搜索

[21061] 2020-06-06_HW防守之日志分析一

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2020-06-06_HW防守之日志分析一 H W 防 守 之 日 志 分 析   一 L e m o n S e c   2 0 2 0 - 0 6 - 0 6 转 载 自 ： h t t p s : / / w w w . f r e e b u f . c o m / c o l u m n / 2 0 2 3 5 0 . h t m l 笔 者 都 是 作 为 C T F 解 题 思 路 来 讲 述 的 日 志 分 析 方 式 ， 其 实 在 真 实 的 网 络 攻 击 中 ， 日 志 分 析 方 式 大 同 小 异 ， 这 里 引 荐 笔 者 的 文 章 。 概 念 ： 概 念 ： 首 先 ， 咱 们 还 是 老 规 矩 ， 先 介 绍 一 下 什 么 是 日 志 分 析 。 首 先 ， 咱 们 还 是 老 规 矩 ， 先 介 绍 一 下 什 么 是 日 志 分 析 。 日 志 分 析 — - 计 算 机 、 网 络 和 其 他 I T 系 统 生 成 审 计 跟 踪 记 录 或 记 录 系 统 活 动 的 日 志 。 日 志 分 析 是 对 这 些 记 录 的 评 估 ， 帮 助 公 司 缓 解 各 种 风 险 并 满 足 合 规 性 法 规 。 在 当 下 的 C T F 大 赛 中 ， 多 以 流 量 分 析 的 形 式 出 现 ， 但 是 在 个 别 比 赛 中 依 然 会 出 现 一 题 关 于 日 志 分 析 类 的 题 目 ， 一 般 的 题 目 都 是 会 让 我 们 通 过 日 志 找 线 索 ， 不 会 将 f l a g 写 在 日 志 ， 因 此 我 们 需 要 通 过 分 析 日 志 来 判 断 ， f l a g 可 能 存 在 的 位 置 ， 再 通 过 类 似 的 方 式 获 取 f l a g 。 日 志 分 析 主 要 分 成 两 种 ： ● W e b 日 志 分 析 ● 系 统 日 志 分 析 本 期 主 要 给 大 家 带 来 W e b 日 志 分 析 。 日 志 格 式 类 型 ： 日 志 格 式 类 型 ： 既 然 要 进 行 分 析 日 志 ， 首 先 我 们 得 先 了 解 一 下 日 志 的 格 式 到 底 有 哪 些 ？ 目 前 在 比 赛 中 比 较 常 见 的 W E B 日 志 格 式 主 要 有 两 类 ： ● A p a c h e 的 N C S A 日 志 格 式 ， N C S A 格 式 分 为 ： N C S A 普 通 日 志 格 式 （ C L F ） N C S A 扩 展 日 志 格 式 （ E C L F ） ● I I S 的 W 3 C 日 志 格 式 除 了 格 式 不 同 之 外 ， 一 般 的 分 析 方 法 基 本 相 似 ， 因 此 接 下 来 以 N C S A 普 通 日 志 格 式 进 行 演 示 。 为 了 可 以 更 好 的 演 示 ， 这 边 使 用 的 是 N C S A 普 通 日 志 格 式 ， 它 的 格 式 如 下 ： 常 用 日 志 分 析 方 法 ： 常 用 日 志 分 析 方 法 ： 常 见 的 日 志 分 析 方 法 有 两 种 ： 1 . 特 征 字 符 分 析 2 . 访 问 频 率 分 析 特 征 字 符 分 析 ： 特 征 字 符 分 析 ： 特 征 字 符 分 析 法 ： 顾 名 思 义 ， 就 是 根 据 攻 击 者 利 用 的 漏 洞 特 征 ， 进 行 判 断 攻 击 者 使 用 的 是 哪 一 种 攻 击 。 常 见 的 类 型 有 以 下 ： S Q L 注 入 、 X S S 跨 站 脚 本 攻 击 、 恶 意 文 件 上 传 、 一 句 话 木 马 连 接 等 。 S Q L 注 入 ： 注 入 ： 漏 洞 特 征 ： 存 在 S Q L 注 入 语 句 常 见 的 S Q L 注 入 语 句 有 ： ● 通 过 报 错 注 入 、 布 尔 盲 注 、 时 间 盲 注 判 断 是 否 存 在 注 入 ： ⊙ 字 符 型
  ■   参 数 后 加 单 引 号 ， 报 错 ： s q l 1 . p h p ? n a m e = a d m i n ’   ■   参 数 后 加 ’   a n d   ’ 1 ′ = ’ 2 和 ’   a n d   ’ 1 ′ = ’ 2 ， 访 问 正 常 ： s q l 1 . p h p ? n a m e = a d m i n ’   a n d   ’ 1 ′ = ’ 1               / s q l 1 . p h p ? n a m e = a d m i n ’   a n d   ’ 1 ′ = ’ 2 ■     参 数 后 加 ’   a n d   s l e e p ( 3 )     – ， 是 否 延 迟 3 秒 打 开 ： s q l 1 . p h p ? n a m e = a d m i n ’   a n d / o r   s l e e p ( 3 ) – ⊙ 数 字 型 ■     参 数 后 加 单 引 号 ， 报 错 : s q l 2 . p h p ? i d = 1 ′ ■     参 数 后 加 a n d   1 = 1 和 a n d   1 = 2 ， 访 问 正 常 ： s q l 2 . p h p ? i d = 1   a n d   1 = 1 / s q l 2 . p h p ? i d = 1   a n d   1 = 2 ■     参 数 后 加 a n d   s l e e p ( 5 ) ， 是 否 延 迟 3 秒 打 开 ： s q l 2 . p h p ? i d = 1   a n d   s l e e p ( 5 ) ●   通 过 各 种 注 入 语 句 进 行 S Q L 注 入 攻 击 ： ☉ 联 合 查 询 注 入 ■   u n i o n   s e l e c t ■   o r d e r   b y ☉ 报 错 注 入 ( 常 见 报 错 注 入 函 数 ) ■   f l o o r ( ) ■   e x t r a c t v a l u e ( ) ■   u p d a t e x m l ( ) ■   g e o m e t r y c o l l e c t i o n ( ) ■   m u l t i p o i n t ( ) ■   p o l y g o n ( ) ■   m u l t i p o l y g o n ( ) ■   l i n e s t r i n g ( ) ■   m u l t i l i n e s t r i n g ( ) ■   e x p ( ) ⊙ 常 见 数 据 库 类 型 判 断 ■   A C C E S S a n d   ( s e l e c t   c o u n t   ( * )   f r o m   s y s o b j e c t s ) > 0 返 回 异 常 a n d   ( s e l e c t   c o u n t   ( * )   f r o m   m s y s o b j e c t s ) > 0 返 回 异 常 ■   S Q L S E R V E R a n d   ( s e l e c t   c o u n t   ( * )   f r o m   s y s o b j e c t s ) > 0 返 回 正 常 a n d   ( s e l e c t   c o u n t   ( * )   f r o m   m s y s o b j e c t s ) > 0 返 回 异 常 a n d   l e f t ( v e r s i o n ( ) , 1 ) = 5 % 2 3 参 数 5 也 可 能 是 4 ■   M Y S Q L i d = 2   a n d   v e r s i o n ( ) > 0 返 回 正 常 i d = 2   a n d   l e n g t h ( u s e r ( ) ) > 0 返 回 正 常 i d = 2   C H A R ( 9 7 ,   1 1 0 ,   1 0 0 ,   3 2 ,   4 9 ,   6 1 ,   4 9 ) 返 回 正 常 ■   O r a c l e a n d   l e n g t h   ( s e l e c t   u s e r   f r o m   d u a l ) > 0 返 回 正 常 由 于 文 章 长 度 有 限 ， 只 列 举 部 分 ， 一 般 出 现 有 上 述 内 容 ， 则 可 判 断 此 处 可 能 存 在 S Q L 注 入 。 如 图 ， 可 以 很 明 显 地 发 现 红 色 框 中 有 很 明 显 的 S Q L 注 入 语 句 ， 如 布 尔 盲 注 、 u n i o n   s e l e c t 联 合 注 入 。 X S S 跨 站 脚 本 攻 击 ： 跨 站 脚 本 攻 击 ： 漏 洞 特 征 ： 明 显 的 j s 恶 意 执 行 代 码 常 见 的 X S S 跨 站 脚 本 攻 击 中 存 在 的 一 些 代 码 ： ●   标 签 ■   < s c r i p t >
■ < b o d y > ■ < i n p u t > ■ < i m g > ■ < a > ■ < s v g > ■ < B G S O U N D > ■ < L I N K > ■ < M E T A > ■ < T A B L E > ■ < D I V > ■ < I F R A M E > ■ < F R A M E S E T > ■ < S T Y L E > ■ < O B J E C T > ■   … … ●   常 用 触 发 事 件 ■   o n i n p u t ■   o n l o a d ■   o n c u t ■   o n c l i c k ■   o n e r r o r ■   o n m o u s e o v e r ■   o n f o c u s ■   o n b l u r ■   p o s t e r ■   o n s c r o l l ■ … … ●   常 用 恶 意 代 码 ■   p r o m p t ■   c o n f i r m ■   a l e r t ■   j a v a s c r i p t ■   e v a l ■   e x p r e s s i o n ■   w i n d o w . l o c a t i o n ■ … … 斗 哥 只 给 出 部 分 常 见 的 j s 代 码 ， 有 兴 趣 的 同 学 ， 自 行 查 阅 资 料 ， 将 其 补 全 ， 因 为 比 赛 是 瞬 息 万 变 的 ， 偶 尔 也 会 出 现 一 些 比 较 偏 门 的 也 不 一 定 。
如 图 ， 可 以 很 明 显 地 发 现 红 色 框 中 有 很 明 显 的 j s 恶 意 执 行 代 码 ， 如 < s c r i p t > 标 签 、 a l e r t 语 句 ， 但 是 由 于 a p a c h e 日 志 的 特 性 ， 如 果 是 通 过 P o s t 请 求 ， 则 无 法 准 确 判 断 出 是 否 存 在 X S S 跨 站 脚 本 攻 击 恶 意 文 件 上 传 ： 恶 意 文 件 上 传 ： 通 常 存 在 于 u p l o a d 、 f i l e 等 出 现 类 似 字 样 的 文 件 ， 均 可 能 存 在 恶 意 文 件 上 传 ， 具 体 还 需 结 合 日 志 进 行 判 断 ， 一 般 是 判 断 后 续 是 否 有 出 现 W e b s h e l l 等 一 些 可 以 的 w e b 操 作 ， 可 通 过 查 看 下 图 ， 发 现 在 f i l e . p h p 页 面 的 前 后 日 志 中 ， 有 存 在 一 个 带 着 日 期 的 p h p 页 面 ， 很 可 能 就 是 利 用 f i l e . p h p 上 传 的 文 件 ， 服 务 器 自 动 生 成 名 字 ， 因 此 判 断 此 处 可 能 存 在 恶 意 文 件 上 传 。 一 般 地 ， 如 果 P o s t 请 求 的 数 据 未 被 显 示 出 来 ， 则 需 要 我 们 通 过 访 问 的 链 接 以 及 上 下 文 的 访 问 详 情 确 认 此 处 是 否 存 在 恶 意 文 件 上 传 一 句 话 木 马 （ 一 句 话 木 马 （ W e b s h e l l ） ： ） ： 一 般 名 字 可 疑 的 文 件 ， 如 带 日 期 字 样 的 页 面 ( . p h p 、 . a s p 、 . a s p x 、 . a s h 、 . j s p 等 ) 、 一 串 随 机 值 的 页 面 等 ， 并 且 是 通 过 P o s t 请 求 ， 同 时 会 返 回 一 定 的 数 据 ， 此 时 可 判 断 可 能 存 在 一 句 话 木 马 、 w e b s h e l l 等 恶 意 文 件 ， 有 些 日 志 可 能 还 有 p o s t 请 求 参 数 ， 可 结 合 参 数 ， 更 准 确 地 判 断 出 是 否 存 在 一 句 话 木 马 、 w e b s h e l l 等 恶 意 文 件 。 访 问 频 率 分 析 ： 访 问 频 率 分 析 ： 访 问 频 率 分 析 ： 不 难 理 解 ， 就 是 通 过 查 看 攻 击 者 访 问 的 频 率 来 判 断 攻 击 者 使 用 的 是 哪 一 种 攻 击 。 常 见 的 类 型 有 有 以 下 ： S Q L 盲 注 、 敏 感 目 录 爆 破 、 账 号 爆 破 、 W e b 扫 描 。 S Q L 盲 注 ： 盲 注 ： 一 般 访 问 比 较 有 规 律 ， 基 本 都 包 含 S Q L 语 句 ， 并 且 大 体 都 相 似 ， 有 个 别 字 符 不 同 ， 具 体 情 况 可 参 考 下 图 ：
不 难 发 现 ， 上 图 中 语 句 中 除 了 包 含 S Q L 语 句 外 ， 并 且 最 后 几 个 字 符 不 同 ， 其 他 都 是 一 致 的 ， 因 此 可 推 测 出 此 处 为 S Q L 盲 注 。 敏 感 目 录 爆 破 ： 敏 感 目 录 爆 破 ： 一 般 会 有 大 量 的 探 测 目 录 ， 一 般 以 H e a d 方 法 为 主 进 行 探 测 ， 具 体 情 况 可 参 考 下 图 ： 发 现 在 上 图 中 ， 存 在 大 量 的 H E A D 请 求 方 法 ， 并 且 基 本 访 问 的 页 面 返 回 的 状 态 码 为 4 0 4 。 账 号 爆 破 ： 账 号 爆 破 ： 通 常 都 是 对 一 个 登 录 页 面 进 行 大 量 p o s t 请 求 ， 并 且 返 回 值 基 本 相 似 ， 具 体 情 况 可 参 考 下 图 ：
从 上 图 可 以 很 容 易 看 出 ， 明 显 是 个 登 录 页 面 ， 并 且 访 问 频 率 较 高 ， 都 是 通 过 p o s t 方 法 进 行 请 求 ， 访 问 值 均 一 样 ， 幸 运 的 是 此 处 出 现 了 一 个 3 0 2 状 态 码 ， 说 明 攻 击 者 已 经 爆 破 到 账 号 密 码 了 ， 故 可 判 断 此 处 应 该 为 账 号 爆 破 。 W e b 扫 描 ： 扫 描 ： 一 般 来 说 ， 访 问 的 目 标 比 较 离 散 ， 并 且 来 源 地 址 相 对 固 定 ， 同 时 访 问 的 结 果 大 多 数 也 都 是 失 败 的 ， 并 且 在 参 数 中 有 比 较 明 显 的 扫 描 器 特 征 字 段 常 见 扫 描 器 在 u r l 上 的 特 征 ： ●   A W V S   1 0 . 5 或 1 1 a c u n e t i x - w v s - t e s t - f o r - s o m e - i n e x i s t e n t - f i l e b y _ w v s a c u n e t i x _ w v s _ s e c u r i t y _ t e s t a c u n e t i x a c u n e t i x _ w v s a c u n e t i x _ t e s t w v s _ t e s t ●   N e t s p a r k e r n e t s p a r k e r N e t s p a r k e r n s :   n e t s p a r k e r ● A p p s c a n A p p s c a n ●   W e b i n s p e c t H P 4 0 4 ●   R s a s n s f o c u s ●   N e s s u s n e s s u s N e s s u s ●   S q l m a p s q l m a p 此 处 借 鉴 了 F R E E B U F F 上 y i r a n 4 8 2 7 大 佬 的 文 章 常 见 扫 描 器 或 者 自 动 化 工 具 的 特 征 （ 指 纹 ） , 具 体 内 容 可 以 点 进 去 详 看 。
如 下 图 ： 根 据 之 前 讲 到 的 条 件 ， 发 现 上 图 满 足 访 问 目 标 比 较 离 散 、 并 且 源 地 址 是 固 定 ， 而 且 其 中 还 带 有 w v s t e s t 字 样 。 总 结 总 结 : 现 在 C T F 比 赛 中 ， 单 纯 日 志 分 析 的 题 目 会 比 较 少 ， 但 也 不 可 以 说 明 它 不 重 要 , 我 们 仍 需 要 去 学 习 它 ， 去 熟 悉 它 。 在 本 期 中 ， 大 致 给 大 家 讲 解 了 一 些 日 志 分 析 的 方 法 ， 以 及 一 些 常 见 漏 洞 特 征 ， 这 不 仅 可 以 用 于 C T F 比 赛 中 ， 也 可 以 使 用 到 日 常 的 网 站 攻 击 溯 源 中 的 日 志 分 析 阶 段 。 同 时 ， 也 希 望 广 大 社 区 的 小 伙 伴 积 极 评 论 ， 因 为 斗 哥 的 这 份 日 志 分 析 可 能 还 不 是 很 完 整 ， 还 需 要 大 家 一 起 来 完 善 它 。 最 后 ， 预 告 一 下 在 本 章 之 后 还 有 一 个 章 节 ， 在 下 个 章 节 中 ， 会 有 系 统 的 日 志 分 析 以 及 如 何 使 用 日 志 分 析 工 具 进 行 日 志 分 析 ， 敬 请 期 待 哟
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理