搜索

[21466] 2020-12-02_web项目遭受攻击时的日志分析-新手学习使用

文档创建者：s7ckTeam
浏览次数：9
最后更新：2025-01-18
2020-12-02_web项目遭受攻击时的日志分析-新手学习使用 w e b 项 目 遭 受 攻 击 时 的 日 志 分 析 - 新 手 学 习 使 用 转 自 安 全 先 师   L e m o n S e c   2 0 2 0 - 1 2 - 0 2 0 x 0 0   前 言 前 言 现 实 中 可 能 会 经 常 出 现 现 实 中 可 能 会 经 常 出 现 w e b 日 志 当 中 出 现 一 些 被 攻 击 的 迹 象 ， 比 如 针 对 你 的 一 个 站 点 的 日 志 当 中 出 现 一 些 被 攻 击 的 迹 象 ， 比 如 针 对 你 的 一 个 站 点 的 U R L 进 行 进 行 S Q L 注 入 测 试 等 等 ， 这 时 候 注 入 测 试 等 等 ， 这 时 候 需 要 你 从 日 志 当 中 分 析 到 底 是 个 什 么 情 况 ， 如 果 非 常 严 重 的 话 ， 可 能 需 要 调 查 取 证 谁 来 做 的 这 个 事 情 ， 攻 击 流 程 是 什 么 样 需 要 你 从 日 志 当 中 分 析 到 底 是 个 什 么 情 况 ， 如 果 非 常 严 重 的 话 ， 可 能 需 要 调 查 取 证 谁 来 做 的 这 个 事 情 ， 攻 击 流 程 是 什 么 样 子 的 。 子 的 。 除 此 之 外 ， 还 有 其 他 场 景 。 作 为 一 名 管 理 员 ， 理 解 如 何 从 安 全 的 角 度 来 分 析 日 志 真 的 很 重 要 。 除 此 之 外 ， 还 有 其 他 场 景 。 作 为 一 名 管 理 员 ， 理 解 如 何 从 安 全 的 角 度 来 分 析 日 志 真 的 很 重 要 。 这 篇 文 章 内 容 包 括 了 日 志 分 这 篇 文 章 内 容 包 括 了 日 志 分 析 的 一 些 基 础 知 识 ， 可 以 解 决 上 述 需 求 。 析 的 一 些 基 础 知 识 ， 可 以 解 决 上 述 需 求 。 0 x 0 1   准 备 准 备 出 于 演 示 目 的 ， 我 进 行 以 下 设 置 。 A p a c h e   服 务 器 ， 预 安 装 在 K a l i   L i n u x 可 以 用 以 下 命 令 开 启 ： M y S Q L 预 安 装 在 K a l i   L i n u x 可 以 用 以 下 命 令 开 启 ： 使 用 使 用 P H P - M y S Q L 创 建 一 个 有 漏 洞 的 创 建 一 个 有 漏 洞 的 w e b 应 用 应 用 我 使 用 P H P 开 发 了 一 个 有 漏 洞 的 w e b 应 用 并 且 把 它 放 在 上 面 提 到 的   A p a c h e - M y S Q L 里 面 。 上 述 设 置 完 成 后 ， 我 用 了 一 些 K a l i   L i n u x 中 的 自 动 工 具 （ Z A P 、 w 3 a f ） 扫 描 这 个 有 漏 洞 的 应 用 的 U R L 。 现 在 让 我 们 来 看 看 分 析 日 志 中 的 不 同 情 况 。 s e r v i c e   a p a c h e 2   s t a r t s e r v i c e   m y s q l   s t a r t
0 x 0 2   A p a c h e 服 务 中 的 日 志 记 录 服 务 中 的 日 志 记 录 D e b i a n 系 统 上 A p a c h e 服 务 器 日 志 的 默 认 位 置 为 ： 日 志 记 录 只 是 在 服 务 器 上 存 储 日 志 。 我 还 需 要 分 析 日 志 以 得 出 正 确 结 果 。 在 接 下 来 的 一 节 里 ， 我 们 将 看 到 我 们 如 何 分 析 A p a c h e 服 务 器 的 访 问 日 志 以 找 出 w e b 站 点 上 是 否 有 攻 击 尝 试 。 分 析 日 志 ， 分 析 日 志 ， 手 动 检 查 手 动 检 查 在 日 志 量 较 小 的 情 况 下 ， 或 者 如 果 我 们 查 找 一 个 指 定 关 键 词 ， 可 以 使 用 像 g r e p 表 达 式 这 样 的 工 具 观 察 日 志 。 在 下 图 中 ， 我 们 在 U R L 中 试 图 搜 寻 所 有 关 键 词 为 “ u n i o n ” 的 请 求 。 从 上 图 中 ， 我 们 可 以 看 到 U R L 中 的 “ u n i o n   s e l e c t   1 , 2 , 3 , 4 , 5 ” 请 求 。 很 明 显 ， i p 地 址 为   1 9 2 . 1 6 8 . 5 6 . 1 0 5 的 某 人 尝 试 了 S Q L 注 入 。 类 似 地 ， 当 我 们 有 自 己 的 关 键 词 时 可 以 搜 索 特 殊 的 关 键 词 。 在 下 图 中 ， 我 们 正 在 搜 索 试 图 读 取 “ / e t c / p a s s w d ” 的 请 求 ， 很 明 显 是 本 地 文 件 包 含 尝 试 。 如 上 面 的 截 图 所 示 ， 我 们 有 许 多 本 地 文 件 包 含 的 尝 试 ， 且 这 些 请 求 发 送 自 i p 地 址   1 2 7 . 0 . 0 . 1 。 很 多 时 候 ， 能 轻 易 通 过 日 志 看 出 是 否 是 自 动 化 扫 描 器 产 生 的 。 举 例 来 说 ： I B M   a p p s c a n 在 许 多 攻 击 p a y l o a d 中 使 用 “ a p p s c a n ” 这 个 词 。 所 以 ， 在 日 志 中 查 看 这 样 的 请 求 ， 我 们 基 本 就 可 以 判 断 有 人 在 使 用 a p p s c a n 扫 描 网 站 。 M i c r o s o f t   E x c e l 也 是 一 个 打 开 日 志 文 件 和 分 析 日 志 的 不 错 的 工 具 。 我 们 可 以 通 过 指 定 “ 空 格 ” 为 分 隔 符 以 用 e x c e l 打 开 日 志 文 件 。 当 我 们 手 头 没 有 日 志 分 析 工 具 时 ， 这 个 也 挺 好 用 的 。 除 了 这 些 关 键 词 ， 在 分 析 期 间 要 了 解 H T T P 状 态 代 码 的 基 础 知 识 。 以 下 是 关 于 H T T P 状 态 代 码 的 高 级 信 息 的 表 格 。 / v a r / l o g / a p a c h e 2 / a c c e s s . l o g
0 x 0 3   W e b   s h e l l s w e b s h e l l 是 网 站 / 服 务 器 的 另 一 个 问 题 。 w e b s h e l l 可 以 已 w e b   s e r v e r 权 限 控 制 服 务 器 。 在 一 些 情 况 下 ， 我 们 可 以 使 用 w e b s h e l l 来 访 问 所 有 放 在 相 同 服 务 器 上 的 其 他 站 点 。 以 下 截 图 显 示 了 M i c r o s o f t   E x c e l   中 开 启 相 同 的 a c c e s s . l o g 文 件 。 我 们 清 楚 地 看 到 有 一 个 叫 “ b 3 7 4 k . p h p ” 的 文 件 被 访 问 了 。 “ b 3 7 4 k ” 是 一 个 流 行 的 w e b s h e l l ， 因 此 这 个 文 件 是 很 可 疑 的 。 查 看 相 应 代 码 “ 2 0 0 ” ， 本 行 表 明 有 人 上 传 了 一 个 w e b s h e l l 并 访 问 了 它 。 在 许 多 情 况 下 ， 攻 击 者 重 命 名 w e b s h e l l 的 名 字 以 避 免 怀 疑 。 我 们 必 须 变 得 聪 明 点 ， 看 看 被 访 问 的 文 件 是 否 是 常 规 文 件 或 者 是 否 他 们 看 起 来 不 太 一 样 。 我 们 可 以 更 进 一 步 ， 如 果 任 何 文 件 看 起 来 可 疑 的 话 ， 还 可 以 查 看 文 件 类 型 和 时 间 戳 。 S Q L 注 入 是 w e b 应 用 中 最 常 见 的 漏 洞 之 一 。 大 多 数 学 习 w e b 应 用 安 全 的 人 是 从 学 习 S Q L 注 入 开 始 的 。 识 别 一 个 传 统 的 S Q L 注 入 很 容 易 ， 给 U R L 参 数 添 加 一 个 单 引 号 看 看 是 否 报 错 。 任 何 我 们 传 递 给 服 务 器 的 东 西 都 会 被 记 录 ， 并 且 可 以 朔 源 。 以 下 截 图 显 示 了 日 志 当 中 记 录 了 有 对 参 数 u s e r 传 入 单 引 号 测 试 是 否 有 S Q L 注 入 的 行 为 。 % 2 7 是 单 引 号 的 U R L 编 码 。 出 于 管 理 目 的 ， 我 们 还 可 以 运 行 查 询 监 视 来 查 看 数 据 库 中 的 哪 个 请 求 被 执 行 了 。 O n e   s i n g l e   q u o t e   f o r   t h e   w i n
如 果 我 们 观 察 以 上 图 片 ， 传 递 一 个 单 引 号 给 参 数 “ u s e r ” 的 S Q L 语 句 被 执 行 了 。 0 x 0 4   使 用 自 动 化 工 具 分 析 使 用 自 动 化 工 具 分 析 当 存 在 大 量 日 志 时 。 手 动 检 查 就 会 变 得 困 难 。 在 这 种 情 景 下 ， 除 了 一 些 手 动 检 查 之 外 我 们 可 以 使 用 自 动 化 工 具 。 虽 然 有 许 多 高 效 的 商 业 工 具 ， 但 是 我 要 向 你 们 介 绍 一 款 被 称 为 “ S c a l p ” 的 免 费 工 具 。 据 他 们 的 官 方 链 接 所 说 ， S c a l p 是 用 于 A p a c h e 服 务 器 ， 旨 在 查 找 安 全 问 题 的 日 志 分 析 器 。 主 要 理 念 是 浏 览 大 量 日 志 文 件 并 通 过 从 H T T P / G E T 中 提 取 可 能 的 攻 击 。 以 下 图 片 显 示 该 工 具 的 帮 助 。 如 我 们 在 上 图 所 见 ， 我 们 需 要 使 用 标 志 - l 来 提 供 要 分 析 的 日 志 文 件 。 同 时 ， 我 们 需 要 提 供 使 用 标 志 - f 提 供 一 个 过 滤 文 件 让 S c a l p 在 a c c e s s . l o g 文 件 中 识 别 可 能 的 攻 击 。 我 们 可 以 使 用 P H P I D S 项 目 中 的 过 滤 器 来 检 测 任 何 恶 意 的 尝 试 。 该 文 件 名 为 “ d e f a u l t _ f i l t e r . x m l   ” ， 可 以 从 以 下 链 接 中 下 载 ： 以 下 代 码 块 是 取 自 上 面 链 接 的 一 部 分 。 h t t p s : / / g i t h u b . c o m / P H P I D S / P H P I D S / b l o b / m a s t e r / l i b / I D S / d e f a u l t _ f i l t e r . x m l # ! h t m l < f i l t e r >             < i d > 1 2 < / i d >             < r u l e > < ! [ C D A T A [ ( ? : e t c / W * p a s s w d ) ] ] > < / r u l e >             < d e s c r i p t i o n > D e t e c t s   e t c / p a s s w d   i n c l u s i o n   a t t e m p t s < / d e s c r i p t i o n >             < t a g s >                     < t a g > d t < / t a g >                     < t a g > i d < / t a g >
它 是 使 用 X M L 标 签 定 义 的 规 则 集 来 检 测 不 同 的 攻 击 测 试 。 以 上 代 码 片 段 是 检 测 文 件 包 含 攻 击 尝 试 的 一 个 示 例 。 下 载 此 文 件 之 后 ， 把 它 放 入 S c a l p 的 同 一 文 件 夹 下 。 运 行 以 下 命 令 来 使 用 S c a l p 分 析 日 志 。 “ o u t p u t ” 是 报 告 保 存 的 目 录 。 如 果 不 存 在 的 话 ， 由 S c a l p 自 动 创 建 。 - h t m l 是 用 来 生 成 H T M L 格 式 的 报 告 。 如 我 们 在 上 图 看 到 的 那 样 ， S c a l p 结 果 表 明 它 分 析 了 4 0 0 1 行 ， 超 过 4 0 2 4 并 发 现 了 2 9 6 个 攻 击 模 式 。 运 行 上 述 命 令 后 在 输 出 目 录 内 生 成 报 告 。 我 们 可 以 在 浏 览 器 内 打 开 它 并 查 看 结 果 。 下 面 截 图 显 示 的 输 出 显 示 了 目 录 遍 历 攻 击 尝 试 的 一 小 部 分 。 M y S Q L 中 的 日 志 记 录 中 的 日 志 记 录 第 一 步 是 查 看 设 置 了 什 么 变 量 。 我 们 可 以 使 用 “ s h o w   v a r i a b l e s ; ” 完 成 ， 如 下 所 示 。 接 下 来 显 示 了 上 述 命 令 的 输 出 。                     < t a g > i d < / t a g >                     < t a g > l f i < / t a g >             < / t a g s >             < i m p a c t > 5 < / i m p a c t > < / f i l t e r > # ! b a s h p y t h o n   s c a l p - 0 . 4 . p y   – l   / v a r / l o g / a p a c h e 2 / a c c e s s . l o g   – f   f i l t e r . x m l   – o   o u t p u t   – h t m l
如 我 们 在 上 图 中 看 到 的 ， 日 志 记 录 已 开 启 。 该 值 默 认 为 O F F 。 这 里 另 一 个 重 要 的 记 录 是   “ l o g _ o u t p u t ” ， 这 是 说 我 们 正 在 把 结 果 写 入 到 文 件 中 。 另 外 ， 我 们 也 可 以 用 表 。 可 以 看 见 “ l o g _ s l o w _ q u e r i e s ” 为 O N 。 默 认 值 为 O F F 。 所 有 这 些 选 项 都 有 详 细 解 释 且 可 以 在 下 面 提 供 的 M y S Q L 文 档 链 接 里 直 接 阅 读 ： M y S Q L 的 查 询 监 控 的 查 询 监 控 请 求 日 志 记 录 从 客 户 端 处 收 到 并 执 行 的 语 句 。 默 认 记 录 是 不 开 启 的 ， 因 为 比 较 损 耗 性 能 。 可 以 从 M y S Q L 终 端 中 开 启 它 们 或 者 可 以 编 辑 M y S Q L 配 置 文 件 ， 如 下 图 所 示 。 我 正 在 使 用 V I M 编 辑 器 打 开 位 于 / e t c / m y s q l 目 录 内 的 “ m y . c n f ” 文 件 。 如 果 我 们 向 下 滚 动 ， 可 以 看 见 日 志 正 被 写 入 一 个 称 为 “ m y s q l . l o g ” 的 文 件 内 。 我 们 还 能 看 到 记 录 “ l o g _ s l o w _ q u e r i e s ”   ， 是 记 录 S Q L 语 句 执 行 花 了 很 长 时 间 的 日 志 。 现 在 一 切 就 绪 。 如 果 有 人 用 恶 意 查 询 数 据 库 ， 我 们 可 以 在 这 些 日 志 中 观 察 到 。 如 下 所 示 ： h t t p : / / d e v . m y s q l . c o m / d o c / r e f m a n / 5 . 0 / e n / s e r v e r - l o g s . h t m l
上 图 显 示 了 查 询 命 中 了 名 为 “ w e b s e r v i c e ” 的 数 据 库 并 试 图 使 用 S Q L 注 入 绕 过 认 证 。 0 x 0 5   更 多 日 志 记 录 更 多 日 志 记 录 默 认 地 ， A p a c h e 只 记 录 G E T 请 求 ， 要 记 录 P O S T 数 据 的 话 ， 我 们 可 以 使 用 一 个 称 为 “ m o d _ d u m p i o ” 的 A p a c h e 模 块 。 要 了 解 更 多 关 于 实 现 部 分 的 信 息 ， 请 参 考 以 下 链 接 ： 另 外 ， 我 们 可 以 使 用 “   m o d   s e c u r i t y ” 达 到 相 同 结 果 。 一 如 既 往 的 学 习 ， 一 如 既 往 的 整 理 ， 一 如 即 往 的 分 享 。 感 谢 支 持 “ 如 侵 权 请 私 聊 公 众 号 删 文 ” 为 方 便 技 术 交 流 、 接 收 粉 丝 建 议 ， 贴 出 了 运 营 小 哥 哥 的 微 信 ， 可 扫 码 加 因 为 种 种 原 因 ， 本 号 暂 不 建 群 ， 后 期 如 建 群 会 拉 各 位 大 佬 进 去 依 旧 是 限 时 加 ， 早 8 点 后 会 暂 时 关 闭 二 维 码 加 好 友 欢 迎 各 位 大 佬 加 好 友 扫 描 关 注 扫 描 关 注 L e m o n S e c h t t p : / / h t t p d . a p a c h e . o r g / d o c s / 2 . 2 / m o d / m o d _ d u m p i o . h t m l   h t t p : / / h t t p d . a p a c h e . o r g / d o c s / 2 . 2 / l o g s . h t m l

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理