搜索

[12821] 2018-06-13_关于“入侵检测”的一些想法

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2018-06-13_关于“入侵检测”的一些想法 关 于 “ 入 侵 检 测 ” 的 一 些 想 法 P g H o o k   F r e e B u f   2 0 1 8 - 0 6 - 1 3 * 本 文 原 创 作 者 ： 本 文 原 创 作 者 ： P g H o o k ， 属 于 ， 属 于 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 离 开 长 沙 的 时 候 写 了 一 篇 文 章 “ 左 右 互 博 ： 站 在 攻 击 者 的 角 度 来 做 防 护 ” （ f r e e b u f 上 可 以 找 到 ） ， 一 晃 已 经 是 三 年 了 。 这 三 年 接 触 了 很 多 东 西 ， 自 己 也 有 过 很 多 想 法 ， 但 实 际 上 去 做 的 却 很 少 。 花 了 很 多 时 间 ， 做 了 一 款 插 件 化 的 漏 洞 扫 描 器 ， 这 里 不 做 介 绍 。 这 里 主 要 介 绍 的 是 另 外 一 个 想 法 （ 这 些 年 做 的 最 有 成 就 感 的 事 情 ） ， 我 把 它 理 解 为 真 正 意 义 上 的 “ 入 侵 检 测 ” 。 很 多 安 全 人 员 对 “ 入 侵 检 测 ” 这 个 东 西 都 是 持 吐 槽 的 态 度 （ 记 得 发 “ 使 用 P f s e n s e + S n o r b y 构 建 入 侵 检 测 系 统 ” 出 来 后 ， 有 好 些 人 吐 槽 “ 不 觉 得 用 n m a p 扫 描 一 下   然 后 一 大 堆 告 警 还 值 得 牛 逼   那 么 多 告 警 没 人 看 的 ” ， 印 象 深 刻 啊 ！ ） ， 光 有 吐 槽 还 不 够 ， 我 们 还 要 想 着 怎 么 去 改 变 。 只 有 不 断 的 改 进 ， 这 个 世 界 才 有 可 能 不 断 的 进 步 变 好 。 0 x 0 0 、 前 面 的 废 话 、 前 面 的 废 话 “ 入 侵 检 测 ” ， 从 字 面 上 的 意 思 来 解 释 就 是 “ 对 入 侵 行 为 的 检 测 ” 。 但 目 前 市 面 上 的 商 业 产 品 和 开 源 产 品 实 际 上 都 是 对 “ 攻 击 行 为 的 检 测 ” ， 入 侵 行 为 日 志 往 往 淹 没 在 攻 击 行 为 日 志 里 面 去 了 ， 实 在 是 有 些 鸡 肋 。 0 x 0 1 、 我 想 要 成 为 的 样 子 、 我 想 要 成 为 的 样 子 上 面 那 张 图 就 是 我 想 要 表 达 的 想 法 （ 通 过 流 量 镜 像 ， 将 请 求 数 据 全 量 保 存 ， 响 应 存 在 异 常 才 保 存 ） 。 通 过 分 析 网 络 中 的 请 求 和 响 应 ， 来 判 断 漏 洞 的 存 在 （ 攻 击 者 前 脚 发 现 漏 洞 ， 我 们 可 以 实 现 实 时 发 现 ， 并 溯 源 ） 。 正 常 的 漏 洞 检 测 过 程 （ 将 漏 洞 p o c 打 向 服 务 器 ， 根 据 服 务 器 的 响 应 判 断 漏 洞 是 否 存 在 ） 。
站 在 守 护 者 的 角 度 ， 我 也 能 够 将 请 求 和 响 应 拿 到 ， 然 后 来 做 判 断 。 0 x 0 2 、 效 果 、 效 果 A ( 发 现 漏 洞 的 存 在 发 现 漏 洞 的 存 在 ) 我 目 前 做 的 是 “ 检 测 h t t p 响 应 数 据 （ 基 于 关 键 字 ） ” ， 检 测 出 问 题 然 后 关 联 h t t p 请 求 。 案 例 一 、 案 例 一 、 D i r e c t o r y ： （ 目 录 遍 历 漏 洞 ） ： （ 目 录 遍 历 漏 洞 ） h t t p 响 应 里 面 出 现 D i r e c t o r y : , 关 联 h t t p 请 求 ， 下 面 是 部 分 详 细 数 据 （ 我 把 h t t p 请 求 头 里 面 的 字 段 都 做 了 切 割 ） 。
案 例 案 例 二 ： 二 ： ” s y s t e m ” （ 这 是 一 个 误 报 ， 只 是 攻 击 行 为 ） （ 这 是 一 个 误 报 ， 只 是 攻 击 行 为 ） 案 例 三 、 案 例 三 、 s v n 信 息 泄 露 漏 洞 信 息 泄 露 漏 洞
案 例 四 、 远 程 命 令 执 行 漏 洞 案 例 四 、 远 程 命 令 执 行 漏 洞
案 例 五 、 文 件 读 取 漏 洞 案 例 五 、 文 件 读 取 漏 洞 通 过 上 面 几 个 案 例 ， 大 家 会 发 现 这 种 对 只 针 对 h t t p 响 应 做 关 键 字 匹 配 的 检 测 ， 还 是 会 存 在 一 些 的 误 报 。 如 果 对 h t t p 请 求 也 做 检 测 ， 如 果 h t t p 请 求 和 响 应 都 存 在 异 常 ， 那 基 本 就 可 以 9 0 % 确 定 问 题 了 。 0 x 0 3 、 效 果 、 效 果 B ( 监 控 文 件 下 载 行 为 监 控 文 件 下 载 行 为 ) 我 为 什 么 想 要 去 实 现 这 个 了 ？
1 、   很 多 时 候 管 理 员 部 署 应 用 的 时 候 ， 都 喜 欢 打 个 包 上 传 ， 然 后 解 压 部 署 ， 往 往 忘 记 了 删 除 压 缩 包 ， 导 致 源 代 码 泄 漏 。 2 、   很 多 时 候 黑 客 攻 击 ， 想 要 窃 取 数 据 ， 也 会 通 过 打 包 下 载 的 方 式 。 那 怎 么 去 实 现 “ 监 控 文 件 下 载 的 行 为 ” （ 这 里 我 们 只 讨 论 h t t p ） ？ 其 实 答 案 很 简 单 啦 ， 多 抓 几 个 文 件 下 载 的 数 据 包 ， 看 下 就 知 道 了 。 h t t p 响 应 里 面 有 一 个 字 段 叫 “ C o n t e n t - T y p e ” ， 通 过 这 个 字 段 我 们 就 可 以 知 道 文 件 的 类 型 。 例 如 ： C o n t e n t - T y p e   内 容 为 “ a p p l i c a t i o n / z i p ” ， 说 明 下 载 的 文 件 类 型 为 z i p 。 C o n t e n t - T y p e   内 容 为 “ a p p l i c a t i o n / x - g z i p ” ， 说 明 下 载 的 文 件 类 型 为 g z 。 这 里 给 大 家 提 供 个 C o n t e n t - T y p e 内 容 对 应 的 文 件 列 表 ， 方 便 大 家 查 找 。 h t t p s : / / g i t h u b . c o m / h o s o m / f i l e - e x t r a c t i o n / b l o b / m a s t e r / s c r i p t s / f i l e - e x t e n s i o n s . b r o 我 这 边 实 现 了 一 个 z i p 的 （ 只 是 存 储 下 了 h t t p 响 应 头 ， 理 论 上 整 个 文 件 都 可 以 保 存 下 来 。 ） 详 细 如 下 ： 详 细 如 下 ：
实 现 过 程 ： 捕 获 到 响 应 数 据 包 ， 判 断 头 部 是 否 存 在 “ C o n t e n t - T y p e ” 字 段 ， 存 在 且 内 容 为 “ a p p l i c a t i o n / z i p ” ， 然 后 把 h t t p 请 求 数 据 包 关 联 起 来 就 行 存 储 到 E l a s t i c s e a r c h 中 去 。 题 外 话 ： 题 外 话 ： 如 果 实 现 了 从 流 量 中 提 取 整 个 文 件 ， 那 可 以 接 入 一 些 病 毒 检 测 引 擎 ， 对 文 件 做 安 全 检 测 。 0 x 0 4 、 扩 展 、 扩 展 除 h t t p 外 的 协 议 1 、 s s h :   s s h 登 录 判 断 ， 从 流 量 中 判 断 是 否 登 录 成 功 （ 这 个 目 前 还 真 不 知 道 怎 么 去 实 现 ） 。 2 、 d n s :   获 取 d n s 请 求 （ 这 里 可 以 结 合 现 在 比 较 流 行 的 威 胁 情 报 来 玩 ）
无 意 中 在 g i t h u b 中 发 现 一 个 有 意 思 的 开 源 项 目 （ 可 以 结 合 起 来 玩 ） 。 x s e c   i p   d a t a b a s e 为 一 个 恶 意 I P 和 域 名 库 ( M a l i c i o u s i p   d a t a b a s e ) ， 它 获 取 恶 意 I P 和 域 名 的 方 式 有 以 下 几 种 ： 通 过 爬 虫 定 期 拉 取 网 络 中 公 开 的 恶 意 i p 库 （ 可 能 过 增 加 新 爬 虫 的 方 式 订 阅 新 的 I P 库 ） 支 持 与 自 有 的 其 他 安 全 产 品 联 动 （ H I D S 、 W A F 、 蜜 罐 、 防 火 墙 等 产 品 ） ， 实 时 更 新 I P 库 h t t p s : / / g i t h u b . c o m / n e t x f l y / x s e c - i p - d a t a b a s e 0 x 0 5 、 怎 么 去 实 现 上 面 的 效 果 （ 拿 、 怎 么 去 实 现 上 面 的 效 果 （ 拿 h t t p 协 议 举 例 子 ） 协 议 举 例 子 ） 要 “ 成 为 想 要 的 样 子 ” 需 要 做 如 下 的 工 作 ： A 、   流 量 镜 像 （ 这 个 比 较 好 弄 ， 直 接 在 网 络 设 备 上 可 配 置 ） B 、   从 流 量 中 提 取 h t t p 请 求 数 据 和 h t t p 响 应 数 据 C 、   组 合 h t t p 请 求 数 据 （ 一 般 出 现 在 p o s t 请 求 中 ， t c p 会 分 段 ） D 、   组 合 h t t p 响 应 数 据 E 、   解 压 缩 h t t p 响 应 数 据 （ 很 多 都 做 了 g z i p 压 缩 ， 需 要 解 压 ） F 、   检 测 h t t p 请 求 和 h t t p 响 应 数 据 （ 安 全 检 测 ， 也 可 以 说 是 对 数 据 的 分 析 ， 判 断 数 据 是 否 异 常 。 ） G 、   关 联 h t t p 请 求 和 h t t p 响 应 P S ： 心 里 累 ， 一 堆 问 题 ， 总 是 一 次 又 一 次 把 自 己 之 前 的 观 点 （ B 到 G ） 给 推 倒 。 这 里 我 不 做 介 绍 了 ， 怕 误 导 大 家 ， 因 为 我 也 没 完 全 弄 明 白 。 写 的 程 序 也 还 有 些 写 的 程 序 也 还 有 些 b u g 如 ： 如 ： 1 、 如 请 求 和 响 应 关 联 不 上
2 、 请 求 （ 响 应 ） 数 据 包 没 组 合 起 来 3 3 、 响 应 数 据 包 没 有 解 压 … … 0 x 0 6 、 不 该 写 的 部 分 、 不 该 写 的 部 分 攻 击 和 防 守 总 是 在 互 相 促 进 ， 如 果 我 是 攻 击 者 ， 肯 定 会 想 办 法 去 躲 避 这 个 检 测 。 其 实 也 很 简 单 ， 检 测 都 是 基 于 数 据 是 明 文 传 输 的 基 础 上 的 。 如 果 对 h t t p 响 应 数 据 进 行 一 些 简 单 的 编 码 再 传 输 （ d n s 隧 道 木 马 就 是 这 样 做 的 ， 它 会 对 执 行 命 令 的 结 果 进 行 编 码 后 传 输 。 ） ， 这 样 肯 定 会 加 大 检 测 的 难 度 。 这 种 明 文 传 输 的 命 令 执 行 ， 肯 定 是 很 容 易 从 流 量 中 检 测 到 的 。 这 里 我 们 将 命 令 执 行 结 果 做 了 一 次 编 码 ， 然 后 再 传 输 ， 这 样 就 加 大 了 检 测 难 度 了 。 这 样 我 们 就 需 要 对 响 应 数 据 包 进 行 编 码 的 识 别 了 ， 效 率 大 大 降 低 ， 成 本 将 大 大 提 高 。 0 x 0 7 、 后 面 的 废 话 、 后 面 的 废 话 这 套 系 统 是 我 用 p y t h o n 写 的 ， 目 前 实 行 了 一 些 功 能 （ 上 面 提 到 的 基 本 都 有 了 ） ， 不 过 还 存 在 很 多 b u g 。 本 打 算 开 源 出 来 ， 一 想 没 必 要 ， 不 懂 的 拿 来 也 没 法 用 好 ， 没 法 改 进 ， 能 看 懂 的 ， 有 了 上 面 我 提 供 的 思 路 下 面 的 逻 辑 图 ， 基 本 上 也 能 弄 出 来 。 下 面 是 精 简 化 的 逻 辑 图 （ p y t h o n 为 开 发 语 言 ， r e d i s 为 缓 存 ， E l a s t i c s e a r c h 为 存 储 ， K i b a n a 为 前 端 展 示 ） ：
* 本 文 原 创 作 者 ： 本 文 原 创 作 者 ： P g H o o k ， 属 于 ， 属 于 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理