搜索

[14779] 2019-11-04_浅谈安全攻防场景下的安全检测

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-18
2019-11-04_浅谈安全攻防场景下的安全检测 浅 谈 安 全 攻 防 场 景 下 的 安 全 检 测 原 创   s i 1 e n c e   F r e e B u f   2 0 1 9 - 1 1 - 0 4 0 x 0   背 景 背 景 安 全 本 质 是 人 与 人 之 间 的 对 抗 ， 攻 防 技 术 的 更 新 迭 代 促 进 了 行 业 的 发 展 。 虽 然 都 是 做 在 安 全 技 术 的 研 究 ， 但 是 安 全 本 质 是 人 与 人 之 间 的 对 抗 ， 攻 防 技 术 的 更 新 迭 代 促 进 了 行 业 的 发 展 。 虽 然 都 是 做 在 安 全 技 术 的 研 究 ， 但 是 发 现 其 实 二 个 方 向 的 工 作 思 路 上 还 是 有 较 大 的 区 别 ； 防 御 者 从 多 个 维 度 针 对 某 一 类 攻 击 手 法 进 行 全 面 剖 析 提 出 发 现 其 实 二 个 方 向 的 工 作 思 路 上 还 是 有 较 大 的 区 别 ； 防 御 者 从 多 个 维 度 针 对 某 一 类 攻 击 手 法 进 行 全 面 剖 析 提 出 一 个 能 够 覆 盖 大 多 数 攻 击 场 景 下 面 的 方 案 。 一 个 能 够 覆 盖 大 多 数 攻 击 场 景 下 面 的 方 案 。 攻 击 者 往 往 在 多 次 攻 击 测 试 之 后 ， 只 需 要 有 跳 跃 性 思 路 能 够 利 用 一 些 出 其 不 意 的 姿 势 从 一 些 技 术 点 上 突 破 防 御 即 可 ， 攻 防 技 术 相 辅 相 成 ， 相 互 进 步 。 笔 者 在 机 缘 巧 合 下 从 一 个 w e b 安 全 的 安 全 服 务 小 菜 鸡 入 到 了 一 个 安 全 检 测 的 坑 也 有 好 几 年 了 ， 简 单 谈 谈 自 己 从 事 安 全 检 测 的 一 些 思 考 和 想 法 ， 有 误 的 地 方 欢 迎 大 家 指 出 批 评 。 0 x 1   知 识 积 累 知 识 积 累 对 于 很 多 甲 方 用 户 来 讲 做 安 全 也 就 是 采 购 一 些 安 全 产 品 或 者 购 买 一 些 安 全 服 务 ， 应 该 也 有 很 多 大 型 企 业 或 者 互 联 网 、 金 融 企 业 会 选 择 自 己 搭 建 自 己 安 全 平 台 的 建 设 ， 毕 竟 还 是 自 己 熟 悉 自 己 的 业 务 。 安 全 产 品 的 也 是 完 成 从 传 统 的 防 火 墙 到 U T M 、 下 一 代 防 火 墙 的 转 变 ， 近 几 年 还 提 出 了 态 势 感 知 这 种 新 类 别 的 产 品 。 一 个 安 全 产 品 往 往 是 凝 聚 了 大 量 安 全 人 员 和 开 发 人 员 的 心 血 ， 有 很 多 东 西 也 是 笔 者 之 前 做 渗 透 时 候 没 有 接 触 到 的 。 依 稀 记 得 之 前 利 用 M e t a s p l o i t 做 M S 0 8 - 0 6 7 的 漏 洞 利 用 的 时 候 ， 只 是 简 单 的 几 个 命 令 一 敲 ， s e a r c h 、 u s e 、 s e t   p a y l o a d 、 r h o s t 、 r p o r t 、 l h o s t 、 l p o r t 最 后 一 个 终 极 大 招 e x p l o i t 最 后 用 力 地 的 一 回 车 ， s h e l l 到 手 执 行 几 个 命 令 后 带 着 微 笑 的 去 写 渗 透 测 试 报 告 了 。 遇 见 域 内 服 务 器 权 限 不 够 的 时 候 ， 也 就 是 一 个 M S 1 4 - 0 6 8 完 事 。
S q l 注 入 遇 见 被 拦 截 的 时 候 ， 先 试 一 下 s q l m a p 自 带 的 t a m p e r 或 者 自 己 学 着 从 大 牛 那 里 看 来 的 文 章 像 模 像 样 的 写 一 下 ， 最 后 执 行 一 下 w h o m a i 返 回 一 个 n t / s y s t e m 的 时 候 内 心 也 是 充 满 成 就 感 的 ， 遇 见 被 查 杀 的 w e b s h e l l 就 上 g i t h u b 或 者 安 全 论 坛 跪 求 大 佬 给 一 个 免 杀 马 ， 实 在 不 行 就 问 一 下 客 户 能 不 能 给 开 个 白 名 单 。 当 时 也 是 因 为 比 较 菜 其 实 也 没 有 认 真 去 研 究 过 这 些 漏 洞 产 生 的 原 因 、 以 及 过 程 中 的 流 量 特 征 或 者 被 攻 击 端 主 机 上 的 一 些 行 为 特 征 、 也 没 有 思 考 应 该 如 何 做 痕 迹 清 理 和 免 杀 ， 更 没 有 考 虑 过 如 何 去 识 别 这 些 攻 击 行 为 和 检 出 这 些 w e b s h e l l 。 安 全 检 测 的 思 路 却 是 在 研 究 这 些 攻 击 行 为 的 特 征 ， 无 论 是 流 量 特 征 还 是 主 机 的 行 为 特 征 ， 真 正 的 去 理 解 这 些 攻 击 手 法 产 生 的 原 因 ， 一 个 M S 1 7 - 0 1 0 漏 洞 需 要 理 解 到 具 体 的 S M B 协 议 里 面 的 一 些 字 段 以 及 相 关 的 含 义 ， 攻 击 利 用 的 数 据 包 长 什 么 样 子 ， 返 回 数 据 包 的 字 段 有 什 么 异 常 ， 和 正 常 的 区 别 在 那 里 。 一 个 M S 1 4 - 0 6 8 的 提 权 漏 洞 的 研 究 也 需 要 理 解 K e r b e r o s 的 本 身 的 工 作 机 制 ， 协 议 的 理 解 是 个 繁 琐 的 工 作 往 往 需 要 大 量 的 时 间 ， 也 逐 渐 理 解 K D C 的 认 证 流 程 了 之 后 ， 也 就 知 道 所 谓 的 银 票 、 黄 金 票 据 到 底 是 怎 么 回 事 ， 也 开 始 理 解 为 什 么 m i m i k a t z 被 成 为 神 器 的 原 因 。 之 前 一 直 以 为 m i m i k a t z 就 只 是 一 个 抓 w i n d o w s 的 工 具 而 已 ， 后 面 发 现 它 也 是 域 内 渗 透 的 一 个 神 器 。
做 检 测 的 确 没 有 做 渗 透 那 么 好 玩 相 反 工 作 还 很 枯 燥 ， 没 有 那 种 攻 破 某 一 个 站 点 g e t s h e l l 后 、 从 a d m i n i s t r a t o r 到 n t / s y s t e m 后 ， 内 网 漫 游 拿 到 域 控 管 理 员 服 务 器 后 的 那 种 成 就 感 ， 相 反 你 设 计 的 检 测 方 案 被 绕 过 漏 报 的 时 候 ， 就 是 妥 妥 的 黑 事 件 一 枚 了 却 也 没 有 因 此 而 感 到 沮 丧 ， 喜 闻 乐 见 后 续 可 以 继 续 在 方 案 里 面 进 行 完 善 。 0 x 2   应 急 响 应 应 急 响 应 做 技 术 预 研 的 时 候 经 常 会 没 有 头 绪 有 一 种 间 歇 性 迷 茫 的 感 觉 ， 安 全 人 员 还 是 需 要 很 多 技 术 、 案 例 或 者 攻 防 知 识 的 输 入 来 了 解 当 前 的 流 行 的 攻 击 手 法 。 应 急 响 应 就 是 一 个 最 直 接 的 方 式 ， 跟 踪 客 户 处 的 一 些 安 全 事 件 从 流 量 、 日 志 、 业 务 的 多 个 维 度 进 行 溯 源 分 析 黑 客 的 行 为 。 过 程 中 还 能 收 获 不 少 的 病 毒 样 本 、 黑 客 工 具 、 各 种 免 杀 马 甚 至 是 一 些 0 d a y 也 说 不 定 ， 更 多 的 还 是 了 解 攻 击 手 法 ， 那 些 E X P 是 常 用 的 、 那 些 是 常 见 的 入 口 点 、 常 见 的 内 网 穿 透 有 那 些 姿 势 。 做 好 应 急 响 应 却 也 不 是 一 件 容 易 的 事 情 ， 往 往 需 要 有 一 些 w i n d o w s 、 l i n u x 的 使 用 技 巧 和 一 些 安 全 知 识 ， 还 包 括 一 些 常 见 的 远 控 木 马 、 病 毒 家 族 、 日 志 分 析 能 力 、 流 量 分 析 以 及 一 些 操 作 系 统 的 安 全 知 识 。 在 无 文 件 攻 击 没 有 出 来 之 前 ， 笔 者 一 直 都 不 知 道 w i n d o w s 还 有 P o w e r s h e l l 这 么 个 东 西 ， 也 不 知 道 还 有 那 么 多 R A T 工 具 和 常 见 的 飞 客 蠕 虫 、 X O R D D O S 、 R a n m i t 之 类 的 病 毒 。 对 一 些 w i n d o w s 的 攻 击 手 法 也 需 要 一 些 涉 猎 和 研 究 ， 比 如 最 常 见 的 进 程 注 入 啦 、 d l l 劫 持 、 驱 动 病 毒 、 R o o t k i t 之 类 的 ， 在 处 理 客 户 问 题 的 时 候 就 发 现 真 的 是 林 林 总 总 什 么 情 况 的 都 有 。
还 有 一 些 常 见 的 w e b 漏 洞 经 常 就 发 现 一 些 异 常 进 程 是 a p a c h e 、 I I S 、 w e b l o g i c 之 类 的 进 程 拉 起 来 的 ， 需 要 熟 悉 一 些 常 见 的 R C E 漏 洞 、 上 传 漏 洞 、 未 授 权 访 问 之 类 的 。 通 过 接 触 真 实 的 攻 防 事 件 作 为 输 入 源 ， 才 能 更 好 的 为 检 测 工 作 提 供 思 路 和 方 法 ， 也 避 免 了 闭 门 造 车 、 思 路 也 是 天 马 行 空 的 。 0 x 3   机 器 学 习 机 器 学 习 现 在 诸 多 安 全 厂 商 都 在 提 A I + 安 全 的 概 念 ， 一 些 A I 的 算 法 在 安 全 检 测 上 面 还 是 有 很 大 的 应 用 空 间 。 之 前 在 分 析 飞 客 蠕 虫 的 病 毒 时 候 第 一 次 注 意 到 D G A 这 种 绕 过 威 胁 情 报 的 方 法 ， 思 考 过 针 对 于 这 种 行 为 的 检 测 方 法 。 利 用 传 统 的 检 测 方 法 ， 在 特 征 识 别 结 合 一 些 行 为 分 析 来 检 测 这 种 行 为 ， 检 出 率 还 是 比 较 有 限 也 需 要 消 耗 大 量 的 分 析 成 本 。
这 个 时 候 在   A I 的 算 法 有 大 量 的 样 本 训 练 集 之 后 ， 通 过 一 些 数 据 的 处 理 和 算 法 的 选 取 上 就 比 较 有 优 势 ， 在 安 全 检 测 的 很 多 其 他 点 上 也 有 很 多 的 应 用 面 ， 目 前 互 联 网 上 也 有 很 多 的 介 绍 文 章 ， g i t h u b 上 也 有 很 多 开 源 项 目 ， 感 兴 趣 的 可 以 认 真 研 读 一 下 看 代 码 毕 竟 比 看 文 章 更 直 观 一 些 。 当 前 常 见 的 A I 算 法 都 已 经 集 成 在 一 些 框 架 里 面 ， 比 如 开 源 的 t e n s o r   f l o w 应 用 起 来 门 槛 也 不 是 太 高 ， 通 过 安 全 人 员 提 取 好 相 关 的 特 征 之 后 麻 烦 一 点 的 也 就 是 数 据 的 预 处 理 、 算 法 选 取 和 一 些 参 数 模 型 的 优 化 上 面 。 而 最 后 决 定 一 个 方 案 优 劣 的 主 要 因 素 ， 个 人 感 觉 还 是 在 一 些 特 征 提 取 的 工 程 上 面 ， 特 征 提 取 的 准 确 度 往 往 比 算 法 模 型 更 加 重 要 一 些 。 作 为 安 全 人 员 ， 还 是 需 要 了 解 一 些 常 见 的 机 器 学 习 算 法 不 然 都 不 好 给 领 导 吹 水 ， 查 阅 饭 后 翻 一 翻 说 不 定 还 有 新 发 现 ， 这 里 比 较 推 荐 周 志 华 老 师 的 西 瓜 书 ， 堪 称 经 典 。 0 x 4   黑 产 牟 利 与 黑 产 牟 利 与 A P T 在 应 急 响 应 的 过 程 中 经 常 会 遇 见 一 些 黑 产 团 伙 流 下 的 痕 迹 ， 由 于 热 门 虚 拟 货 币 的 流 行 导 致 挖 矿 、 勒 索 成 为 黑 产 主 要 的 盈 利 方 法 。 层 出 不 穷 的 挖 矿 病 毒 ， 各 种 各 种 的 勒 索 病 毒 攻 击 手 法 也 是 各 种 各 样 ， 抓 到 一 些 病 毒 样 本 的 时 候 找 到 钱 包 地 址 在 交 易 平 台 一 查 才 发 现 人 与 人 之 间 差 距 竟 然 如 此 明 显 ， 自 己 辛 辛 苦 苦 几 十 年 还 真 的 不 如 他 们 随 便 玩 玩 。
有 时 候 也 会 思 考 通 过 抓 取 到 的 病 毒 样 本 和 工 具 ， 然 后 修 改 一 下 钱 包 地 址 ， 自 己 也 转 行 算 了 。 毕 竟 是 根 正 苗 红 的 白 帽 子 ， 每 次 也 都 是 想 想 就 算 了 ， 然 后 如 孔 乙 己 一 般 排 出 九 文 大 钱 告 诉 自 己 ： 君 子 爱 财 ， 取 之 有 道 。 勒 索 病 毒 还 是 很 直 观 判 断 的 ， 毕 竟 全 盘 都 被 加 密 了 ， 只 要 通 过 加 密 的 提 示 文 档 和 加 密 的 后 缀 名 确 认 一 下 相 关 的 病 毒 家 族 即 可 毕 竟 想 免 费 解 密 还 是 有 点 难 的 ， 挖 矿 病 毒 也 容 易 发 现 了 ， 打 开 进 程 任 务 管 理 器 一 下 那 些 占 用 高 的 进 程 一 个 一 个 确 认 一 遍 总 能 发 现 点 异 常 。 不 得 不 说 黑 产 团 伙 们 还 是 很 努 力 勤 奋 的 ， 各 种 漏 洞 都 能 利 用 一 遍 版 本 迭 代 更 新 的 速 度 也 快 ， 很 快 就 可 以 出 了 一 个 新 的 变 种 。 之 前 总 觉 得 A P T 什 么 的 只 是 存 在 一 些 安 全 报 告 当 中 ， 但 是 其 实 可 能 某 一 个 应 急 响 应 处 理 客 户 问 题 的 过 程 当 中 接 触 的 病 毒 样 本 、 某 些 隧 道 通 信 流 量 、 某 一 种 攻 击 行 为 的 分 析 过 程 中 其 实 就 是 一 个 A P T 组 织 留 下 的 痕 迹 。 通 过 对 这 些 高 级 威 胁 的 研 究 往 往 能 够 为 安 全 检 测 提 供 更 多 的 思 路 ， 比 如 一 些 常 见 的 免 杀 技 巧 、 绕 过 检 测 的 方 法 、 代 码 混 淆 的 技 术 等 等 ， 总 会 让 人 感 觉 居 然 还 能 这 么 玩 的 惊 奇 。 他 山 之 石 、 可 以 攻 玉 ， 很 多 小 技 巧 、 漏 洞 的 组 合 拳 在 特 殊 场 景 下 面 的 作 用 还 是 很 大 的 。
分 享 一 个 非 常 n i c e 的 g i t h u b 项 目 ， 里 面 包 含 了 最 近 几 年 的 各 类 A P T 的 跟 踪 报 告 ： h t t p s : / / g i t h u b . c o m / C y b e r M o n i t o r / A P T C y b e r C r i m i n a l C a m p a g i n _ C o l l e c t i o n s 0 x 6 总 结 总 结 依 稀 记 得 1 3 年 有 幸 读 到 了 古 典 老 师 的 书 谈 论 到 关 于 兴 趣 的 话 题 。 兴 趣 是 你 以 最 高 级 （ e s t ） 的 形 式 投 入 到 当 下 （ i n g ） 的 事 情 之 中 （ i n t e r ） 去 , 让 自 己 完 全 身 在 事 物 其 中 。 当 真 正 完 全 投 入 到 当 下 的 事 情 中 去 时 ， 不 管 这 个 事 情 多 么 简 单 卑 微 ， 你 都 能 感 受 到 无 穷 的 乐 趣 。 有 时 候 换 个 工 作 岗 位 和 工 作 方 式 ， 离 开 舒 适 圈 拥 抱 另 一 个 可 能 ， 尝 试 一 些 新 的 研 究 方 向 说 不 定 还 有 超 出 预 期 的 收 获 。
* 本 文 原 创 作 者 ： 本 文 原 创 作 者 ： s i 1 e n c e ， 本 文 属 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理