搜索

[876] 2018-08-27_Linux应急响应（一）：SSH暴力破解

文档创建者：s7ckTeam
浏览次数：9
最后更新：2025-01-16
2018-08-27_Linux应急响应（一）：SSH暴力破解 L i n u x 应 急 响 应 （ 一 ） ： S S H 暴 力 破 解 原 创   B y p a s s   B y p a s s   2 0 1 8 - 0 8 - 2 7 收 录 于 话 题   # 应 急 响 应 实 战 笔 记   , 1 5 个 0 x 0 0   前 言 前 言                 S S H   是 目 前 较 可 靠 ， 专 为 远 程 登 录 会 话 和 其 他 网 络 服 务 提 供 安 全 性 的 协 议 ， 主 要 用 于 给 远 程 登 录 会 话 数 据 进 行 加 密 ， 保 证 数 据 传 输 的 安 全 。 S S H 口 令 长 度 太 短 或 者 复 杂 度 不 够 ， 如 仅 包 含 数 字 ， 或 仅 包 含 字 母 等 ， 容 易 被 攻 击 者 破 解 ， 一 旦 被 攻 击 者 获 取 ， 可 用 来 直 接 登 录 系 统 ， 控 制 服 务 器 所 有 权 限 。 0 x 0 1   应 急 场 景 应 急 场 景                 某 天 ， 网 站 管 理 员 登 录 服 务 器 进 行 巡 检 时 ， 发 现 端 口 连 接 里 存 在 两 条 可 疑 的 连 接 记 录 ， 如 下 图 ： 1 .   T C P 初 始 化 连 接 三 次 握 手 吧 ： 发 S Y N 包 ， 然 后 返 回 S Y N / A C K 包 ， 再 发 A C K 包 ， 连 接 正 式 建 立 。 但 是 这 里 有 点 出 入 ， 当 请 求 者 收 到 S Y S / A C K 包 后 ， 就 开 始 建 立 连 接 了 ， 而 被 请 求 者 第 三 次 握 手 结 束 后 才 建 立 连 接 。 2 .   客 户 端 T C P 状 态 迁 移 ： C L O S E D - > S Y N _ S E N T - > E S T A B L I S H E D - > F I N _ W A I T _ 1 - > F I N _ W A I T _ 2 - > T I M E _ W A I T - > C L O S E D 服 务 器 T C P 状 态 迁 移 ： C L O S E D - > L I S T E N - > S Y N   r e c v - > E S T A B L I S H E D - > C L O S E _ W A I T - > L A S T _ A C K - > C L O S E D 3 .   当 客 户 端 开 始 连 接 时 ， 服 务 器 还 处 于 L I S T E N I N G ， 客 户 端 发 一 个 S Y N 包 后 ， 服 务 端 接 收 到 了 客 户 端 的 S Y N 并 且 发 送 了 A C K 时 ， 服 务 器 处 于 S Y N _ R E C V 状 态 ， 然 后 并 没 有 再 次 收 到 客 户 端 的 A C K 进 入 E S T A B L I S H E D 状 态 ， 一 直 停 留 在 S Y N _ R E C V 状 态 。 在 这 里 ， S S H （ 2 2 ） 端 口 ， 两 条 外 网 I P 的 S Y N _ R E C V 状 态 连 接 ， 直 觉 告 诉 了 管 理 员 ， 这 里 一 定 有 什 么 异 常 。 0 x 0 2   日 志 分 析 日 志 分 析                 S S H 端 口 异 常 ， 我 们 首 先 有 必 要 先 来 了 解 一 下 系 统 账 号 情 况 ： A 、 系 统 账 号 情 况 、 系 统 账 号 情 况 1 、 除 r o o t 之 外 ， 是 否 还 有 其 它 特 权 用 户 ( u i d   为 0 ) [ r o o t @ l o c a l h o s t   ~ ] #   a w k   - F :   ' $ 3 = = 0 { p r i n t   $ 1 } '   / e t c / p a s s w d r o o t 2 、 可 以 远 程 登 录 的 帐 号 信 息 [ r o o t @ l o c a l h o s t   ~ ] #   a w k   ' / $ 1 | $ 6 / { p r i n t   $ 1 } '   / e t c / s h a d o w r o o t : $ 6 $ 3 8 c K f Z D j s T i U e 5 8 V $ F P . U H W M O b q e U Q S 1 Z 2 K R j / 4 E E c O P i . 6 d 1 X m K H g K 3 j 3 G Y 9 E G v w w B e i 7 n U b b q J C . / q K 1 2 H N 8 j F u X O f E Y I K L I D 6 h q 0 : : 0 : 9 9 9 9 9 : 7 : : : 我 们 可 以 确 认 目 前 系 统 只 有 一 个 管 理 用 户 r o o t 。 接 下 来 ， 我 们 想 到 的 是 / v a r / l o g / s e c u r e ， 这 个 日 志 文 件 记 录 了 验 证 和 授 权 方 面 的 信 息 ， 只 要 涉 及 账 号 和 密 码 的 程 序 都 会 记 录 下 来 。 B 、 确 认 攻 击 情 况 ： 、 确 认 攻 击 情 况 ： 1 、 统 计 了 下 日 志 ， 发 现 大 约 有 1 2 6 2 5 4 次 登 录 失 败 的 记 录 ， 确 认 服 务 器 遭 受 暴 力 破 解 [ r o o t @ l o c a l h o s t   ~ ] #   g r e p   - o   " F a i l e d   p a s s w o r d "   / v a r / l o g / s e c u r e | u n i q   - c           1 2 6 2 5 4   F a i l e d   p a s s w o r d           2 、 输 出 登 录 爆 破 的 第 一 行 和 最 后 一 行 ， 确 认 爆 破 时 间 范 围 ：
[ r o o t @ l o c a l h o s t   ~ ] #   g r e p   " F a i l e d   p a s s w o r d "   / v a r / l o g / s e c u r e | h e a d   - 1 J u l     8   2 0 : 1 4 : 5 9   l o c a l h o s t   s s h d [ 1 4 3 2 3 ] :   F a i l e d   p a s s w o r d   f o r   i n v a l i d   u s e r   q w e   f r o m   1 1 1 . 1 3 . x x x . x x x   p o r t   1 5 0 3   s s h 2 [ r o o t @ l o c a l h o s t   ~ ] #   g r e p   " F a i l e d   p a s s w o r d "   / v a r / l o g / s e c u r e | t a i l   - 1 J u l   1 0   1 2 : 3 7 : 2 1   l o c a l h o s t   s s h d [ 2 6 5 4 ] :   F a i l e d   p a s s w o r d   f o r   r o o t   f r o m   1 1 1 . 1 3 . x x x . x x x   p o r t   1 3 0 6 8   s s h 2 3 、 进 一 步 定 位 有 哪 些 I P 在 爆 破 ？ [ r o o t @ l o c a l h o s t   ~ ] #   g r e p   " F a i l e d   p a s s w o r d "   / v a r / l o g / s e c u r e | g r e p   - E   - o   " ( 2 5 [ 0 - 5 ] | 2 [ 0 - 4 ] [ 0 - 9 ] | [ 0 1 ] ? [ 0 - 9 ] [ 0 - 9 ] ? ) . ( 2 5 [ 0 - 5 ] | 2 [ 0 - 4 ] [ 0 - 9 ] | [ 0 1 ] ? [ 0 - 9 ] [ 0 - 9 ] ? ) . ( 2 5 [ 0 - 5 ] | 2 [ 0 - 4 ] [ 0 - 9 ] | [ 0 1 ] ? [ 0 - 9 ] [ 0 - 9 ] ? ) . ( 2 5 [ 0 - 5 ] | 2 [ 0 - 4 ] [ 0 - 9 ] | [ 0 1 ] ? [ 0 - 9 ] [ 0 - 9 ] ? ) " | u n i q   - c   |   s o r t   - n r           1 2 6 2 2   2 3 . 9 1 . x x x . x x x           8 9 4 2   1 1 4 . 1 0 4 . x x x . x x x           8 1 2 2   1 1 1 . 1 3 . x x x . x x x           7 5 2 5   1 2 3 . 5 9 . x x x . x x x           . . . . . . . . . . . . . . . . . . .         4 、 爆 破 用 户 名 字 典 都 有 哪 些 ？ [ r o o t @ l o c a l h o s t   ~ ] #   g r e p   " F a i l e d   p a s s w o r d "   / v a r / l o g / s e c u r e | p e r l   - e   ' w h i l e ( $ _ = < > ) {   / f o r ( . * ? )   f r o m / ;   p r i n t   " $ 1 n " ; } ' | u n i q   - c | s o r t   - n r             9 4 0 2     r o o t             3 2 6 5     i n v a l i d   u s e r   o r a c l e             1 2 4 5     i n v a l i d   u s e r   a d m i n             1 0 2 5     i n v a l i d   u s e r   u s e r             . . . . . . . . . . . . . . . . . . . . . C 、 管 理 员 最 近 登 录 情 况 ： 、 管 理 员 最 近 登 录 情 况 ： 1 、 登 录 成 功 的 日 期 、 用 户 名 、 I P ： [ r o o t @ l o c a l h o s t   ~ ] #   g r e p   " A c c e p t e d   "   / v a r / l o g / s e c u r e   |   a w k   ' { p r i n t   $ 1 , $ 2 , $ 3 , $ 9 , $ 1 1 } '   J u l   9   0 9 : 3 8 : 0 9   r o o t   1 9 2 . 1 6 8 . 1 4 3 . 1 0 0 J u l   9   1 4 : 5 5 : 5 1   r o o t   1 9 2 . 1 6 8 . 1 4 3 . 1 0 0 J u l   1 0   0 8 : 5 4 : 2 6   r o o t   1 9 2 . 1 6 8 . 1 4 3 . 1 0 0 J u l   1 0   1 6 : 2 5 : 5 9   r o o t   1 9 2 . 1 6 8 . 1 4 3 . 1 0 0 . . . . . . . . . . . . . . . . . . . . . . . . . . . . 通 过 登 录 日 志 分 析 ， 并 未 发 现 异 常 登 录 时 间 和 登 录 I P 。 2 、 顺 便 统 计 一 下 登 录 成 功 的 I P 有 哪 些 ： [ r o o t @ l o c a l h o s t   ~ ] #   g r e p   " A c c e p t e d   "   / v a r / l o g / s e c u r e   |   a w k   ' { p r i n t   $ 1 1 } '   |   s o r t   |   u n i q   - c   |   s o r t   - n r   |   m o r e           2 7   1 9 2 . 1 6 8 . 2 0 4 . 1 通 过 日 志 分 析 ， 发 现 攻 击 者 使 用 了 大 量 的 用 户 名 进 行 暴 力 破 解 ， 但 从 近 段 时 间 的 系 统 管 理 员 登 录 记 录 来 看 ， 并 未 发 现 异 常 登 录 的 情 况 ， 需 要 进 一 步 对 网 站 服 务 器 进 行 入 侵 排 查 ， 这 里 就 不 再 阐 述 。 0 x 0 4   处 理 措 施 处 理 措 施                 S S H 暴 力 破 解 依 然 十 分 普 遍 ， 如 何 保 护 服 务 器 不 受 暴 力 破 解 攻 击 ， 总 结 了 几 种 措 施 ：         1 、 禁 止 向 公 网 开 放 管 理 端 口 ， 若 必 须 开 放 应 限 定 管 理 I P 地 址 并 加 强 口 令 安 全 审 计 （ 口 令 长 度 不 低 于 8 位 ， 由 数 字 、 大 小 写 字 母 、 特 殊 字 符 等 至 少 两 种 以 上 组 合 构 成 ） 。 2 、 更 改 服 务 器 s s h 默 认 端 口 。 3 、 部 署 入 侵 检 测 设 备 ， 增 强 安 全 防 护 。 本 文 由 B y p a s s 原 创 发 布 ， 转 载 请 保 留 出 处 。 欢 迎 关 注 我 的 个 人 微 信 公 众 号 ： B y p a s s - - ， 浏 览 更 多 精 彩 文 章 。 B y p a s s A b o u t   M e 一 个 网 络 安 全 爱 好 者 ， 对 技 术 有 着 偏 执 狂 一 样 的 追 求 。 致 力 于 分 享 原 创 高 质 量 干 货 ， 包 括 但 不 限 于 ： 渗 透 测 试 、 W A F 绕 过 、 代 码 审 计 、 安 全 运 维 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理