搜索

[21975] 2021-05-16_从webshell的视角谈攻防对抗

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2021-05-16_从webshell的视角谈攻防对抗 从 w e b s h e l l 的 视 角 谈 攻 防 对 抗 L e m o n S e c   2 0 2 1 - 0 5 - 1 6 0 x 1   技 术 背 景 w e b s h e l l 就 是 以 a s p 、 p h p 、 j s p 或 者 c g i 等 网 页 文 件 形 式 存 在 的 一 种 代 码 执 行 环 境 ， 也 可 以 将 其 称 做 为 一 种 网 页 后 ； W e b s h e l l 的 技 术 问 题 也 是 老 生 常 谈 了 ， 各 个 论 坛 上 面 的 安 全 技 术 分 析 还 是 比 较 丰 富 ， 大 马 小 马 一 句 话 ， 菜 刀 冰 蝎 哥 斯 拉 ( 还 漏 了 蚁 剑 ) ； 从 攻 防 角 度 来 看 在 多 数 的 攻 击 场 景 下 按 照 k i l l c h a i n 的 思 路 与 实 际 步 骤 来 看 ， 一 次 完 成 的 w e b s h e l l 攻 击 基 本 上 都 绕 不 过 以 下 4 个 阶 段   主 要 可 以 分 为 ： 1 .   w e b s h e l l 制 作 ( 武 器 化 W E A P O N I Z A T I O N )       无 论 怎 么 样 首 先 的 生 成 一 个 w e b s h e l l ， 很 多 w e b s h e l l 管 理 工 具 是 配 套 使 用 的 直 接 生 成 就 好 ， 或 者 自 定 义 改 改 默 认 配 置 ， 常 规 的 一 句 话 n o t e p a d 就 可 以 搞 定 。 生 成 出 来 只 是 具 备 了 这 个 功 能 ， 不 做 一 下 免 杀 估 计 本 地 的 随 便 一 个 杀 毒 软 件 直 接 就 删 除 了 ， 详 细 的 免 杀 绕 过 后 面 再 讨 论 。 2 .   W e s h e l l 投 递 ( 交 付 D E L I V E R Y )     w e b s h e l l 的 投 递 方 式 普 遍 以 文 件 上 传 为 主 、 主 流 的 方 式 还 包 括 一 些 文 件 写 入 、 主 动 下 载 、 命 令 执 行 写 入 等 方 式 ， 花 里 胡 哨 的 姿 势 很 多 。 投 递 过 程 应 该 是 整 个 过 程 中 的 最 关 键 的 部 分 也 是 难 度 最 大 的 一 部 分 ， 因 为 过 程 中 会 面 临 很 多 的 对 抗 机 制 ， 往 往 需 要 结 合 具 体 场 景 多 次 尝 试 测 试 。 3 .   w e b s h e l l 访 问 ( 利 用 E X P L O I T A T I O N )     将 脚 本 上 传 到 对 应 的 服 务 器 上 面 之 后 就 进 入 了 关 键 的 一 步 : 如 何 正 确 快 速 的 访 问 到 指 定 的 w e b s h e l l 文 件 。 4 .   w e b s h e l l 执 行 ( A C T I O N S   O N   O B J E C T I V E S   )   使 用 工 具 或 者 直 接 通 过 访 问 访 问 到 对 应 的 w e b s h e l l 执 行 ， 就 可 以 随 心 所 欲 的 操 作 受 害 者 主 机 。 包 括 不 局 限 于 执 行 系 统 命 令 、 探 测 内 网 、 读 取 敏 感 文 件 、 反 弹 s h e l l 、 添 加 用 户 、 清 理 痕 迹 、 横 向 移 动 等 操 作 。 后 续 剖 析 讨 论 一 下 在 每 个 阶 段 当 中 包 含 的 一 些 攻 击 手 法 与 常 规 的 识 别 方 法 。   0 x 2     制 作 免 杀 常 规 一 句 话 直 接 用 记 事 本 就 可 以 直 接 解 决 ， 简 单 的 同 时 也 非 常 容 易 被 查 杀 ， 这 一 类 木 马 的 特 征 实 在 太 明 显 了 比 如 常 见 的 e v a l ( )     a s s e r t ( ) 之 类 的 函 数 肯 定 是 一 抓 一 个 准 。 传 统 的 检 测 方 式 基 于 对 w e b s h e l l 内 容 的 检 测 里 面 最 简 单 的 就 是 字 符 匹 配 、 正 则 匹 配 或 者 词 袋 模 型   ， 这 种 木 马 肯 定 是 检 测 出 率 1 0 0 % 的 。   此 类 检 出 场 景 最 多 出 现 在 基 于 终 端 的 文 件 检 测 比 如 大 家 熟 知 的 D 盾 、 安 全 狗 等 产 品 主 要 是 从 文 件 本 身 出 发 。 还 有 另 外 一 个 场 景 就 是 目 前 出 现 最 多 的 防 火 墙 、 U T M 之 类 的 产 品 虽 然 是 网 关 类 设 备 ， 大 多 数 场 景 下 也 是 根 据 内 容 进 行 识 别 检 测 的 ， 所 以 本 质 上 都 没 什 么 差 异 。 为 了 应 对 此 类 检 测 当 然 就 的 想 办 法 绕 过 了 ， 基 于 文 件 内 容 的 绕 过 方 式 就 很 多 了 ， 基 于 检 测 方 法 多 数 是 基 于 敏 感 函 数 是 吧 ， 那 么 只 要 换 一 种 方 式 处 理 这 些 函 数 就 可 以 了 。 比 较 简 单 几 种 方 法 如 ： 1 .   大 小 写 混 淆       比 如 e v a l 函 数 可 以 使 用 E V a L ( ) 当 然 这 种 方 法 基 本 上 已 经 不 起 作 用 了 2 .   字 符 顺 序 混 淆         a s s e r t ( ) 可 以 使 用 t r e s s a 然 后 用 反 序 函 数 进 行 输 出 或 者 进 行 移 位 拼 接   a s s + e + r t 颇 有 一 种 凯 撒 密 码 的 感 觉 。 3 .   字 符 串 编 码 混 淆       典 型 的 几 个 方 法 如 C h r ( )     B a s e 6 4 ( )     r o t 1 3 ( )     g z i n f l a t e ( ) 通 过 编 码 敏 感 的 字 符 同 样 可 以 达 到 这 种 效 果 。 当 然 现 实 情 况 上 这 几 类 函 数 同 样 被 列 入 了 敏 感 函 数 范 畴 ， 或 者 大 量 使 用 一 些 注 释 、 n t r 之 类 的 一 起 玩 。 4 .   创 建 匿 名 函 数     e v a l ( ) 函 数 总 得 跟 一 个 参 数 吧 ， 如 果 直 接 命 中 e v a l 这 四 个 字 符 势 必 会 引 起 大 量 的 误 报 。 基 于 这 种 思 路 就 衍 生 了 c a l l _ u s e r _ f u n c 生 成 ， 最 后 这 个 函 数 也 被 列 入 了 敏 感 函 数 5 .   字 符 替 换     生 成 一 个 字 符 串 e 1 2 3 / v 1 2 3 / a 1 2 3 / l 再 使 用 函 数 把 ” 1 2 3 / ” 给 替 换 掉 空 白 即 可 常 见 的 函 数 如 p r e g _ r e p l a c e ( ) 与 s t r _ r e p l a c e ( )
还 有 很 多 其 他 的 绕 过 方 式 ， 如 回 调 函 数 、 定 义 函 数 方 法 、 字 节 填 充 等 等 方 法 还 是 很 多 这 里 不 多 给 大 家 复 制 粘 贴 ， 一 般 多 种 绕 过 方 式 组 合 一 般 能 绕 过 D 盾 就 基 本 上 可 以 正 常 使 用 ， 相 信 很 多 经 验 丰 富 的 大 佬 都 有 不 少 免 杀 的 w e b s h e l l 。   针 对 w e b s h e l l 的 检 出 相 反 手 法 就 要 难 的 多 ， 理 论 上 你 知 道 的 w e b s h e l l 种 类 越 多 设 计 的 对 应 的 检 测 手 段 就 越 全 面 ， 就 和 股 票 的 涨 跌 原 理 是 差 不 多 的 根 本 原 因 就 是 消 息 的 不 对 称 性 ， 大 家 都 知 道 还 怎 么 割 韭 菜 。 除 开 自 己 构 造 一 些 w e b s h e l l 之 外 ， 很 多 管 理 工 具 都 支 持 自 己 生 成 比 如 大 家 熟 知 的 冰 蝎 、 w e e v l y 之 类 的 ， 之 前 自 己 偶 然 间 抓 到 了 黑 产 团 伙 挂 马 用 的 s h e l l 低 版 本 的 D 盾 还 无 法 识 别 ， 后 续 在 新 版 本 却 能 识 别 并 提 示 为 已 知 后 门 。 这 一 类 的 脚 本 检 测 起 来 还 是 比 较 容 易 ， 原 理 很 简 单 大 多 数 工 具 生 成 的 木 马 （ 除 开 魔 改 的 那 种 ） 格 式 内 容 都 比 较 固 定 ， 通 过 针 对 内 容 里 面 的 函 数 位 置 、 调 用 顺 序 、 语 法 特 性 等 维 度 做 一 个 特 定 的 模 型 特 征 ， 简 单 的 如 y a r a 规 则 的 模 式 也 可 以 称 作 指 纹 。 当 前 针 对 文 本 类 的 w e b s h e l l 检 测 主 要 还 是 正 则 匹 配 、 语 法 分 析 、 绕 过 特 征 分 析 、 文 本 特 征 指 纹 等 手 法 为 主 ， 之 前 也 注 意 到 有 一 些 针 对 脚 本 文 件 的 虚 拟 执 行 ， 感 兴 趣 的 小 伙 伴 大 家 可 以 了 解 一 下 。   0 x 2     样 本 投 递
样 本 生 成 之 后 ， 就 开 始 考 虑 如 何 把 自 己 手 上 的 w e b s h e l l 投 递 到 制 定 服 务 器 的 文 件 目 录 ， 主 要 的 手 法 还 是 以 文 件 上 传 居 多 。 常 规 操 作 攻 击 者 首 先 需 要 对 目 标 的 应 用 做 个 详 细 的 信 息 收 集 和 踩 点 。 在 w e b s h e l l 上 传 下 多 数 关 注 一 些 上 传 点 ， 常 见 的 上 传 点 如 个 人 资 料 当 中 的 头 像 上 传 、 注 册 需 要 上 传 验 证 资 料 、 上 传 某 些 模 板 更 新 、 常 见 的 编 辑 器 漏 洞 、 留 言 板 回 复 、 商 品 页 面 展 示 ； 多 数 业 务 场 景 上 传 主 要 以 图 片 ( J P G 、 P n g 、 b m p 、 i c o 一 类 ) 、 文 档 类 ( d o c 、 e x c e l 、 p d f 、 w p s ) 、 压 缩 包 ( z i p 、 r a r ) 格 式 居 多 一 些 。   根 据 具 体 的 业 务 场 景 的 不 同 ， 常 规 的 防 御 手 段 一 般 应 用 在 上 传 界 面 少 说 会 做 一 些 限 制 与 检 测 。 比 如 常 见 的 文 件 大 小 、 后 缀 名 、 文 件 类 型 的 M I M E   、 文 件 头 信 息 、 简 单 的 内 容 识 别 等 等 ， 成 功 上 传 之 后 全 面 统 一 修 改 命 名 与 文 件 格 式 、 设 置 一 定 的 访 问 权 限 、 定 义 特 殊 的 文 件 存 放 路 径 等 等 。 当 然 并 不 是 所 有 的 防 御 方 案 都 无 懈 可 击 ， 相 反 多 数 场 景 下 都 会 存 在 一 定 的 配 置 风 险 ； 文 件 名 的 后 缀 检 测 可 以 通 过 修 改 成 图 片 的 格 式 上 传 ， 后 续 通 过 重 命 名 或 者 文 件 包 含 的 方 式 进 行 执 行 。 如 果 是 黑 名 单 机 制 就 可 能 存 在 一 些 遗 漏 项 前 几 年 比 较 热 门 的 解 析 漏 洞 ( 基 本 上 主 流 中 间 件 都 出 过 这 个 问 题 ) 最 热 门 应 该 还 是 I I 6 这 个 版 本 、 0 字 节 截 断 以 及 可 能 存 在 遗 漏 的 场 景 。 白 名 单 机 制 的 话 ， 相 对 安 全 性 要 高 一 些 。 文 件 头 检 测 本 身 是 以 二 进 制 的 数 据 流 方 式 进 行 检 查 的 ， 所 有 绕 过 方 式 也 比 较 简 单 在 脚 本 开 头 直 接 添 加 对 应 的 十 六 进 制 字 符 进 行 伪 造 就 好 ， 之 前 发 现 有 很 多 黑 产 的 w e b s h e l l 文 件 开 头 都 是 G I F 8 想 必 也 是 深 谙 此 道 。 在 w e b s h e l l 上 传 的 过 程 当 中 对 于 大 多 数 的 流 量 层 的 安 全 设 备 如 F W 、 I D S 、 I P S 、 U T M 一 类 来 讲 、 本 质 上 是 和 文 本 识 别 没 有 什 么 区 别 ， 都 是 讲 上 传 的 文 件 审 计 下 来 进 识 别 或 者 直 接 在 H T T P 数 据 流 当 中 简 单 匹 配 特 征 字 符 。 高 阶 一 点 方 案 可 以 做 行 为 识 别 其 实 也 很 简 单 。 估 计 有 很 多 萌 新 白 帽 子 不 知 道 的 是 ， 常 规 的 业 务 流 量 和 咱 们 w e b s h e l l 上 传 的 流 量 在 大 量 数 据 统 计 的 层 次 上 来 讲 本 质 上 是 不 一 样 的 甚 至 有 点 另 类 。 举 个 简 单 的 例 子 来 说 比 如 咱 们 现 在 有 一 个 上 传 接 口 主 要 是 用 户 用 来 修 改 自 己 主 页 l o g o 的 ， 通 过 对 H T T P 协 议 的 解 析 可 以 简 单 的 看 到 这 个 f i l e n a m e 字 段 多 数 多 数 都 是 图 片 文 件 ， 分 辨 率 、 大 小 、 格 式 都 是 基 本 上 符 合 一 个 特 定 的 基 线 水 平 ， 突 然 出 现 了 一 个 j s p 的 文 件 上 传 或 者 一 个 超 出 预 期 大 小 的 j p g 文 件 这 个 就 是 异 常 ， 毕 竟 这 种 攻 击 流 量 是 少 数 人 才 会 做 的 事 情 普 通 用 户 并 不 会 就 ” 恰 到 好 处 ” 的 传 了 一 个 这 么 一 个 特 殊 格 式 的 文 件 上 来 。 估 计 会 有 不 少 萌 新 觉 得 这 样 会 不 会 数 据 量 很 大 ？ 如 何 定 义 这 些 基 线 ？ 怎 么 才 能 认 为 是 异 常 ？ 其 实 类 似 于 这 样 的 场 景 检 测 技 术 都 已 经 很 成 熟 了 ， 这 些 接 口 层 面 的 数 据 量 本 质 上 很 小 ， 现 在 都 是 E S 、 M o n g o 、 K a f a k a 、 集 群 分 析 的 时 代 了 不 是 之 前 关 系 型 数 据 库 的 风 格 ， 几 十 T 的 硬 盘 价 格 也 很 亲 民 加 点 存 储 与 运 算 能 力 对 甲 方 金 主 爸 爸 来 说 不 过 是 洒 洒 水 而 已 。 数 据 统 计 的 统 计 维 度 ， 无 非 也 就 是 加 一 个 索 引 设 计 一 个 检 测 场 景 的 事 情 罢 了 ， 成 熟 的 机 器 学 习 框 架 不 需 要 太 懂 算 法 的 具 体 原 理 ， 方 法 函 数 调 用 总 会 吧   调 调 参 数 就 完 事 技 术 难 度 也 不 高 。 不 少 大 佬 利 用 自 己 发 散 思 维 的 小 脑 袋 最 后 传 到 了 服 务 器 的 后 台 之 后 ， 依 然 面 临 着 终 端 安 全 软 件 的 检 查 。 不 少 大 佬 肯 定 已 经 做 过 免 杀 了 ， 内 容 识 别 不 一 样 管 用 。 但 是 这 个 世 界 有 时 候 就 是 这 么 恶 意 ， 你 传 上 来 了 一 个 脚 本 文 件 但 是 同 文 件 的 文 档 都 是 图 片 或 者 别 人 都 是 1 0 0 K 的 大 小 ， 你 就 1 K b 的 大 小 ( 一 句 话 木 马 就 是 这 么 短 小 精 悍 ) 突 然 就 有 点 那 种 鹤 立 鸡 群 的 感 觉 有 没 有 ， 然 后 其 他 脚 本 大 家 都 齐 刷 刷 转 头 看 着 你 ， 就 有 点 类 似 大 学 ” 罗 汉 班 ” 上 计 算 机 网 络 的 时 候 大 家 都 在 后 面 ， 突 然 来 了 一 个 漂 亮 妹 子 走 进 教 室 坐 在 第 一 排 认 真 听 课 的 感 觉 是 一 样 的 场 景 ； 非 我 族 类 ， 其 心 必 异 。 分 分 钟 就 把 你 上 传 到 云 查 、 或 者 交 给 身 不 由 己 却 又 站 在 你 对 立 面 的 ” 同 伙 ” 鉴 别 。   不 少 萌 新 又 开 始 质 疑 ， 人 能 够 一 眼 看 出 来 异 常 代 码 能 这 么 轻 易 的 做 到 吗 ？ 怎 么 说 了 代 码 还 真 的 能 做 到 而 且 效 率 更 高 、 无 遗 漏 而 且 更 加 准 确 ， 因 为 人 还 是 要 吃 饭 睡 觉 打 盹 或 者 划 水 摸 鱼 ， 代 码 不 会 的 （ 总 不 能 故 意 在 代 码 加 个 s l e e p ( ) 函 数 吧 ） 。 既 然 都 写 到 了 估 计 很 多 小 伙 伴 也 有 了 不 少 对 策 和 其 他 思 路 在 后 续 的 渗 透 过 程 中 ， 怎 么 说 呢 方 式 还 真 的 有 不 少 ， 这 里 就 不 多
介 绍 了 留 个 伏 笔 吧 。   0 x 3   访 问 在 所 谓 的 纵 深 防 御 的 体 系 下 ， 还 能 突 破 层 层 防 御 之 后 还 能 上 传 成 功 并 且 成 功 拿 到 访 问 路 径 的 黑 阔 已 经 算 是 翘 楚 了 ； 当 然 也 有 可 能 是 另 辟 蹊 径 通 过 控 制 内 网 其 他 主 机 之 后 ， 成 功 的 绕 过 了 边 界 防 御 设 备 的 检 测 成 功 上 垒 ， 到 了 最 关 键 的 一 步 。 一 般 链 接 这 些 一 句 话 木 马 需 要 有 一 个 w e b s h e l l 的 管 理 工 具 常 见 的 就 是 菜 刀 、 w e e v l y 、 冰 蝎 、 蚁 剑 之 类 的 。 而 这 个 也 是 最 难 的 一 部 分 ， 因 为 这 些 工 具 攻 击 者 知 道 那 些 苦 逼 的 安 全 公 司 乙 方 的 打 杂 员 工 也 知 道 ， 早 早 的 就 对 这 些 工 具 做 了 流 量 识 别 。 针 对 于 每 一 个 管 理 工 具 流 量 层 面 的 识 别 方 法 都 不 一 样 ， 都 针 对 单 一 工 具 的 方 法 当 然 也 有 通 用 工 具 的 检 测 方 法 ， 是 的 你 没 有 看 错 是 有 通 用 检 测 方 法 的 。 常 见 的 菜 刀 的 流 量 长 什 么 样 估 计 很 多 萌 新 也 多 知 道 ， 特 征 是 十 分 明 显 的 ， 如 下 图 所 示 。 关 键 是 菜 刀 这 个 玩 意 可 能 有 后 门 呀 ， 你 辛 辛 苦 苦 的 拿 的 站 ， 可 能 是 给 被 人 在 打 工 。 然 后 就 衍 生 出 了 中 国 菜 刀 ， 后 面 发 现 这 个 工 具 也 很 容 易 被 识 别 可 玩 性 并 不 是 很 好 。 接 下 来 就 是 蚁 剑 ， 支 持 了 很 多 参 数 的 自 定 义 。 很 多 萌 新 用 的 时 候 都 是 不 改 默 认 配 置 的 ， H T T P 流 量 当 中 U s e r - A g e n t 硕 大 的 字 符 A n t i s w o r d   V 2 . 0   V 3 . 0   也 是 勇 气 可 嘉 。 之 后 还 有 冰 蝎 ， 再 没 有 出 3 . 0 的 b e t a 版 本 的 时 候 ， 链 接 的 过 程 当 中 最 典 型 的 特 征 就 是 秘 钥 协 商 ， 如 大 家 所 知 冰 蝎 的 流 量 只 要 是 以 A E S 加 密 的 ( 感 兴 趣 的 小 伙 伴 可 以 了 解 一 下 密 码 学 知 识 还 是 挺 有 用 的 无 论 是 免 杀 还 是 流 量 分 析 都 有 大 有 裨 益 ) ， 对 称 加 密 就 一 定 会 有 个 秘 钥 用 于 加 密 解 密 传 输 的 数 据 ， 所 以 在 建 立 的 链 接 的 时 候 就 存 在 这 么 一 个 交 换 秘 钥 的 过 程 ， 建 立 行 为 模 型 来 识 别 这 个 过 程 会 是 重 要 的 一 环 。 估 计 开 发 者 也 意 识 到 了 这 一 点 ， 新 版 本 已 经 换 了 一 种 方 式 实 现 。   是 不 是 加 密 的 内 容 就 无 法 识 别 了 呢 ？ 其 实 并 不 是 ， 只 是 比 传 统 的 正 则 匹 配 稍 微 复 杂 了 一 丢 丢 而 已 。 传 统 的 密 文 一 般 都 不 具 备 可 读 性 ， 如 果 前 期 我 识 别 出 了 你 交 换 秘 钥 的 过 程 过 程 中 的 流 量 我 解 密 一 下 就 好 了 ， 就 和 用 B u r p s u i t 添 加 个 证 书 做 H T T P S 的 代 理 的 原 理 差 不 多 ， 而 且 只 是 A E S 的 标 准 加 密 反 而 更 容 易 一 些 。
  不 少 萌 新 会 觉 得 这 种 思 路 太 荒 谬 ， 特 征 性 不 是 很 强 就 不 怕 误 报 。 的 确 如 此 ， 特 殊 内 容 与 格 式 的 特 征 并 不 是 很 强 但 也 不 是 唯 一 特 征 那 么 再 结 合 一 下 行 为 呢 ？ 你 在 访 问 这 个 w e b s h e l l 的 时 候 ， 首 先 他 得 是 一 个 脚 本 文 件 ( 格 式 就 那 么 多 ) 。 多 数 样 本 访 问 的 路 径 往 往 也 有 不 少 蛛 丝 马 迹 典 型 的 比 如 上 传 在 一 个 u p l o a d f i l e / i m a g e 的 目 录 下 别 人 访 问 都 是   b e a u t i f u l m e . j p g     u g l g y o u . p n g   之 类 的 你 一 访 问 就 是 1 . j s p     h a c k m e . p h p   在 结 合 你 的 特 殊 内 容 格 式 和 你 这 个 从 来 没 有 访 问 过 的 I P 地 址 和 账 户 ， 这 不 是 攻 击 流 量 谁 是 攻 击 流 量 ？ 既 然 都 说 到 这 里 了 就 简 单 的 一 些 机 器 学 习 的 基 础 思 路 ， 在 这 里 本 质 上 是 将 攻 击 者 与 普 通 用 户 定 义 成 了 二 个 不 同 的 对 象 ， 而 且 是 对 立 面 的 角 色 。 二 种 角 色 在 平 时 的 访 问 路 径 ， 页 面 元 素 、 访 问 文 件 、 甚 至 是 访 问 时 间 、 使 用 的 I P 方 面 都 存 在 较 大 的 差 异 性 ， 简 单 点 说 就 是 需 要 从 多 个 维 度 将 二 者 区 分 清 楚 ， 模 型 上 就 是 一 个 简 单 的 二 分 类 问 题 。 常 见 的 分 类 算 法 比 较 多 、 比 如 S V M ( 支 持 向 量 机 ) 、 K - M e a n s 、 多 种 树 或 者 森 林 模 型 等 等 ， 大 概 长 这 个 样 子 。
  或 者 这 样   现 在 很 多 小 伙 伴 都 共 享 了 一 些 蚁 剑 、 冰 蝎 的 魔 改 方 法 和 思 路 ， 稍 加 专 研 绕 过 传 统 的 规 则 检 测 场 景 问 题 应 该 不 大 可 能 还 有 点 轻 松 。 但 是 另 外 一 个 层 面 是 正 常 访 问 用 户 还 是 占 了 绝 大 多 数 （ 定 义 了 所 谓 的 基 线 ） ， 所 以 少 数 异 常 的 行 为 就 显 得 格 外 明 显 。 算 法 模 型 的 好 处 就 在 于 ， 之 前 你 可 能 需 要 人 为 去 调 控 一 些 阈 值 ， 容 易 出 现 很 大 的 偏 差 而 模 型 依 靠 大 量 的 真 实 数 据 进
行 运 算 自 动 算 出 来 而 且 还 能 实 时 更 新 ， 私 人 觉 得 这 个 是 大 数 据 + A I 对 安 全 检 测 的 一 个 实 用 性 体 现 ， 当 然 无 论 是 谁 也 不 能 保 证 了 1 0 0 % 的 检 出 识 别 。   0 x 4   执 行 到 了 最 后 的 执 行 阶 段 ， 如 果 类 似 于 菜 刀 是 基 本 上 明 文 流 量 （ b a s e 6 4 和 明 文 没 有 什 么 差 异 ） 检 测 起 来 就 容 易 的 多 ， 由 于 格 式 是 比 较 固 定 的 一 个 关 键 字 匹 配 或 者 正 则 就 可 以 识 别 。 如 果 是 类 似 于 冰 蝎 的 加 密 流 量 ， 就 需 要 用 到 一 些 行 为 特 征 结 合 多 维 度 的 方 式 进 行 识 别 。 加 密 流 量 的 H T T P 协 议 部 分 的 r e q u e s t _ b o d y 和 r e s p o n s e _ b o d y 都 的 是 密 文 吧 ， 这 里 接 触 到 一 个 信 息 熵 ( 热 力 学 中 表 征 物 质 状 态 的 参 量 之 一 其 物 理 意 义 是 体 系 混 乱 程 度 的 度 量 ) 的 概 念 ， 可 以 简 单 识 别 传 输 的 内 容 是 否 具 备 可 读 性 。 试 想 一 下 如 果 一 个 正 常 的 用 户 商 品 管 理 的 界 面 ， 大 家 访 问 各 种 脚 本 文 件 都 是 明 文 登 录 ， 突 然 出 现 了 一 个 信 息 熵 很 高 的 加 密 流 量 ， 会 不 会 有 点 此 地 无 银 三 百 两 的 感 觉 。 在 利 用 w e b s h e l l 执 行 命 令 上 传 文 件 甚 至 是 添 加 用 户 探 测 内 网 ， 对 于 终 端 的 上 来 讲 一 般 都 是 很 有 问 题 的 。 典 型 的 场 景 如 ， 攻 击 者 通 过 w e b l o g i c 上 传 了 一 个 w a r 后 之 后 获 取 到 权 限 ， 执 行 一 个 w h o a m i 返 回 的 用 户 权 限 就 是 w e b l o g i c 进 程 的 启 动 用 户 的 权 限 。 如 果 是 r o o t 或 者 s y s t e m 危 害 性 就 很 大 ， 如 果 只 是 一 个 w w w 用 户 危 害 性 会 降 低 不 少 ， 这 也 是 为 什 么 要 求 降 权 运 行 数 据 库 、 中 间 件 的 愿 意 之 一 ， 这 个 时 候 比 如 拉 起 了 一 个 c m d . e x e 或 者 p o w e r s h e l l . e x e 进 程 添 加 个 w o o y u n 的 用 户 这 个 行 为 会 很 有 问 题 常 规 的 业 务 怎 么 会 有 这 种 操 作 。 与 此 同 时 利 用 一 些 工 具 或 者 c m d 扫 描 内 网 做 主 机 的 存 活 探 测 ， 为 了 避 免 不 发 现 慢 速 扫 描 、 多 协 议 之 类 同 样 风 险 也 很 高 ， 关 键 问 题 在 于 ： 攻 击 者 本 身 不 熟 悉 内 网 业 务 的 访 问 关 系 很 容 易 导 致 被 发 现 。 举 个 简 单 例 子 ， 某 w e b 服 务 器 与 隔 壁 网 段 一 台 域 控 服 务 器 从 未 有 个 通 信 行 为 ， 这 次 突 然 来 了 一 个 R D P 的 登 录 （ 不 管 失 败 或 者 成 功 ） 不 是 很 突 然 么 ？ 未 记 录 在 案 敏 感 资 产 的 访 问 从 来 都 很 有 有 问 题 。   0 x 5   攻 防 对 抗 安 全 攻 防 是 一 件 很 专 业 的 事 情 ， 安 全 不 是 夸 夸 其 谈 也 非 纸 上 谈 兵 更 不 是 未 经 实 践 的 “ 想 当 然 ” ； 攻 防 的 本 质 在 于 人 与 人 之 对 抗 ， 对 抗 的 是 知 识 技 能 储 备 、 时 间 、 精 力 等 多 个 维 度 的 全 面 竞 赛 ； 举 个 简 单 例 子 ， 攻 击 者 绕 过 上 传 机 制 把 脚 本 传 到 对 应 的 服 务 器 ， 现 在 链 接 担 心 动 静 太 大 发 现 ， 不 然 就 凌 晨 1 2 点 等 运 维 人 员 睡 觉 再 搞 事 情 ； 或 者 就 多 找 几 台 V P S 服 务 器 用 W V S 进 行 各 种 漏 洞 尝 试 攻 击 ， 成 不 成 功 都 没 有 关 系 被 发 现 也 没 有 关 系 主 要 就 是 分 散 对 方 的 注 意 力 ， 间 隙 时 间 里 面 再 去 访 问 这 个 w e b s h e l l 执 行 命 令 现 实 版 的 暗 度 陈 仓 的 感 觉 有 没 有 。   攻 防 技 术 日 新 月 异 变 化 的 很 快 从 之 前 的 手 工 注 入 、 穿 山 甲 、 啊 D 到 现 在 的 s q l m a p 技 术 门 槛 看 似 乎 是 越 来 越 低 ， 伴 随 着 的 是 很 多 甲 方 自 己 的 技 术 能 力 和 安 全 意 识 也 提 升 了 很 多 ， 现 在 很 多 应 用 框 架 本 身 也 针 对 常 见 的 w e b 安 全 做 了 很 多 防 护 ， 再 也 不 是 那 个 一 扫 各 种 漏 洞 一 大 堆 的 时 代 了 。 同 样 的 攻 击 技 术 的 提 升 也 一 样 很 快 ， 从 之 前 的 菜 刀 到 现 在 的 冰 蝎 、 蚁 剑 的 各 种 自 定 义 魔 改 到 一 定 程 度 之 后 基 本 上 都 做 到 无 特 征 ， 依 靠 特 征 检 测 的 路 可 能 就 越 来 越 窄 ； 如 果 真 的 做 到 和 正 常 的 业 务 流 量 上 能 保 持 到 一 致 就 是 润 物 细 无 声 了 ， 对 很 多 安 全 公 司 和 甲 方 来 说 反 而 更 加 有 紧 迫 感 。 个 人 觉 得 这 也 是 攻 防 技 术 演 进 的 一 个 方 向 ， 越 来 越 多 的 正 常 流 量 会 趋 向 于 正 常 的 业 务 流 量 。 就 拿 隧 道 通 信 来 说 ， D N S 隧 道 、 H T T P 隧 道 特 征 还 是 很 容 易 识 别 ， 如 果 R D P 隧 道 、 S S H 呢 ？ 自 己 写 一 个 后 门 很 容 易 被 杀 毒 软 件 查 杀 ， 那 利 用 很 多 操 作 系 统 自 带 的 定 时 任 务 、 W M I 、 P o w e r s h e l l 无 文 件 留 后 门 杀 毒 软 件 也 敢 查 杀 么 ？ 同 样 的 对 于 很 多 安 全 公 司 和 甲 方 来 说 ， 后 续 在 应 对 此 类 攻 击 的 时 候 需 要 更 多 创 新 性 的 思 路 去 发 现 与 识 别 。   0 x 6   总 结 不 足 之 处 或 错 误 之 处 欢 迎 各 位 大 佬 指 出 斧 正 ； 当 然 能 带 我 飞 就 更 好 了 ， 我 可 以 给 大 佬 端 茶 倒 水 。 一 如 既 往 的 学 习 ， 一 如 既 往 的 整 理 ， 一 如 即 往 的 分 享 。 感 谢 支 持 “ 如 侵 权 请 私 聊 公 众 号 删 文 ” 版 权 声 明 ： 本 文 为 C S D N 博 主 「 s i 1 e n c e _ w h i t e h a t 」 的 原 创 文 章 原 文 链 接 ： h t t p s : / / b l o g . c s d n . n e t / m o m o _ s l e e t / a r t i c l e / d e t a i l s / 1 1 0 6 9 6 6 0 8
扫 描 关 注 扫 描 关 注 L e m o n S e c 觉 得 不 错 点 个 觉 得 不 错 点 个 “ 赞 赞 ” 、 、 “ 在 看 在 看 ” 哦 哦
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理