搜索

[14198] 2019-06-06_如何在Windows和Linux服务器中检测混淆命令

文档创建者：s7ckTeam
浏览次数：19
最后更新：2025-01-18
2019-06-06_如何在Windows和Linux服务器中检测混淆命令 如 何 在 W i n d o w s 和 L i n u x 服 务 器 中 检 测 混 淆 命 令 A l p h a _ h 4 c k   F r e e B u f   2 0 1 9 - 0 6 - 0 6 工 具 介 绍 工 具 介 绍 在 目 前 的 无 文 件 恶 意 软 件 或 网 络 犯 罪 领 域 中 ， 命 令 行 混 淆 已 经 是 很 常 见 的 了 。 为 了 绕 过 基 于 签 名 的 安 全 检 测 机 在 目 前 的 无 文 件 恶 意 软 件 或 网 络 犯 罪 领 域 中 ， 命 令 行 混 淆 已 经 是 很 常 见 的 了 。 为 了 绕 过 基 于 签 名 的 安 全 检 测 机 制 ， 红 队 渗 透 测 试 以 及 制 ， 红 队 渗 透 测 试 以 及 A P T 攻 击 活 动 都 会 使 用 各 种 专 用 的 混 淆 攻 击 活 动 都 会 使 用 各 种 专 用 的 混 淆 / 模 糊 技 术 。 同 时 ， 许 多 代 码 混 淆 工 具 （ 即 执 行 语 模 糊 技 术 。 同 时 ， 许 多 代 码 混 淆 工 具 （ 即 执 行 语 法 转 换 工 具 ） 都 已 开 源 ， 这 也 使 得 网 络 攻 击 者 们 对 给 定 命 令 进 行 混 淆 处 理 变 得 越 来 越 容 易 了 。 法 转 换 工 具 ） 都 已 开 源 ， 这 也 使 得 网 络 攻 击 者 们 对 给 定 命 令 进 行 混 淆 处 理 变 得 越 来 越 容 易 了 。 然 而 ， 针 对 这 类 技 术 的 防 御 工 具 却 仍 然 很 少 。 针 对 L i n u x 的 命 令 行 混 淆 ， 我 们 几 乎 找 不 到 任 何 可 以 使 用 的 检 测 工 具 。 在 防 范 W i n d o w s 命 令 混 淆 方 面 ， 现 有 的 方 案 要 么 是 缺 乏 相 应 工 具 ， 要 么 只 是 解 决 了 部 分 问 题 ， 并 没 有 彻 底 解 决 所 有 问 题 。 为 了 更 好 地 检 测 相 关 威 胁 ， 我 们 设 计 并 开 发 了 F l e r k e n ， 这 是 一 个 工 具 化 的 平 台 ， 可 以 用 来 检 测 W i n d o w s （ C M D 和 P o w e r S h e l l ） 和 L i n u x （ B a s h ） 命 令 。 F l e r k e n 可 分 为 K i n d l e 和 O c t o p u s 这 两 个 模 块 ， 其 中 K i n d l e 针 对 的 是 W i n d o w s 模 糊 检 测 工 具 ， 而 O c t o p u s 针 对 的 是 L i n u x 模 糊 测 试 工 具 。 除 此 之 外 ， 为 了 优 化 F l e r k e n 的 分 类 性 能 ， 我 们 还 引 入 了 机 器 学 习 、 双 向 特 征 过 滤 和 脚 本 沙 盒 等 技 术 。 工 具 安 装 工 具 安 装 & 使 用 使 用 工 具 安 装 工 具 安 装 1 、   确 保 服 务 器 端 已 安 装 了 P y t h o n   3 . x ， 你 可 以 使 用 下 列 命 令 来 检 测 ： 2 、   安 装 依 赖 组 件 ， 所 有 的 依 赖 组 件 已 在 r e q u i r e m e n t . t x t 中 声 明 ： 3 、   登 录 M y S Q L 控 制 台 ， 导 入 数 据 库 ： 4 、   自 定 义 配 置 F l e r k e n   A p p ： 5 、   运 行 工 具 ： 6 、 （ 可 选 ） 为 了 降 低 假 阳 性 ， 可 根 据 需 要 构 建 白 名 单 规 则 ： [ r o o t @ s e r v e r : ~ $ ] p y t h o n   – V [ r o o t @ s e r v e r : ~ $ ] p y t h o n   – V s o u r c e / y o u r   p a t h / F l e r k e n / f l e r k e n / l i b / f l e r k e n . s q l P a t h : f l e r k e n / c o n f i g / g l o b a l _ c o n f i g . p y [ r o o t @ s e r v e r : ~ $ ] p y t h o n   r u n A p p . p y
工 具 使 用 工 具 使 用 工 具 的 使 用 如 下 图 所 示 ， 我 们 还 可 以 使 用 A P I 接 口 ： 获 取 帮 助 信 息 获 取 帮 助 信 息 如 果 你 对 F l e r k e n 的 使 用 有 任 何 疑 问 ， 可 以 直 接 创 建 i s s u e 并 进 行 标 注 ， 我 们 会 尽 快 解 决 大 家 提 出 的 问 题 ： 内 置 的 第 三 方 库 内 置 的 第 三 方 库 F l a s k F l a s k - W T F F l a s k - L i m i t e r f r a n k i e - h u a n g / p y t h o n M y S Q L j Q u e r y S w i p e r 许 可 证 协 议 许 可 证 协 议 F l e r k e n 遵 循 A p a c h e   2 . 0 许 可 证 协 议 。 项 目 地 址 项 目 地 址 P a t h : f l e r k e n / c o n f i g / w h i t e l i s t s /
F l e r k e n ： 【 G i t H u b 传 送 门 】 工 具 文 档 工 具 文 档 如 需 了 解 关 于 F l e r k e n 的 细 节 内 容 ， 可 查 看 F l e r k e n 的 官 方 文 档 ： 【 点 我 获 取 】 * 参 考 来 源 ： W e 5 t e r ， F B 小 编 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理