搜索

[1048] 2021-03-15_一次远程命令执行引发的应急响应

文档创建者：s7ckTeam
浏览次数：11
最后更新：2025-01-16
2021-03-15_一次远程命令执行引发的应急响应 一 次 远 程 命 令 执 行 引 发 的 应 急 响 应 原 创   B y p a s s   B y p a s s   2 0 2 1 - 0 3 - 1 5 在 发 现 入 侵 事 件 时 ， 基 于 入 侵 现 象 进 行 排 查 ， 结 合 日 志 进 行 关 联 分 析 ， 对 未 知 情 况 作 合 理 的 猜 测 ， 还 原 攻 击 场 景 ， 找 到 漏 洞 根 源 ， 这 是 很 重 要 的 任 务 。 0 1 、 事 件 起 因 、 事 件 起 因 入 侵 检 测 出 现 安 全 预 警 ， 发 现 内 网 服 务 器 的 j a v a 进 程 发 现 异 常 执 行 行 为 ， 存 在 D n s l o g 探 测 和 B a s h 反 弹 的 行 为 。 0 2 、 事 件 分 析 、 事 件 分 析 （ 1 ） 排 查 异 常 端 口 通 过 查 看 端 口 情 况 ， 在 网 络 连 接 中 发 现 s h e l l 反 弹 到 外 网 i p ， 存 在 明 显 的 入 侵 的 迹 象 。 （ 2 ） 排 查 异 常 进 程 查 看 进 程 情 况 ， 在 进 程 信 息 中 找 到 了 反 弹 s h e l l 命 令 的 特 征 ， b a s e 6 4 解 码 后 的 通 讯 i p ， 与 上 面 发 现 的 一 致 。 执 行 s h e l l 反 弹 的 父 进 程 位 6 0 7 5 3 ， 该 进 程 为 j a v a 进 程 。 （ 3 ） 查 询 历 史 命 令
在 h i s t o r y 里 发 现 了 异 常 操 作 行 为 ， 攻 击 者 查 看 了 当 前 服 务 器 i p ， 当 前 用 户 权 限 ， 用 户 在 线 情 况 等 操 作 。 （ 4 ） w e b 日 志 分 析 j a v a 进 程 所 对 应 的 是 w e b 应 用 程 序 ， 基 于 异 常 命 令 执 行 的 时 间 节 点 ， 对 相 关 w e b 日 志 进 行 分 析 ， 确 认 入 侵 时 间 范 围 内 是 否 存 在 可 疑 的 行 为 。 未 发 现 异 常 的 w e b 访 问 行 为 ， 都 只 有 访 问 网 站 首 页 的 记 录 ， 那 么 它 到 底 是 如 何 入 侵 的 呢 ？ 合 理 的 猜 测 ： 合 理 的 猜 测 ： 结 合 前 面 发 现 J a v a 进 程 执 行 d n s l o g 探 测 等 行 为 ， 猜 测 可 能 存 在 框 架 组 件 存 在 远 程 命 令 执 行 漏 洞 。 （ 5 ） w e b 框 架 组 件 在 w e b 框 架 组 件 中 ， 发 现 低 版 本 的 s h i r o 组 件 ， 存 在 明 显 的 远 程 命 令 执 行 漏 洞 。 框 架 框 架 / 组 件 组 件 版 本 版 本 s p r i n g 4 . 3 . 5   R E L E A S E s h i r o 1 . 4 . 0 - R C 2 （ 6 ） 漏 洞 复 现 通 过 S h i r o 远 程 命 令 执 行 漏 洞 成 功 获 取 到 了 服 务 器 权 限 ， 存 在 d n s l o g 探 测 和 命 令 执 行 情 况 ， 与 发 现 入 侵 时 的 迹 象 一 致 。
0 3 、 事 件 总 结 、 事 件 总 结 通 过 以 上 的 分 析 ， 可 以 判 断 出 攻 击 者 通 过 s h i r o   远 程 命 令 执 行 漏 洞 入 侵 ， 并 在 反 弹 s h e l l 执 行 了 一 些 操 作 ， 需 要 升 级 s h i r o 至 最 新 版 本 并 生 成 新 的 密 钥 替 换 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理