 图 了 。 完 整 性 检 测 完 整 性 检 测 有 多 种 类 型 的 攻 击 和 许 多 攻 击 向 量 ， 但 所 有 这 些 都 有 一 个 独 特 之 处 ： 它 们 留 下 痕 迹 并 始 终 以 某 种 方 式 改 变 系 统 。 从 修 改 一 些 文 件 的 病 毒 到 改 变 内 核 的 内 核 级 r o o t k i t ， 系 统 的 完 整 性 总 会 有 一 些 变 化 。 完 整 性 检 查 是 入 侵 检 测 的 重 要 组 成 部 分 ， 可 检 测 系 统 完 整 性 的 变 化 ， 通 过 可 以 通 过 m d 5 检 验 来 实 现 ， 而   命 令 替 换 在 应 急 响 应 中 很 常 见 ， 经 常 被 替 换 掉 的 命 令 例 如 p s 、 n e t s t a t 、 s s 、 l s o f 等 等 。 另 外 还 有 S S H 后 门 。 完 整 性 检 测 的 工 作 方 式 是 A g e n t 周 期 性 的 扫 描 系 统 文 件 ， 并 将 检 验 和 发 送 给 S e r v e r 端 。 S e r v e r 端 存 储 并 进 行 比 对 ， 发 现 修 改 是 发 出 告 警 。 客 户 端 监 控 配 置 本 文 使 用 的 属 性 值 为 c h e c k _ a l l ， 即 使 用 全 部 为 y e s ， 会 根 据 周 期 性 进 行 检 测 ：
服 务 端 监 控 规 则 服 务 端 数 据 存 放 到 服 务 端 的 / v a r / o s s e c / q u e u e / s y s c h e c k 目 录 下 ， 这 里 健 康 的 是 常 被 攻 击 的 w e b 路 径 ， 如 当 修 改 / v a r / w w w / h t m l 时 ， 告 警 级 别 为 1 2 r o o t k i t 检 测 检 测 o s s e c 检 测 r o o t k i t 的 原 理 是 对 比 / v a r / o s s e c / e t c / s h a r e d / r o o t k i t _ f i k e s . t x t 文 件 ， 该 文 件 包 含 了 r o o t k i t 常 用 的 文 件 ， 和 病 毒 库 一 样 。 会 扫 描 整 个 文 件 系 统 ， 检 测 异 常 文 件 和 异 常 的 权 限 设 置 ， 文 件 属 主 是 r o o t ， 但 是 其 他 用 户 可 写 是 非 常 危 险 的 ， r o o t k i t 将 会 扫 描 这 些 文 件 。 同 时 还 会 检 测 具 有 s u i d 权 限 的 文 件 、 隐 藏 的 文 件 和 目 录 。 另 外 还 会 检 测 隐 藏 端 口 、 隐 藏 进 程 、 / d e v 目 录 、 网 卡 混 杂 模 式 等 。 这 里 找 了 个 经 典 的 r o o t k i t 测 试 ， a d o r e - n g c h e c k a l l ： 以 下 的 属 性 全 部 为 y e s r e a l t i m e ： 实 时 监 控 r e p o r t _ c h a n g e s ： 报 告 文 件 变 化 ， 文 件 类 型 只 能 是 文 本 c h e c k _ s u m ： 监 测 M D 5 和 S H A 1   H A S H 的 变 化 ， 相 当 于 设 置 c h e c k _ s h a 1 s u m = ” y e s ” 和 c h e c k _ m d 5 s u m = ” y e s ” c h e c k _ s h a 1 s u m ： 监 测 S H A 1   H A S H 的 变 化 c h e c k _ m d 5 s u m ： 监 测 M D 5   H A S H 的 变 化 c h e c k _ s i z e ： 监 测 文 件 大 小 c h e c k _ o w n e r ： 监 测 属 主 c h e c k _ g r o u p ： 监 测 属 组 c h e c k _ p e r m ： 监 测 文 件 权 限 r e s t r i c t ： 限 制 对 包 含 该 字 符 串 的 文 件 监 测
0 x 0 5 ： 个 人 ： 个 人 H I D S 实 践 实 践 从 从 S Q L m a p 到 到 H I D S 刚 学 习 安 全 的 时 候 ， S Q L 注 入 的 内 容 还 是 挺 丰 富 的 ， 当 时 是 怎 么 快 速 入 手 的 呢 ？ 如   S Q L 注 入 的 分 类 ： S Q L M A P 支 持 1 、 基 于 布 尔 的 盲 注 2 、 基 于 时 间 的 盲 注 3 、 基 于 报 错 注 入 4 、 联 合 查 询 注 入 5 、 堆 查 询 注 入 ， 那 S Q L 注 入 的 分 类 应 该 就 这 些 吧 S Q L M A P 支 持 “ - u ” 、 “ — d a t a ” 、 “ — c o o k i e ” 、 “ — u s e r - a g e n t   ” 等 ， 那 容 易 出 现 注 入 的 地 方 应 该 是 这 些 地 方 吧 ， 有 了 大 的 方 向 ， 然 后 再 慢 慢 深 入 ， 回 到 H I D S ， 也 没 怎 么 深 入 接 触 H I D S ， 就 从 开 源 项 目 从 回 走 。 O S S E C 的 主 要 功 能 包 括 日 志 分 析 、 文 件 完 整 性 检 测 、 R o o t k i t 检 测 以 及 联 动 配 置 ， 先 从 这 几 个 入 手 。 个 人 需 求 个 人 需 求 有 过 态 势 感 知 的 项 目 经 验 ， 态 势 感 知 的 数 据 来 源 实 在 是 太 多 太 多 了 ， 给 我 一 个 比 较 大 的 感 触 就 是 首 先 得 确 认 所 需 的 数 据 源 ： 基 本 信 息 获 取 基 本 信 息 获 取 基 本 信 息 获 取 的 方 法 比 较 简 单 ， 本 文 使 用 p y t h o n 来 实 现 ， 业 务 的 现 学 现 卖 的 变 成 ， 这 里 使 用 使 用 p s u t i l 库 获 取 系 统 信 息 ： p s u t i l 基 础 信 息 ： 系 统 版 本 信 息   帐 号 信 息   用 户 组 信 息   系 统 应 用 信 息   系 统 A R P 信 息   C P U 信 息   系 统 环 境 变 量   文 件 监 控 信 息   硬 盘 信 息   内 核 信 息   内 存 信 息   本 地 防 火 墙 信 息         网 络 连 接   文 件 共 享 信 息   端 口 监 听 信 息   进 程 信 息   本 地 路 由 表 信 息   系 统 服 务         系 统 A R P 信 息       r p m 包 信 息 检 测 信 息 ： 用 户 登 录 信 息 （ 包 括 可 登 录 s h e l l ， s s h 公 私 钥 ， 可 以 用 户 ， r o o t _ i d ， 用 户 登 录 的 源 i p 地 址 等 ）   s u d o 授 权 信 息   / e t c / r c . l o c a l 脚 本 内 容   计 划 任 务 / e t c / c r o n . d     用 户 定 义 的 自 启 动 项   系 统 内 核 模 块 运 行 时 的 文 件 信 息 （ 基 于 白 名 单 的 m d 5 计 算 内 核 模 块 文 件 检 测 ）   运 行 进 程 数 （ 基 于 白 名 单 的 异 常 进 程 检 测 ）   端 口 网 络 连 接 信 息 （ 基 于 白 名 单 的 异 常 连 接 检 测 或 基 于 威 胁 情 报 的 异 常 网 络 连 接 检 测 ）   本 地 防 火 墙 信 息 检 测   r p m 包 检 测 （ d i f f 对 比 以 及 r p m 签 名 ）   环 境 变 量 检 测 日 志 信 息 ：   b a s h _ h i s t o r y （ s n o o p y ） 命 令 记 录         a u d i t 日 志       a u t h 认 证 日 志         s e c u r e 安 全 日 志       服 务 日 志 （ 如 中 间 件 、 数 据 库 、 F T P 等 ） k e r n 内 核 日 志           自 定 义 l o c a l 5 日 志 # ! / u s r / b i n / p y t h o n # c o d i n g : u t f - 8 i m p o r t   p s u t i l i m p o r t   d a t e t i m e i m p o r t   t i m e #   当 前 时 间 n o w _ t i m e   =   t i m e . s t r f t i m e ( ' % Y - % m - % d - % H : % M : % S ' ,   t i m e . l o c a l t i m e ( t i m e . t i m e ( ) ) ) p r i n t ( n o w _ t i m e )
#   查 看 c p u 物 理 个 数 的 信 息 p r i n t ( u " 物 理 C P U 个 数 :   % s "   %   p s u t i l . c p u _ c o u n t ( l o g i c a l = F a l s e ) ) # C P U 的 使 用 率 c p u   =   ( s t r ( p s u t i l . c p u _ p e r c e n t ( 1 ) ) )   +   ' % ' p r i n t ( u " c u p 使 用 率 :   % s "   %   c p u ) # 查 看 内 存 信 息 , 剩 余 内 存 . f r e e     总 共 . t o t a l # r o u n d ( ) 函 数 方 法 为 返 回 浮 点 数 x 的 四 舍 五 入 值 。 f r e e   =   s t r ( r o u n d ( p s u t i l . v i r t u a l _ m e m o r y ( ) . f r e e   /   ( 1 0 2 4 . 0   *   1 0 2 4 . 0   *   1 0 2 4 . 0 ) ,   2 ) ) t o t a l   =   s t r ( r o u n d ( p s u t i l . v i r t u a l _ m e m o r y ( ) . t o t a l   /   ( 1 0 2 4 . 0   *   1 0 2 4 . 0   *   1 0 2 4 . 0 ) ,   2 ) ) m e m o r y   =   i n t ( p s u t i l . v i r t u a l _ m e m o r y ( ) . t o t a l   -   p s u t i l . v i r t u a l _ m e m o r y ( ) . f r e e )   /   f l o a t ( p s u t i l . v i r t u a l _ m e m o r y ( ) . t o t a l ) p r i n t ( u " 物 理 内 存 ：   % s   G "   %   t o t a l ) p r i n t ( u " 剩 余 物 理 内 存 ：   % s   G "   %   f r e e ) p r i n t ( u " 物 理 内 存 使 用 率 ：   % s   % % "   %   i n t ( m e m o r y   *   1 0 0 ) ) #   系 统 启 动 时 间 p r i n t ( u " 系 统 启 动 时 间 :   % s "   %   d a t e t i m e . d a t e t i m e . f r o m t i m e s t a m p ( p s u t i l . b o o t _ t i m e ( ) ) . s t r f t i m e ( " % Y - % m - % d   % H : % M : % S " ) ) #   系 统 用 户 u s e r s _ c o u n t   =   l e n ( p s u t i l . u s e r s ( ) ) # #   > > >   f o r   u   i n   p s u t i l . u s e r s ( ) : #   . . .       p r i n t ( u ) #   . . . #   s u s e r ( n a m e = ' r o o t ' ,   t e r m i n a l = ' p t s / 0 ' ,   h o s t = ' 6 1 . 1 3 5 . 1 8 . 1 6 2 ' ,   s t a r t e d = 1 5 0 5 4 8 3 9 0 4 . 0 ) #   s u s e r ( n a m e = ' r o o t ' ,   t e r m i n a l = ' p t s / 5 ' ,   h o s t = ' 6 1 . 1 3 5 . 1 8 . 1 6 2 ' ,   s t a r t e d = 1 5 0 5 4 6 9 0 5 6 . 0 ) #   > > >   u . n a m e #   ' r o o t ' #   > > >   u . t e r m i n a l #   ' p t s / 5 ' #   > > >   u . h o s t #   ' 6 1 . 1 3 5 . 1 8 . 1 6 2 ' #   > > >   u . s t a r t e d #   1 5 0 5 4 6 9 0 5 6 . 0 #   > > > u s e r s _ l i s t   =   " , " . j o i n ( [ u . n a m e   f o r   u   i n   p s u t i l . u s e r s ( ) ] ) p r i n t ( u " 当 前 有 % s 个 用 户 ， 分 别 是   % s "   %   ( u s e r s _ c o u n t ,   u s e r s _ l i s t ) ) # 网 卡 ， 可 以 得 到 网 卡 属 性 ， 连 接 数 ， 当 前 流 量 等 信 息 n e t   =   p s u t i l . n e t _ i o _ c o u n t e r s ( ) b y t e s _ s e n t   =   ' { 0 : . 2 f }   M b ' . f o r m a t ( n e t . b y t e s _ r e c v   /   1 0 2 4   /   1 0 2 4 ) b y t e s _ r c v d   =   ' { 0 : . 2 f }   M b ' . f o r m a t ( n e t . b y t e s _ s e n t   /   1 0 2 4   /   1 0 2 4 ) p r i n t ( u " 网 卡 接 收 流 量   % s   网 卡 发 送 流 量   % s "   %   ( b y t e s _ r c v d ,   b y t e s _ s e n t ) ) i o   =   p s u t i l . d i s k _ p a r t i t i o n s ( ) #   p r i n t ( i o ) #   p r i n t ( " i o [ - 1 ] 为 " , i o [ - 1 ] ) # d e l   i o [ - 1 ] p r i n t ( ' - - - - - - - - - - - - - - - - - - - - - - - - - - - - - 磁 盘 信 息 - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - ' )
文 件 监 控 文 件 监 控 i n o t i f y 是 一 种 文 件 系 统 变 化 通 知 机 制 ， 如 增 加 文 件 、 删 除 等 事 件 可 以 立 刻 让 用 户 得 知 ， i n o r t i f y 参 考 文 档 ， 这 里 监 控 的 是 常 受 攻 击 的 w e b 目 录 ， 监 控 了 文 件 的 创 建 、 删 除 、 修 改 属 性 ，   该 机 制 是 著 名 的 桌 面 搜 索 引 擎 项 目 b e a g l e 引 入 的 ， 并 在 G a m i n 等 项 目 中 被 应 用 。 p r i n t ( ' - - - - - - - - - - - - - - - - - - - - - - - - - - - - - 磁 盘 信 息 - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - ' ) p r i n t ( " 系 统 磁 盘 信 息 ： "   +   s t r ( i o ) ) f o r   i   i n   i o :         o   =   p s u t i l . d i s k _ u s a g e ( i . d e v i c e )         p r i n t ( " 总 容 量 ： "   +   s t r ( i n t ( o . t o t a l   /   ( 1 0 2 4 . 0   *   1 0 2 4 . 0   *   1 0 2 4 . 0 ) ) )   +   " G " )         p r i n t ( " 已 用 容 量 ： "   +   s t r ( i n t ( o . u s e d   /   ( 1 0 2 4 . 0   *   1 0 2 4 . 0   *   1 0 2 4 . 0 ) ) )   +   " G " )         p r i n t ( " 可 用 容 量 ： "   +   s t r ( i n t ( o . f r e e   /   ( 1 0 2 4 . 0   *   1 0 2 4 . 0   *   1 0 2 4 . 0 ) ) )   +   " G " ) p r i n t ( ' - - - - - - - - - - - - - - - - - - - - - - - - - - - - - 进 程 信 息 - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - ' ) #   查 看 系 统 全 部 进 程 f o r   p n u m   i n   p s u t i l . p i d s ( ) :         p   =   p s u t i l . P r o c e s s ( p n u m )         p r i n t ( u " 进 程 名   % - 2 0 s     内 存 利 用 率   % - 1 8 s   进 程 状 态   % - 1 0 s   创 建 时 间   % - 1 0 s   "           %   ( p . n a m e ( ) ,   p . m e m o r y _ p e r c e n t ( ) ,   p . s t a t u s ( ) ,   p . c r e a t e _ t i m e ( ) ) )
进 程 监 控 进 程 监 控 1 . 可 使 用 i n o t i f y 实 时 监 控 / p r o c 下 面 的 文 件 变 动 即 可 （ a . 有 可 能 进 程 启 动 、 结 束 太 快 来 不 及 读 取 文 件 内 容 从 而 没 捕 捉 到 必 要 信 息 ） 2 . 使 用 p s u t i l 获 取 进 程 信 息 ， d i f f 下 即 可 ， 基 本 信 息 中 已 获 取 进 程 信 息 3 . 直 接 调 用 o s 模 块 执 行 命 名 p s   - e f （ 嗯 ， 我 知 道 上 面 的 思 路 好 l o w ） 文 件 完 整 性 文 件 完 整 性 ， 本 文 监 控 了 命 令 替 换 ， 监 控 的 目 录 为 / u s r / b i n / ， 获 取 文 件 路 径 ， 计 算 m d 5 直 接 d i f f 。 # ! / u s r / b i n / p y t h o n #   e n c o d i n g : u t f - 8 i m p o r t   o s f r o m     p y i n o t i f y   i m p o r t     W a t c h M a n a g e r ,   N o t i f i e r , P r o c e s s E v e n t , I N _ D E L E T E ,   I N _ C R E A T E , I N _ M O D I F Y c l a s s   E v e n t H a n d l e r ( P r o c e s s E v e n t ) :         " " " 事 件 处 理 " " "         d e f   p r o c e s s _ I N _ C R E A T E ( s e l f ,   e v e n t ) :                 p r i n t ( " C r e a t e   f i l e :   % s   "     %       o s . p a t h . j o i n ( e v e n t . p a t h , e v e n t . n a m e ) )         d e f   p r o c e s s _ I N _ D E L E T E ( s e l f ,   e v e n t ) :                 p r i n t ( " D e l e t e   f i l e :   % s   "     %       o s . p a t h . j o i n ( e v e n t . p a t h , e v e n t . n a m e ) )         d e f   p r o c e s s _ I N _ M O D I F Y ( s e l f ,   e v e n t ) :                         p r i n t ( " M o d i f y   f i l e :   % s   "     %       o s . p a t h . j o i n ( e v e n t . p a t h , e v e n t . n a m e ) ) d e f   F S M o n i t o r ( p a t h = ' / v a r / w w w / h t m l ' ) :                 w m   =   W a t c h M a n a g e r ( )                 m a s k   =   I N _ D E L E T E   |   I N _ C R E A T E   | I N _ M O D I F Y                 n o t i f i e r   =   N o t i f i e r ( w m ,   E v e n t H a n d l e r ( ) )                 w m . a d d _ w a t c h ( p a t h ,   m a s k , r e c = T r u e )                 p r i n t ( ' n o w   s t a r t i n g   m o n i t o r   % s ' % ( p a t h ) )                 w h i l e   T r u e :                                 t r y :                                                 n o t i f i e r . p r o c e s s _ e v e n t s ( )                                                 i f   n o t i f i e r . c h e c k _ e v e n t s ( ) :                                                                 n o t i f i e r . r e a d _ e v e n t s ( )                                 e x c e p t   K e y b o a r d I n t e r r u p t :                                                 n o t i f i e r . s t o p ( )                                                 b r e a k i f   _ _ n a m e _ _   = =   " _ _ m a i n _ _ " :         F S M o n i t o r ( )
r o o t k i t 检 测 检 测 r o o t k i t 检 测 还 没 有 好 的 思 路 ， 按 照 o s s e c 是 调 用 r o o t k i t 常 用 的 文 件 ， 这 里 能 想 到 的 就 是 监 控 系 统 的 文 件 变 化 ， 以 及 进 程 # ! / u s r / b i n / p y t h o n #   - * -   c o d i n g :   u t f - 8   - * - i m p o r t   o s i m p o r t   h a s h l i b i m p o r t   d a t e t i m e i m p o r t   d i f f l i b g l o b a l   s r t 1 d e f   g c i ( f i l e p a t h ) : # 遍 历 f i l e p a t h 下 所 有 文 件 ， 包 括 子 目 录     f i l e s   =   o s . l i s t d i r ( f i l e p a t h )     # p r i n t ( f i l e s )     f o r   f i   i n   f i l e s :         f i _ d   =   o s . p a t h . j o i n ( f i l e p a t h , f i )         i f   o s . p a t h . i s d i r ( f i _ d ) : # 判 断 是 否 是 一 个 目 录 ， 是 则 继 续 执 行 循 环 执 行 g c i 函 数             g c i ( f i _ d )                                           e l s e :             f i l e = o s . p a t h . j o i n ( f i l e p a t h , f i _ d )         # 计 算 文 件 的 m d 5 值             h a s h   =   h a s h l i b . m d 5 ( )             f = o p e n ( f i l e , ' r b ' )             w h i l e   T r u e :                     b = f . r e a d ( 1 0 0 0 ) # 每 次 以 特 定 字 节 读 取 ， 避 免 内 容 过 大 ， 占 用 内 存                     i f   n o t   b :                             b r e a k                     h a s h . u p d a t e ( b ) # 更 新 哈 希 对 象 以 字 符 串 参 数             f . c l o s e ( )             s t r = ( f i l e , h a s h . h e x d i g e s t ( ) ) # 返 回 摘 要 ， 作 为 十 六 进 制 数 据 字 符 串 值 ， 并 定 义 为 字 典             s t r 1 = ( s t r [ 0 ] + " : " + s t r [ 1 ] )         s t r 2 = o p e n ( ' / r o o t / m d 5 . t x t ' ) # m d 5 的 文 件 为 m d 5 文 件 样 本         s t r 3 = s t r 2 . r e a d ( )         d   =   d i f f l i b . H t m l D i f f ( )         f = o p e n ( ' / r o o t / m d 6 . t x t ' , ' w ' )         p r i n t   ( d . m a k e _ f i l e ( s t r 1 , s t r 3 ) , f i l e = f ) # 将 文 件 名 和 m d 5 值 对 应 ， 并 初 始 m d 5 值 对 比 发 现 问 题 邮 件 发 送         f . c l o s e ( ) i f   _ _ n a m e _ _ = = " _ _ m a i n _ _ " :         g c i ( ' / u s r / b i n / ' ) #   输 出 文 件 的 m d 5 值 以 及 记 录 运 行 时 间 s t a r t t i m e   =   d a t e t i m e . d a t e t i m e . n o w ( ) e n d t i m e =     d a t e t i m e . d a t e t i m e . n o w ( ) p r i n t ( ' 运 行 时 间 ： % d s ' % ( ( e n d t i m e - s t a r t t i m e ) . s e c o n d s ) )
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理