搜索

[13481] 2018-12-01_安全运维之日志追踪

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-18
2018-12-01_安全运维之日志追踪 安 全 运 维 之 日 志 追 踪 Q t l s e c   F r e e B u f   2 0 1 8 - 1 2 - 0 1 前 言 前 言 日 志 在 分 析 安 全 事 件 上 很 重 要 的 一 个 参 考 依 据 ， 同 样 希 望 能 够 看 到 这 篇 文 章 的 运 维 人 员 能 重 视 起 日 志 来 。 日 志 在 分 析 安 全 事 件 上 很 重 要 的 一 个 参 考 依 据 ， 同 样 希 望 能 够 看 到 这 篇 文 章 的 运 维 人 员 能 重 视 起 日 志 来 。 0 x 0 1   搭 建 环 境 搭 建 环 境 为 了 快 速 还 原 一 个 易 被 攻 击 以 及 攻 击 性 的 多 样 化 的 w e b 环 境 ， 这 里 我 使 用 了 D V W A 这 个 测 试 平 台 。 0 x 0 2   开 始 测 试 攻 击 开 始 测 试 攻 击 A .   扫 描 扫 描 这 里 我 使 用 了 御 剑 后 台 扫 描 工 具 ：
B .   然 后 对 扫 描 到 的 p h p m y a d m i n 进 行 暴 力 破 解 C .   测 试 简 单 的 暴 力 破 解 ， 这 里 使 用 的 工 具 是 B u r p   S u i t e ：
这 里 使 用 B u r p   S u i t e 对 密 码 进 行 了 爆 破 。 D .   测 试 简 单 的 s q l 注 入 0 x 0 3   分 析 分 析 a c c e s s 日 志 日 志 日 志 的 存 放 路 径 在 w i n d o w s 和 L i n u x   上 不 太 一 样 ， L i n u x 一 般 是 / v a r / a p a c h e 2 / ， w i n d o w s 根 据 安 装 的 路 径 不 同 存 放 的 路 径 也 可 能 不 一 样 ， 一 般 为 . . / a p a c h e / l o g s / a c c e s s . l o g ， 或 者 直 接 使 用 查 找 工 具 搜 索 a c c e s s . l o g 。 使 用 系 统 自 带 的 记 事 本 打 开 a c c e s s . l o g 日 志 ： 1 '   u n i o n   s e l e c t   1 , g r o u p _ c o n c a t ( c o l u m n _ n a m e )   f r o m   i n f o m a t i o n _ s c h e m a . c o l u m n s   w h e r e   t a b l e _ n a m e = ' u s e r s '   #
这 里 拿 出 其 中 一 条 日 志 来 进 行 详 细 分 析 ： 每 条 日 志 可 以 提 供 九 项 内 容 ， 直 接 可 以 看 出 客 户 端 的 I P ， 请 求 的 时 间 ， 请 求 的 U R L ， 状 态 码 ， 服 务 器 发 送 的 内 容 大 小 ， 以 及 客 户 端 的 详 细 信 息 。 附 上 一 条 完 整 的 具 体 内 容 解 释 链 接 ： h t t p s : / / b l o g . c s d n . n e t / f e n g d a 2 8 7 0 / a r t i c l e / d e t a i l s / 1 3 0 8 2 1 1 5 。 为 了 便 于 查 看 这 些 日 志 ， 这 里 我 使 用 了 两 款 分 析 工 具 ， A p a c h e   L o g s   V i e w e r 和 3 6 0 的 星 图 。 先 使 用 A p a c h e   L o g s   V i e w e r 分 析 一 下 。 A .   御 剑 后 台 扫 描 分 析 御 剑 后 台 扫 描 分 析 按 照 S t a t u s 排 序 ， 可 以 看 到 有 大 量 同 I P 的 4 0 4 请 求 。 通 过 对 这 些 请 求 的 地 址 分 析 ， 可 以 判 断 出 这 是 暴 力 破 解 目 录 留 下 的 痕 迹 。 1 9 2 . 1 6 8 . 8 0 . 1   -   -   [ 2 3 / N o v / 2 0 1 8 : 2 0 : 1 5 : 4 7   + 0 8 0 0 ]   " G E T   / d v w a / l o g i n . p h p   H T T P / 1 . 1 "   2 0 0   1 5 6 7   " - "   " M o z i l l a / 5 . 0   ( W i n d o w s   N T   1 0 . 0 ;   W i n 6 4 ;   x 6 4 ;   r v : 6 1 . 0 )   G e c k o / 2 0 1 0 0 1 0 1   F i r e f o x / 6 1 . 0 "
B .   p h p M y A d m i n 暴 力 破 解 分 析 ： 暴 力 破 解 分 析 ： 从 图 中 可 以 看 出 大 量 的 对 p h p M y A m i n 的 破 解 请 求 ， 并 在 最 后 状 态 变 为 了 2 0 0 ， 可 以 分 析 出 ， 攻 击 者 对 p h p M y A d m i n 的 暴 力 破 解 ， 并 最 后 得 到 了 用 户 名 和 密 码 。 C .   暴 力 破 解 登 录 暴 力 破 解 登 录
可 以 从 上 图 红 框 内 的 R e q u e s 内 容 可 以 看 出 在 暴 力 破 解 a d m i n 的 密 码 ， 当 s i z e 由 大 量 的 4 9 4 3 变 为 了 4 9 8 5 可 以 看 出 ， 攻 击 者 也 成 功 得 到 a d m i n 的 密 码 。 D .   S Q L 注 入 分 析 注 入 分 析 通 过 请 求 的 信 息 ， 也 可 以 看 出 攻 击 者 使 用 了 S Q L 注 入 ， 这 条 信 息 ， 也 可 以 在 日 常 运 维 ， 安 全 加 固 中 ， 可 以 准 确 的 找 到 网 站 的 注 入 点 ， 有 利 于 运 维 人 员 的 及 时 加 固 。 自 动 化 分 析 工 具 ： 星 图 自 动 化 分 析 工 具 ： 星 图 将 星 图 的 配 置 设 置 好 ， 将 日 志 导 入 ， 可 以 看 到 攻 击 的 信 息 很 直 观 的 显 示 了 出 来 ， 很 遗 憾 的 是 星 图 好 久 不 更 新 了 。 S Q L 注 入 的 信 息 ：
两 款 工 具 的 各 有 所 长 ， 对 于 星 图 来 说 ， 很 多 攻 击 内 容 给 出 的 分 析 ， 更 会 迷 惑 分 析 者 ， 建 议 使 用 星 图 宏 观 上 查 找 问 题 I P ， 再 利 用 A p a c h e   L o g s   V i e w e r 此 类 工 具 ， 进 行 详 细 分 析 攻 击 者 的 手 法 ， 这 样 对 我 们 的 安 全 上 的 加 固 有 很 大 的 帮 助 。 最 重 要 的 是 ， 一 定 要 认 识 日 志 的 重 要 性 ， 对 日 志 的 采 集 ， 备 份 工 作 也 同 样 变 得 更 加 重 要 。 毕 竟 有 经 验 的 攻 击 者 都 会 清 理 自 己 的 痕 迹 。 总 结 总 结 我 是 一 个 安 全 小 菜 鸟 ， 每 天 游 荡 在 各 大 安 全 论 坛 中 ， 时 间 久 了 ， 心 里 对 安 全 运 维 上 的 工 作 变 得 更 加 恐 慌 。 我 不 应 期 待 我 维 护 的 网 站 服 务 器 不 会 遭 受 大 佬 们 的 调 戏 ， 而 是 如 果 大 佬 们 调 戏 完 ， 我 该 如 何 变 得 更 加 坚 强 。 咳 咳 ， 感 情 戏 太 深 了 。 。 。 不 再 戏 精 了 ， 小 菜 鸟 第 一 次 在 f r e e b u f 发 文 章 ， 请 各 位 大 佬 多 多 指 点 。 * 本 文 作 者 ： Q t l s e c ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理