搜索

[14986] 2020-02-07_shell中的幽灵：webShell攻击调查

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2020-02-07_shell中的幽灵：webShell攻击调查 s h e l l 中 的 幽 灵 ： w e b   S h e l l 攻 击 调 查 K r i s t o n   F r e e B u f   2 0 2 0 - 0 2 - 0 7 近 期 发 现 某 服 务 器 配 置 错 误 ， 攻 击 者 可 在 近 期 发 现 某 服 务 器 配 置 错 误 ， 攻 击 者 可 在 w e b 服 务 器 上 的 多 个 文 件 夹 中 部 署 服 务 器 上 的 多 个 文 件 夹 中 部 署 w e b s h e l l ， 导 致 服 务 帐 户 和 域 管 理 帐 ， 导 致 服 务 帐 户 和 域 管 理 帐 户 被 攻 击 。 攻 击 者 使 用 户 被 攻 击 。 攻 击 者 使 用 n e t . e x e 执 行 侦 察 ， 使 用 执 行 侦 察 ， 使 用 n b s t a t . e x e 扫 描 其 他 目 标 系 统 ， 最 终 使 用 扫 描 其 他 目 标 系 统 ， 最 终 使 用 P s E x e c 横 向 移 动 。 横 向 移 动 。 攻 击 者 在 其 他 系 统 上 安 装 了 额 外 的 w e b   s h e l l ， 并 在 o u t l o o k w e b   A c c e s s （ O W A ） 服 务 器 上 安 装 了 D L L 后 门 。 为 了 在 服 务 器 上 持 久 控 制 ， 后 门 将 自 己 注 册 为 服 务 或 E x c h a n g e 传 输 代 理 ， 从 而 允 许 它 访 问 和 拦 截 所 有 传 入 和 传 出 的 电 子 邮 件 ， 并 收 集 敏 感 信 息 。 后 门 程 序 还 执 行 其 他 攻 击 命 令 以 及 下 载 恶 意 有 效 载 荷 。 此 外 ， 攻 击 者 还 发 送 了 特 殊 电 子 邮 件 ， D L L 后 门 会 将 其 解 释 为 命 令 。 这 起 案 件 是 常 见 的 w e b 攻 击 之 一 ， 影 响 到 各 个 部 门 的 多 个 组 织 。 常 用 w e b 开 发 编 程 语 言 （ 如 A S P 、 P H P 、 J S P ） 编 写 恶 意 代 码 ， 攻 击 者 将 其 植 入 w e b 服 务 器 上 ， 可 远 程 访 问 和 代 码 执 行 ， 通 过 执 行 命 令 从 W e b 服 务 器 窃 取 数 据 。 当 前 形 势 下 当 前 形 势 下 W e b   S h e l l 攻 击 攻 击 在 攻 击 中 观 察 到 包 括   Z I N C ,   K R Y P T O N 和   G A L L I U M 多 个 s h e l l 。 为 了 植 入 w e b s h e l l ， 攻 击 者 利 用 暴 露 在 互 联 网 上 的 w e b 服 务 器 安 全 漏 洞 进 行 攻 击 ， 通 常 是 w e b 应 用 程 序 中 的 漏 洞 ， 例 如 C V E - 2 0 1 9 - 0 6 0 4 或 C V E - 2 0 1 9 - 1 6 7 5 9 。 在 对 这 些 类 型 的 攻 击 的 调 查 中 ， 发 现 文 件 中 的 w e b   s h e l l 试 图 使 用 w e b 服 务 器 中 合 法 文 件 名 称 隐 藏 或 混 合 ， 例 如 ： i n d e x . a s p x f o n t s . a s p x c s s . a s p x g l o b a l . a s p x d e f a u l t . p h p
f u n c t i o n . p h p F i l e u p l o a d e r . p h p h e l p . j s w r i t e . j s p 3 1 . j s p C h i n a   C h o p p e r 是 最 常 用 的 w e b   s h e l l 之 一 ， 常 见 示 例 如 下 ： 服 务 器 中 发 现 的 j s p 恶 意 代 码 如 下 ： p h p 语 言 编 写 的 C h i n a   C h o p p e r 变 体 ： K R Y P T O N 在 一 个 A S P . N E T 页 面 中 使 用 了 用 C # 编 写 的 w e b   s h e l l ：
一 旦 w e b   s h e l l 成 功 插 入 w e b 服 务 器 ， 攻 击 者 就 可 以 在 w e b 服 务 器 上 执 行 各 种 任 务 。 W e b s h e l l 可 以 窃 取 数 据 ， 漏 洞 攻 击 ， 并 运 行 其 他 恶 意 命 令 进 一 步 进 行 破 坏 。 W e b   s h e l l 已 经 影 响 到 了 很 多 行 业 ， 公 共 部 门 组 织 是 最 常 见 的 目 标 部 门 之 一 。 除 了 利 用 w e b 应 用 程 序 或 w e b 服 务 器 中 的 漏 洞 外 ， 攻 击 者 还 利 用 服 务 器 中 的 其 他 弱 点 。 例 如 缺 少 最 新 的 安 全 更 新 、 防 病 毒 工 具 、 网 络 保 护 、 安 全 配 置 等 。 攻 击 通 常 发 生 在 周 末 或 休 息 时 间 ， 这 时 攻 击 可 能 不 会 立 即 被 发 现 和 响 应 。 这 些 漏 洞 攻 击 很 普 遍 ， 每 个 月 微 软 （ A T P ） 平 均 会 在 4 6 0 0 0 台 不 同 的 机 器 上 检 测 到 7 7 0 0 0 个 w e b s h e l l 相 关 文 件 。 检 测 与 预 防 检 测 与 预 防 由 于 w e b s h e l l 是 一 个 多 方 面 的 威 胁 ， 企 业 应 该 从 多 个 攻 击 面 建 立 全 面 的 防 御 ： 身 份 验 证 、 终 端 、 电 子 邮 件 和 数 据 、 应 用 程 序 和 基 础 架 构 等 。 了 解 面 向 i n t e r n e t 的 服 务 器 是 检 测 和 解 决 w e b 威 胁 的 关 键 。 可 以 通 过 监 视 w e b 应 用 程 序 目 录 中 的 文 件 写 入 来 检 测 w e b s h e l l 的 安 装 。 O u t l o o k   W e b   A c c e s s （ O W A ） 这 样 的 应 用 程 序 在 安 装 后 很 少 更 改 ， 对 这 些 应 用 程 序 目 录 的 写 入 应 该 被 视 为 可 疑 操 作 。 通 过 分 析 信 息 服 务 （ I I S ） w 3 w p . e x e 创 建 的 进 程 来 检 测 w e b s h e l l 活 动 。 与 侦 察 活 动 相 关 联 的 进 程 序 列 ， 如 n e t . e x e 、 p i n g . e x e 、 s y s t e m i n f o . e x e 和 h o s t n a m e . e x e 进 程 序 列 。 w 3 w p . e x e 在 通 常 不 执 行 诸 如 “ M S E x c h a n g e O W A A p p P o o l ” 进 程 的 应 用 程 序 池 中 运 行 的 任 何 c m d . e x e 进 程 都 应 被 视 为 异 常 并 视 为 潜 在 的 恶 意 行 为 。

与 大 多 数 安 全 问 题 一 样 ， 预 防 至 关 重 要 。 通 过 采 取 以 下 预 防 措 施 可 以 增 强 系 统 抵 御 w e b s h e l l 攻 击 的 能 力 ： 1 、 识 别 并 修 复 w e b 应 用 程 序 和 w e b 服 务 器 中 的 漏 洞 或 错 误 配 置 ， 并 及 时 进 行 更 新 。 2 、 经 常 审 核 和 检 查 w e b 服 务 器 的 日 志 ， 注 意 直 接 暴 露 在 i n t e r n e t 上 的 所 有 系 统 。 3 、 尽 可 能 利 用 W i n d o w s   D e f e n d e r 防 火 墙 、 入 侵 防 御 设 备 和 网 络 防 火 墙 来 阻 止 端 点 之 间 的 命 令 执 行 和 与 控 制 服 务 器 通 信 ， 限 制 横 向 移 动 和 其 他 攻 击 活 动 。 4 、 检 查 外 围 防 火 墙 和 代 理 以 限 制 对 服 务 的 不 必 要 访 问 ， 包 括 通 过 非 标 准 端 口 访 问 服 务 。 5 、 启 用 云 保 护 以 获 得 最 新 防 御 措 施 。 6 、 教 育 终 端 用 户 如 何 预 防 恶 意 软 件 感 染 ， 建 立 用 户 是 要 进 行 凭 据 限 制 。 * 参 考 来 源 ： 参 考 来 源 ： m i c r o s o f t ， 由 ， 由 K r i s t o n 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M
精 彩 推 荐 精 彩 推 荐 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理