搜索

[13767] 2019-02-17_系统安全之SSH入侵的检测与响应

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-18
2019-02-17_系统安全之SSH入侵的检测与响应 系 统 安 全 之 S S H 入 侵 的 检 测 与 响 应 原 创   g n c a o   F r e e B u f   2 0 1 9 - 0 2 - 1 7 一 、 前 言 一 、 前 言 作 为 系 列 文 章 的 第 一 篇 作 为 系 列 文 章 的 第 一 篇 h t t p s : / / w w w . f r e e b u f . c o m / e s / 1 9 3 5 5 7 . h t m l   介 绍 了 攻 防 系 统 的 整 个 环 境 和 搭 建 方 法 ， 按 照 介 绍 了 攻 防 系 统 的 整 个 环 境 和 搭 建 方 法 ， 按 照 这 篇 文 章 应 该 是 可 以 把 整 个 环 境 搭 建 完 毕 的 这 篇 文 章 应 该 是 可 以 把 整 个 环 境 搭 建 完 毕 的 . 。 在 这 篇 文 章 中 还 介 绍 到 了 课 程 大 纲 包 含 主 机 安 全 、 。 在 这 篇 文 章 中 还 介 绍 到 了 课 程 大 纲 包 含 主 机 安 全 、 w e b 安 全 、 后 安 全 、 后 门 门 / 木 马 等 等 ， 下 面 就 让 我 们 开 始 我 们 的 实 验 课 程 。 木 马 等 等 ， 下 面 就 让 我 们 开 始 我 们 的 实 验 课 程 。 二 、 课 程 目 标 二 、 课 程 目 标 首 先 第 一 个 课 程 是 主 机 安 全 的 s s h 端 口 入 侵 & 检 测 & 响 应 课 程 。 课 程 有 几 个 目 标 如 下 所 示 ： 1 .   熟 练 使 用 熟 练 使 用 n m a p 类 端 口 扫 描 工 具 类 端 口 扫 描 工 具 2 .   熟 练 使 用 熟 练 使 用 h y d r a 、 、 m s f 等 平 台 对 等 平 台 对 s s h 服 务 开 展 爆 破 行 为 服 务 开 展 爆 破 行 为 3 .   监 测 平 台 能 够 在 第 一 时 间 检 测 到 攻 击 行 为 并 发 出 告 警 监 测 平 台 能 够 在 第 一 时 间 检 测 到 攻 击 行 为 并 发 出 告 警 4 .   能 够 在 服 务 器 上 找 到 入 侵 痕 迹 包 括 攻 击 时 间 、 攻 击 方 式 、 是 否 成 功 、 攻 击 源 等 有 价 值 信 息 能 够 在 服 务 器 上 找 到 入 侵 痕 迹 包 括 攻 击 时 间 、 攻 击 方 式 、 是 否 成 功 、 攻 击 源 等 有 价 值 信 息 注 ： 对 于 很 多 大 佬 来 说 这 些 都 是 小 菜 了 ， 但 是 在 一 开 始 的 时 候 我 也 是 这 么 认 为 的 （ 我 不 是 大 佬 ） 直 到 在 做 后 面 环 节 的 时 候 还 是 碰 到 了 一 些 问 题 ， 同 时 也 掌 握 了 一 些 新 的 知 识 ， 相 信 大 家 都 会 在 这 个 过 程 当 中 都 能 够 有 所 收 获 。 三 、 实 验 环 境 三 、 实 验 环 境 攻 击 主 机 i p ： 1 9 2 . 1 6 8 . 1 7 1 . 1 3 0 （ 注 ： 因 为 换 了 新 电 脑 ， 物 理 主 机 没 有 攻 击 环 境 ， 所 以 新 装 了 一 个 k a l i 虚 拟 机 作 为 攻 击 主 机 ） 受 害 者 主 机 i p ： 1 9 2 . 1 6 8 . 1 7 1 . 1 2 1 检 测 主 机 i p ： 1 9 2 . 1 6 8 . 1 7 1 . 1 2 0 四 、 攻 击 思 路 四 、 攻 击 思 路 1 .   使 用 n m a p 等 端 口 扫 描 工 具 探 测 目 标 服 务 器 是 否 存 在 s s h 服 务 1 ） 在 攻 击 主 机 的 命 令 行 下 输 入 n m a p   - s S   1 9 2 . 1 6 8 . 1 7 1 . 1 2 1   对 目 标 主 机 进 行 端 口 扫 描 ：
2 ） 检 测 发 现 目 标 主 机 存 在 s s h 服 务 ， 尝 试 登 陆 几 次 判 断 是 否 存 在 登 陆 次 数 限 制 或 登 陆 地 址 限 制 情 况 ： 经 过 多 次 尝 试 登 陆 发 现 没 有 存 在 限 制 次 数 登 陆 和 限 制 登 录 地 址 的 情 况 ， 所 以 我 们 可 以 使 用 爆 破 工 具 加 载 字 典 对 s s h 服 务 进 行 爆 破 了 。 2 .   使 用 m s f 、 h y d r a 等 工 具 加 载 字 典 对 目 标 s s h 服 务 开 展 爆 破 行 为 ， 这 里 使 用 h y d r a 来 做 演 示 。 h y d r a 和 m s f 的 使 用 方 法 不 做 过 多 介 绍 ， 否 则 篇 幅 无 法 控 制 。 大 家 如 果 有 不 懂 的 ， 可 以 百 度 或 者 联 系 我 。 1 ） 在 命 令 行 下 使 用 h y d r a 加 载 用 户 名 、 密 码 字 典 对 目 标 s s h 服 务 开 展 爆 破 行 为 ： 2 ） 对 爆 破 出 来 的 用 户 名 密 码 尝 试 登 陆 s s h v i c t i m @ 1 9 2 . 1 6 8 . 1 7 1 . 1 2 1   输 入 密 码 后 正 常 登 陆 ： 3 ） 创 建 S S H 免 密 登 陆 3 . 1 ） 现 在 攻 击 主 机 上 生 成 公 钥 信 息 h y d r a   - L   u s e r . t x t   - P   p a s s . t x t   s s h : / / 1 9 2 . 1 6 8 . 1 7 1 . 1 2 1 s s h - k e y g e n   - t   r s a
3 . 2 ） 将 生 成 的 公 钥 信 息 传 到 受 害 主 机 上 一 定 要 注 意 是 公 钥 文 件 后 缀 为 . p u b 。 输 入 受 害 主 机 的 密 码 后 即 可 。 3 . 3 ） 尝 试 可 以 免 密 登 陆 s s h   v i c t i m @ 1 9 2 . 1 6 8 . 1 7 1 . 1 2 1   直 接 登 陆 不 用 输 入 密 码 。 正 常 情 况 下 是 需 要 输 入 密 码 的 ， 注 意 标 红 位 置 ： s s h - c o p y - i d   - i   . s s h / i d _ r s a . p u b   v i c t i m @ 1 9 2 . 1 6 8 . 1 7 1 . 1 2 1
至 此 基 本 的 S S H 攻 击 已 经 结 束 了 ， 思 路 很 简 单 这 个 应 该 是 基 本 功 无 压 力 。 下 面 的 过 程 就 比 较 有 收 获 了 。 五 、 响 应 方 法 五 、 响 应 方 法 1 .   登 陆 目 标 主 机 关 闭 s s h 服 务 、 查 看 被 爆 破 成 功 账 户 、 判 断 是 否 存 在 s s h 免 密 登 陆 。 1 ） 关 闭 s s h 服 务 2 ） 查 看 被 爆 破 成 功 的 账 户 两 种 方 案 可 以 查 看 到 2 . 1 ） 第 一 种 是 查 看 s s h 日 志 中 的 关 键 字 眼   A c c e p t e d   p a s s w o r d   f o r 注 意 A c c e p t e d 的 第 一 个 字 母 大 写 否 则 匹 配 不 到 记 录 ： 从 日 志 中 能 够 发 现 v i c t i m 和 r o o t 账 户 均 被 爆 破 出 来 。 2 . 2 ） 第 二 种 是 l a s t 命 令 查 看 登 陆 地 址 信 息 s y s t e m c t l   s t o p   s s h d   或 者 / e t c / i n i t . d / s s h d   s t o p c a t   / v a r / l o g / s e c u r e   |   g r e p   " A c c e p t e d   p a s s w o r d   f o r "
l a s t   命 令 效 果 等 同 于 w h o   / v a r / l o g / w t m p 。 3 ） 检 查 是 否 存 在 免 密 登 陆 因 为 从 日 志 和 w t m p 记 录 中 我 们 看 到 攻 击 者 已 经 登 陆 了 v i c t i m 和 r o o t 账 户 所 以 我 们 需 要 在 这 两 个 账 户 下 面 分 别 查 看 是 否 存 在 s s h 公 钥 信 息 。 3 . 1 ） 首 先 查 看 普 通 账 户 v i c t i m 的 . s s h 目 录 下 是 否 存 在 a u t h o r i z e d _ k e y s 文 件 l s   - l   / h o m e / v i c t i m / . s s h /
从 上 面 可 以 看 出 v i c t i m 账 户 存 在 免 密 登 陆 而 且 还 记 录 到 了 攻 击 者 服 务 器 的 主 机 名 和 用 户 名 信 息 。 3 . 2 ） 然 后 查 看 r o o t 账 户 的 . s s h 目 录 是 否 存 在 a u t h o r i z e d _ k e y s 文 件 从 结 果 可 以 看 到 r o o t 账 户 下 不 存 在 免 密 登 陆 。 2 .   检 查 系 统 用 户 是 否 存 在 异 常 账 号 若 存 在 清 除 异 常 账 户 无 异 常 账 户 3 .   检 查 s s h 日 志 是 否 存 在 短 时 间 内 大 量 的 尝 试 登 陆 行 为 ， 从 而 判 断 这 个 登 录 成 功 的 账 户 是 正 常 登 陆 还 是 异 常 登 陆 查 看 s e c u r e 日 志 文 件 判 断 是 否 存 在 大 量 的 I n v a l i d   u s e r   字 眼 l s   - l   / r o o t / . s s h / c a t   / e t c / p a s s w d c a t   / v a r / l o g / s e c u r e   |   g r e p   " I n v a l i d   u s e r "
c a t   / v a r / l o g / s e c u r e |   g r e p   “ A c c e p t e d   p a s s w o r d   f o r   v i c t i m   f r o m   1 9 2 . 1 6 8 . 1 7 1 . 1 3 0 ”   记 录 登 陆 成 功 的 时 间 点 然 后 判 断 是 否 跟 暴 力 破 解 的 时 间 段 一 致 ， 如 果 一 致 则 表 示 该 账 户 是 被 爆 破 成 功 登 陆 。 或 者 直 接 找 管 理 员 确 认 登 陆 信 息 是 否 正 常 。 跟 上 面 的 s e c u r e 日 志 中 的 时 间 点 做 匹 配 可 以 看 到 该 账 户 是 被 暴 力 破 解 出 来 的 。 4 ， 检 查 定 时 任 务 是 否 存 在 异 常 情 况 1 ） c r o n t a b   - l 查 看 当 前 用 户 的 定 时 任 务 信 息 2 ） s u d o   c r o n t a b   - u   r o o t   - l   查 看 r o o t 账 户 的 定 时 任 务 信 息 3 ） 查 看 / e t c / c r o n . d / 文 件 夹 中 是 否 存 在 文 件
能 够 看 到 c r o n . d 文 件 夹 中 存 在 定 时 任 务 但 是 内 容 不 含 攻 击 行 为 。 4 ） 查 看 / e t c / c r o n . d a i l y /   / e t c / c r o n . w e e k l y /   / e t c / c r o n . h o u r l y /   / e t c / c r o n . m o n t h l y /   这 些 文 件 夹 下 面 是 否 存 在 定 时 任 务 六 、 修 复 方 案 六 、 修 复 方 案 1 .   修 改 被 爆 破 账 户 密 码 增 加 密 码 复 杂 度 分 别 执 行 p a s s w d   v i c t i m   和 p a s s w d   r o o t 命 令 修 改 v i c t i m 和 r o o t 账 户 密 码 。 2 .   清 除 免 密 登 陆 信 息 删 除 . s s h / 目 录 下 的 a u t h o r i z e d _ k e y s 文 件 。 3 ， 清 除 定 时 任 务 如 果 存 在 定 时 任 务 直 接 删 除 定 时 任 务 文 件 或 者 进 入 到 定 时 任 务 文 件 中 删 除 所 在 行 信 息 即 可 。 4 ， 增 加 s s h 登 陆 失 败 次 数 限 制 编 辑 s s h d _ c o n f i g 配 置 文 件 修 改 M a x A u t h T r i e s 记 录 。 r m   - r f   . s s h / a u t h o r i z e d _ k e y s
保 存 退 出 后 重 启 s s h d 服 务 。 再 次 尝 试 登 陆 且 输 入 密 码 超 过 2 次 后 会 出 现 如 下 信 息 。 再 次 使 用 h y d r a 尝 试 爆 破 s s h 用 户 名 密 码 。 查 看 s e c u r e 日 志 ： 为 什 么 呢 ？ 为 什 么 会 出 现 这 种 情 况 呢 ？ 我 们 已 经 在 S S H 的 配 置 文 件 中 增 加 次 数 限 制 了 为 什 么 还 是 可 以 爆 破 成 功 呢 ？ 是 因 为 我 们 在 这 里 对 登 陆 失 败 次 数 做 限 制 了 ， 但 是 没 有 锁 定 账 户 。 也 就 是 说 这 个 账 户 依 然 可 以 被 暴 力 破 解 只 是 破 解 的 速 度 会 慢 一 点 而 已 。 那 正 确 的 方 式 应 该 怎 么 做 呢 。 需 要 通 过 p a m 来 锁 定 超 过 登 陆 次 数 的 账 户 编 辑 / e t c / p a m . d / s s h d 文 件 ： 增 加 如 上 所 示 一 条 记 录 该 条 记 录 ， 表 示 登 陆 失 败 超 过 三 次 后 就 锁 定 3 0 0 秒 ， r o o t 账 户 如 果 三 次 尝 试 后 也 不 行 将 被 锁 定 1 2 0 0 秒 。 字 段 解 释 ： v i m   / e t c / p a m . d / s s h d d e n y 表 示 的 是 设 置 的 最 大 失 败 次 数 u n l o c k _ t i m e   表 示 的 是 锁 定 多 长 时 间 单 位 是 秒 d e n y _ r o o t   表 示 r o o t 账 户 也 封 锁 r o o t _ u n l o c k _ t i m e   表 示 的 是 r o o t 账 户 的 锁 定 时 间
注 ： 如 果 限 制 s s h 登 陆 则 编 辑 s s h d 文 件 如 果 限 制 终 端 登 陆 则 编 辑 l o g i n 文 件 再 次 尝 试 h y d r a 爆 破 发 现 无 法 成 功 爆 破 查 看 s e c u r e 日 志 ： 日 志 中 显 示 v i c t i m 账 户 已 经 被 锁 定 。 查 看 锁 定 的 账 户 和 登 陆 失 败 的 次 数 ： 这 时 候 尝 试 输 入 正 确 密 码 尝 试 登 陆 ： 依 然 无 法 登 陆 。 那 怎 么 解 除 封 锁 呢 ？ 只 需 要 将 p a m 中 的 记 录 清 除 掉 即 可 。 再 次 尝 试 登 陆 v i c t i m 账 户 ： s u d o   p a m _ t a l l y 2   - - u s e r   v i c t i m s u d o   p a m _ t a l l y 2   - - u s e r   v i c t i m   - - r e s e t
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理