搜索

[1049] 2021-03-22_从RDP爆破定位内部攻击者

文档创建者：s7ckTeam
浏览次数：8
最后更新：2025-01-16
2021-03-22_从RDP爆破定位内部攻击者 从 R D P 爆 破 定 位 内 部 攻 击 者 原 创   B y p a s s   B y p a s s   2 0 2 1 - 0 3 - 2 2 一 台 没 有 发 布 任 何 服 务 到 公 网 的 服 务 器 ， 却 有 大 量 的 账 户 登 录 失 败 记 录 ， 咋 一 看 实 在 有 点 让 人 费 解 。 我 们 需 要 做 的 就 是 ， 从 繁 杂 的 现 象 中 ， 拔 丝 抽 茧 找 到 有 价 值 的 信 息 ， 进 一 步 定 位 攻 击 来 源 ， 从 根 源 上 解 决 攻 击 问 题 。 0 1 、 攻 击 现 象 、 攻 击 现 象 一 台 内 网 服 务 器 ， W i n d o w s 安 全 日 志 存 在 大 量 的 帐 户 登 录 失 败 记 录 （ 事 件 I D ： 4 6 2 5 ） 。 使 用 L o g P a r s e r 进 行 安 全 日 志 分 析 ， 编 写 查 询 语 句 对 登 录 失 败 记 录 进 行 汇 总 ： 如 上 图 ， 登 录 类 型   1 0 代 表 的 是 远 程 登 录 ， 使 用 a d m i n i s t r a t o r 尝 试 登 录 了 4 8 w 次 ， 确 认 服 务 器 正 在 遭 受 R D P 协 议 暴 力 破 解 攻 击 ， 攻 击 来 源 为 内 网 的 另 一 台 服 务 器 。 接 下 来 ， 我 们 需 要 登 录 相 关 服 务 器 进 行 排 查 原 因 。
0 2 、 入 侵 排 查 、 入 侵 排 查 （ 1 ） 跟 踪 网 络 连 接 首 先 从 网 络 连 接 来 确 认 一 下 是 哪 个 进 程 在 暴 力 破 解 。 找 到 了 进 程 i d 为 1 0 0 7 3 0 的 n p c 进 程 。 （ 2 ） 找 到 异 常 进 程 根 据 异 常 连 接 找 到 了 进 程 ， n p c 是 内 网 穿 透 工 具 n p s 的 客 户 端 代 理 . 这 里 是 客 户 端 ， 那 么 ， 意 味 着 还 有 一 个 服 务 端 ， 顺 着 进 程 参 数 所 带 的 域 名 ， 找 到 服 务 端 I P 地 址 ， 访 问 8 0 8 0 端 口 ， 找 到 n p s 的 w e b 管 理 页 面 。 （ 3 ） 找 到 原 因 通 过 爆 破 n p s 的 w e b 管 理 页 面 ， 获 取 用 户 密 码 ， 进 入 控 制 台 查 看 。 发 现 安 装 了 n p c 客 户 端 的 服 务 器 ， 并 且 建 立 了 T C P 隧 道 ， 将 内 网 服 务 器 的 3 3 8 9 端 口 映 射 到 了 公 网 的 1 2 3 4 5 端 口 。 由 于 远 程 管 理 端 口 发 布 到 了 ， 导 致 每 天 都 会 有 不 同 的 i p 尝 试 爆 破 ， 通 过 T C P 隧 道 访 问 目 标 端 口 ， 在 目 标 服 务 器 安 全 日 志 里 留 下 的 只 有 作 为 客 户 端 代 理 服 务 器 的 i p 地 址 。 h t t p s : / / g i t h u b . c o m / e h a n g - i o / n p s / r e l e a s e s
（ 4 ） 定 位 内 部 攻 击 者 在 跳 板 机 上 找 到 了 n p c 连 接 日 志 ， 存 在 各 种 公 网 i p 尝 试 爆 破 3 3 8 9 的 记 录 ， 找 到 最 早 的 访 问 日 志 ， 包 括 访 问 内 部 的 相 关 网 站 和 服 务 器 ， 初 步 怀 疑 为 内 部 相 关 人 员 。 找 到 这 几 台 服 务 器 相 关 的 管 理 员 ， 确 认 了 一 下 ， 出 于 对 外 网 运 维 访 问 的 需 求 ， 私 自 配 置 了 内 网 穿 透 工 具 ， 将 内 网 端 口 映 射 到 了 公 网 。 0 3 、 安 全 总 结 、 安 全 总 结 通 过 内 网 穿 透 工 具 ， 绕 过 了 原 有 的 网 络 限 制 ， 从 而 变 相 地 把 内 网 端 口 发 布 到 公 网 了 。 一 般 情 况 下 ， 这 是 由 攻 击 者 发 起 的 ， 一 旦 发 现 就 1 0 0 % 意 味 着 服 务 器 已 沦 陷 。 但 是 ， 内 部 人 员 、 第 三 方 供 应 商 也 常 常 会 做 出 类 似 的 违 规 操 作 ， 这 将 给 内 网 带 来 极 大 的 风 险 。 如 何 有 效 检 测 端 口 转 发 、 内 网 穿 透 、 远 控 软 件 等 行 为 ， 然 后 进 一 步 判 断 攻 击 行 为 或 者 违 规 行 为 ， 这 是 一 件 很 急 迫 的 事 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理