搜索

[15281] 2020-04-21_记一次域控服务器应急

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2020-04-21_记一次域控服务器应急 记 一 次 域 控 服 务 器 应 急 b b b b b b i g   F r e e B u f   2 0 2 0 - 0 4 - 2 1 一 、 背 景 介 绍 一 、 背 景 介 绍 这 是 去 年 这 是 去 年 1 1 月 份 的 应 急 事 件 ， 反 复 到 客 户 现 场 多 次 才 找 到 原 因 ， 最 后 得 到 的 结 论 也 极 为 简 单 。 解 决 问 题 过 程 月 份 的 应 急 事 件 ， 反 复 到 客 户 现 场 多 次 才 找 到 原 因 ， 最 后 得 到 的 结 论 也 极 为 简 单 。 解 决 问 题 过 程 中 ， 由 于 客 户 给 的 压 力 较 大 ， 甚 至 几 次 都 找 错 方 向 ， 但 最 终 还 是 将 问 题 解 决 ， 在 这 里 我 分 享 一 下 此 次 应 急 ， 希 中 ， 由 于 客 户 给 的 压 力 较 大 ， 甚 至 几 次 都 找 错 方 向 ， 但 最 终 还 是 将 问 题 解 决 ， 在 这 里 我 分 享 一 下 此 次 应 急 ， 希 望 能 帮 助 到 工 作 中 的 您 。 望 能 帮 助 到 工 作 中 的 您 。 1 . 1 问 题 初 步 了 解 问 题 初 步 了 解 接 到 客 户 反 馈 ， 某 一 域 用 户 无 法 登 录 ， 客 户 通 过 查 看 域 控 服 务 器 系 统 安 全 日 志 ， 发 现 域 控 服 务 器 存 在 大 量 用 户 登 录 失 败 日 志 ， 初 步 判 断 域 控 服 务 器 可 能 受 到 攻 击 。 1 . 2 问 题 猜 想 与 信 息 收 集 问 题 猜 想 与 信 息 收 集 问 题 猜 想 当 接 到 客 户 提 供 的 信 息 和 相 关 截 图 时 ， 就 对 客 户 提 供 的 信 息 进 行 分 析 ， 针 对 客 户 现 场 的 问 题 作 出 相 关 猜 想 ， 将 可 能 的 原 因 都 列 举 一 下 。 1 、 发 现 大 量 用 户 登 录 失 败 日 志 首 先 联 想 到 是 否 存 在 R D P 爆 破 ？ 2 、 是 否 存 在 内 网 横 向 攻 击 情 况 ； 3 、 … … 信 息 收 集 针 对 客 户 提 供 的 信 息 和 判 断 结 果 ， 我 便 了 解 一 下 信 息 ： 1 、 域 控 服 务 器 是 否 对 互 联 网 提 供 应 用 ； 2 、 该 问 题 是 什 么 时 候 出 现 的 ， 出 现 后 有 哪 些 特 征 ； 3 、 除 域 账 号 无 法 登 录 外 ， 是 否 存 在 其 他 现 象 ； 4 、 … … 1 . 3 客 户 反 馈 信 息 客 户 反 馈 信 息 通 初 步 交 流 重 客 户 处 得 到 信 息 ： 1 、 该 域 控 不 对 互 联 网 提 供 应 用 ， 域 控 服 务 器 处 于 内 网 ， 与 互 联 网 无 数 据 交 互 ； 2 、 除 域 账 号 无 法 登 录 外 ， 无 其 他 异 常 情 况 。 二 、 问 题 分 析 二 、 问 题 分 析 将 自 己 的 猜 想 同 客 户 反 馈 到 的 信 息 做 对 比 ， 完 全 对 应 不 上 ， 两 个 信 息 完 全 是 处 于 两 个 相 对 的 极 端 上 ， 心 凉 凉 的 。 由 于 到 客 户 现 场 需 要 一 段 时 间 ， 因 此 在 这 段 时 间 中 ， 我 查 找 了 相 关 域 控 的 信 息 ， 对 域 控 有 一 个 初 步 了 解 。 在 应 急 中 最 忌 讳 的 就 是 慌 张 ， 没 有 头 绪 了 解 域 控 后 ， 我 放 空 了 思 路 ， 让 自 己 安 静 下 来 。
“ 知 止 而 后 有 定 ， 定 而 后 能 静 ， 静 而 后 能 安 ， 安 而 后 能 虑 ， 虑 而 后 能 得 。 ” 我 很 喜 欢 《 大 学 》 中 这 句 话 ， 在 每 次 的 应 急 中 我 都 能 从 容 应 对 。 三 、 现 场 分 析 三 、 现 场 分 析 3 . 1 日 志 分 析 日 志 分 析 在 现 场 分 析 中 ， 首 先 考 虑 了 是 否 存 在 暴 力 破 解 情 况 ， 因 此 对 安 全 日 志 进 行 分 析 ， 但 在 发 现 的 过 程 中 发 现 安 全 日 志 记 录 2 4 1 1 9 8 条 数 其 中 I D 为 4 7 7 1 事 件 有 9 2 9 8 2 条 ， 4 7 7 6 事 件 有 7 2 7 3 2 次 。 系 统 中 设 置 日 志 保 存 大 小 为 1 2 8 M ， 由 于 每 天 日 志 量 很 大 ， 只 保 留 了 当 天 的 日 志 ， 当 日 前 的 日 志 已 被 覆 盖 ， 无 法 得 知 之 前 是 否 存 在 R D P 爆 破 ， 在 未 被 覆 盖 的 日 志 中 未 发 现 大 量 用 户 登 录 失 败 信 息 （ R D P 爆 破 ） ， 但 存 在 4 6 2 5 事 件 （ 登 录 类 型 是 3 ， 是 访 问 网 络 共 享 文 件 夹 或 打 印 机 ） 。 I D ： 4 7 7 1 事 件 ： I D ： 4 7 7 6 事 件 ：
4 6 2 5 事 件 （ 登 录 类 型 是 3 — — 是 访 问 网 络 共 享 文 件 夹 或 打 印 机 ， 登 录 类 型 不 是 1 0 — — 该 类 型 为 远 程 交 付 ） ： 通 过 对 日 志 进 行 筛 选 ， 发 现 k e r b e r o s 预 身 份 验 证 日 志 I D ： 4 7 7 1 占 总 日 志 的 3 8 . 6 % ， N T L M 验 证 方 式 验 证 密 码 凭 据 事 件 I D ： 4 7 7 6 占 总 日 志 的 ： 3 0 % ， 两 者 相 加 占 总 日 志 的 6 8 . 6 % ， 这 一 点 让 我 很 惊 讶 ， 为 什 么 会 有 这 么 大 的 占 比 ？ 这 里 解 释 一 下 4 7 7 1 事 件 、 4 7 7 6 事 件 和 K e r b e r o s   策 略 ， 详 细 如 下 ： 4 7 7 1 事 件 :   K e r b e r o s   预 身 份 验 证 失 败 ： 每 次 密 钥 分 发 中 心 无 法 发 出 K e r b e r o s 票 证 授 予 票 证 ( T G T ) 时 , 都 会 生 成
此 事 件 。 当 域 控 制 器 没 有 为 智 能 卡 身 份 验 证 安 装 的 证 书   ( 例 如 ,   使 用   “ 域 控 制 器 ”   或   “ 域 控 制 器 身 份 验 证 ”   模 板 )   时 , 用 户 的 密 码 已 过 期 或 错 误 的 密 码 将 会 发 生 这 种 情 况 。 此 事 件 仅 在 域 控 制 器 上 生 成 。 如 果 为 帐 户 设 置 了 “ 不 要 求   K e r b e r o s   预 身 份 验 证 ”   选 项 ,   则 不 会 生 成 此 事 件 。 事 件 4 7 7 6 是 使 用 N T L M 验 证 方 式 验 证 密 码 凭 据 时 产 生 的 ， 并 且 只 会 具 有 权 威 性 的 机 器 上 产 生 ， 比 如 域 帐 户 登 录 时 是 需 要 和 域 控 进 行 验 证 的 ， 域 控 就 是 具 有 权 威 性 的 机 器 ， 而 造 成 登 录 失 败 的 可 能 性 也 很 多 ， 比 如 用 户 名 密 码 不 正 确 ， 密 码 过 期 ， 帐 号 被 锁 定 等 等 。 请 检 查 您 环 境 中 是 否 对 该 用 户 做 过 类 似 的 更 改 。 K e r b e r o s 策 略 ： 通 过 减 少 K e r b e r o s 票 证 的 生 命 周 期 , 你 可 以 降 低 合 法 用 户 的 凭 据 被 盗 用 并 成 功 被 攻 击 者 使 用 的 风 险 。 但 是 , 这 还 会 增 加 授 权 开 销 。 通 过 对 4 7 7 1 事 件 和 4 7 7 6 事 件 深 入 分 析 后 ， 发 现 当 用 户 的 密 码 已 过 期 和 错 误 进 行 时 会 出 现 上 述 情 况 ， 由 于 系 统 设 置 了 K e r b e r o s 策 略 ， 因 此 存 在 上 述 问 题 ， K e r b e r o s 策 略 设 置 如 下 （ 该 策 略 参 数 是 按 照 微 软 给 出 的 最 佳 参 数 设 置 ） ： 因 此 每 隔 一 定 时 间 后 会 出 现 以 下 问 题 ： 0 x 0 指 代 无 错 误
0 x C 0 0 0 0 0 6 A ： 帐 户 登 录 时 出 现 拼 写 错 误 或 密 码 错 误 ： 3 . 2 系 统 进 程 分 析 系 统 进 程 分 析 通 过 对 异 常 的 域 控 服 务 器 系 统 进 程 和 服 务 进 行 分 析 ， 未 发 现 异 常 。
3 . 3 安 全 设 备 日 志 分 析 安 全 设 备 日 志 分 析 对 客 户 安 全 设 备 和 感 知 平 台 一 周 前 的 日 志 进 行 分 析 ， 也 未 发 现 攻 击 痕 迹 。 3 . 3 第 一 次 分 析 总 结 第 一 次 分 析 总 结 该 问 题 为 k e r b e r o s 策 略 引 起 ， 因 此 不 是 安 全 事 件 （ 看 着 这 个 结 论 ， 觉 得 不 对 ， 可 有 找 不 到 异 常 原 因 ， 觉 得 很 难 受 ， 第 一 次 分 析 到 此 ） 。 3 . 4 最 终 分 析 及 结 论 最 终 分 析 及 结 论 我 对 这 个 结 果 不 满 意 ， 客 户 拿 到 这 个 结 果 不 满 意 ， 这 个 没 有 找 到 原 因 。 我 有 去 了 客 户 现 场 2 次 ， 这 两 次 和 之 前 一 样 也 没 有 找 到 原 因 ， 结 论 还 是 和 之 前 一 样 。 感 觉 自 己 像 个 迷 路 的 小 孩 ， 对 这 个 问 题 无 能 为 力 。 第 四 次 又 厚 着 脸 去 了 客 户 现 场 ， 到 现 场 处 理 了 一 段 时 间 还 是 一 无 所 获 ， 在 黔 驴 技 穷 时 ， 客 户 反 馈 到 ， 他 哪 里 还 有 一 个 问 题 ： “ 发 现 一 个 重 复 S P N 的 组 ” ， 说 到 这 里 时 ， 我 起 初 也 没 有 注 意 ， 当 对 该 问 题 进 行 深 入 分 析 时 发 现 ： 是 由 于 错 误 的 S P N   组 导 致 ， 如 果 有 两 个 条 目 尝 试 使 用 相 同 的   k e r b e r o s   票 证 进 行 身 份 验 证 ， 它 们 将 发 生 冲 突 ， 并 导 致 错 误 和 服 务 失 败 。 看 到 这 里 有 可 能 对 S P N 组 这 个 名 词 有 点 懵 ， 这 里 我 解 释 一 下 S P N 组 ： 服 务 主 体 名 创 （ S P N ） 是   k e r b e r o s   客 户 端 用 于 唯 一 标 识 给 特 定   k e r b e r o s   目 标 计 算 机 的 服 务 实 例 名 称 。 K e r b e r o s   身 份 验 证 使 用   S P N   将 服 务 实 例 与 服 务 登 录 账 户 向 关 联 ， 因 此 如 果 有 两 个 条 目 尝 试 使 用 相 同 的   k e r b e r o s   票 证 进 行 身 份 验 证 ， 它 们 将 发 生 冲 突 ， 并 导 致 错 误 和 服 务 失 败 。 最 终 出 现 上 述 问 题 ， 也 解 释 了 为 什 么 存 在 有 的 域 账 号 不 能 登 录 。 至 此 问 题 解 决 ， 成 功 脱 坑 。 3 . 5 相 关 连 接 相 关 连 接 K e r b e r o s   策 略 ) I D ： 4 7 7 1 事 件 I D ： 4 7 7 6 事 件 I D ： 4 6 2 5 事 件 K e r b e r o s   和   N T L M – S Q L   S e r v e r   连 接 的 那 点 事 （ 可 以 重 点 查 看 一 下 ）
四 、 总 结 四 、 总 结 作 为 应 急 人 ， 这 里 没 有 什 么 想 要 总 结 的 ， 只 想 说 一 句 话 ： “ 要 做 好 应 急 就 要 先 学 会 收 集 信 息 ” 。 * 本 文 作 者 ： 本 文 作 者 ： b b b b b b i g ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理