搜索

[877] 2018-09-03_Linux应急响应（二）：捕捉短连接

文档创建者：s7ckTeam
浏览次数：9
最后更新：2025-01-16
2018-09-03_Linux应急响应（二）：捕捉短连接 L i n u x 应 急 响 应 （ 二 ） ： 捕 捉 短 连 接 原 创   B y p a s s   B y p a s s   2 0 1 8 - 0 9 - 0 3 收 录 于 话 题   # 应 急 响 应 实 战 笔 记   , 1 5 个 0 x 0 0   前 言 前 言                 短 连 接 （ s h o r t   c o n n n e c t i o n ） 是 相 对 于 长 连 接 而 言 的 概 念 ， 指 的 是 在 数 据 传 送 过 程 中 ， 只 在 需 要 发 送 数 据 时 ， 才 去 建 立 一 个 连 接 ， 数 据 发 送 完 成 后 ， 则 断 开 此 连 接 ， 即 每 次 连 接 只 完 成 一 项 业 务 的 发 送 。   在 系 统 维 护 中 ， 一 般 很 难 去 察 觉 ， 需 要 借 助 网 络 安 全 设 备 或 者 抓 包 分 析 ， 才 能 够 去 发 现 。 0 x 0 1   应 急 场 景 应 急 场 景                 某 天 ， 网 络 管 理 员 在 出 口 W A F 检 测 到 某 台 服 务 器 不 断 向 香 港 I 发 起 请 求   ， 感 觉 很 奇 怪 ， 登 录 服 务 器 排 查 ， 想 要 找 到 发 起 短 连 接 的 进 程 。 0 x 0 2   日 志 分 析 日 志 分 析                 登 录 服 务 器 查 看 端 口 、 进 程 ， 并 未 发 现 发 现 服 务 器 异 常 ， 但 是 当 多 次 刷 新 端 口 连 接 时 ， 可 以 查 看 该 连 接 。   有 时 候 一 直 刷 这 条 命 令 好 十 几 次 才 会 出 现 ， 像 这 种 的 短 连 接 极 难 捕 捉 到 对 应 的 进 程 和 源 文 件 。 手 动 捕 捉 估 计 没 戏 ， 很 难 追 踪 ， 于 是 动 手 写 了 一 段 小 脚 本 来 捕 捉 短 连 接 对 应 的 p i d 和 源 文 件 。 脚 本 文 件 如 下 ：
运 行 结 果 如 下 ：   跑 了 三 次 脚 本 ， 可 以 发 现 短 连 接 每 次 发 起 的 进 程 P i d 一 直 在 变 ， 但 已 经 捕 捉 到 发 起 该 异 常 连 接 的 进 程 源 文 件 为   / u s r / l i b / n f s i o d 0 x 0 4   小 结 小 结 本 文 简 单 介 绍 了 短 连 接 以 及 捕 捉 短 连 接 源 文 件 的 技 巧 ， 站 在 安 全 管 理 员 的 角 度 ， 应 加 强 对 网 络 安 全 设 备 的 管 理 ， 在 网 络 层 去 发 现 更 多 在 系 统 层 很 难 察 觉 的 安 全 威 胁 。 本 文 由 B y p a s s 原 创 发 布 ， 转 载 请 保 留 出 处 。 欢 迎 关 注 我 的 个 人 微 信 公 众 号 ： B y p a s s - - ， 浏 览 更 多 精 彩 文 章 。 B y p a s s # ! / b i n / b a s h i p = 1 1 8 . 1 8 4 . 1 5 . 4 0 i = 1 w h i l e   : d o       t m p = ` n e t s t a t   - a n p l t | g r e p   $ i p | a w k   - F   ' [ / ] '   ' { p r i n t   $ 1 } ' | a w k   ' { p r i n t   $ 7 } ' `       # e c h o   $ t m p       i f   t e s t   - z   " $ t m p "       t h e n               ( ( i = i + 1 ) )         e l s e               f o r   p i d   i n   $ t m p ;   d o                       e c h o   " P I D :   " $ { p i d }                     r e s u l t = ` l s   - l h   / p r o c / $ p i d | g r e p   e x e `                     e c h o   " P r o c e s s :   " $ { r e s u l t }                     k i l l   - 9   $ p i d               d o n e               b r e a k       f i   d o n e e c h o   " T o t a l   n u m b e r   o f   t i m e s :   " $ { i }
A b o u t   M e 一 个 网 络 安 全 爱 好 者 ， 对 技 术 有 着 偏 执 狂 一 样 的 追 求 。 致 力 于 分 享 原 创 高 质 量 干 货 ， 包 括 但 不 限 于 ： 渗 透 测 试 、 W A F 绕 过 、 代 码 审 计 、 安 全 运 维 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理