搜索

[960] 2020-01-08_使用Web日志还原攻击路径

文档创建者：s7ckTeam
浏览次数：10
最后更新：2025-01-16
2020-01-08_使用Web日志还原攻击路径 使 用 W e b 日 志 还 原 攻 击 路 径 原 创   B y p a s s   B y p a s s   2 0 2 0 - 0 1 - 0 8 日 志 文 件 是 服 务 器 提 供 的 非 常 有 价 值 的 信 息 ， 几 乎 所 有 的 服 务 器 、 服 务 和 应 用 程 序 都 提 供 某 种 类 型 的 日 志 记 录 ， 用 来 记 录 服 务 或 应 用 程 序 运 行 时 发 生 的 事 件 和 操 作 。 日 志 文 件 为 我 们 提 供 了 服 务 器 行 为 的 精 确 视 图 以 及 关 键 信 息 ， 例 如 何 时 、 如 何 以 及 由 谁 访 问 了 服 务 器 。 这 类 信 息 可 以 帮 助 我 们 监 视 性 能 、 排 除 故 障 和 调 试 应 用 程 序 ， 并 帮 助 调 查 取 证 人 员 展 开 可 能 导 致 恶 意 活 动 的 攻 击 链 。 以 w e b 服 务 为 例 ， 访 问 日 志 记 录 了 所 有 对 W e b 服 务 器 的 访 问 活 动 。 假 设 访 问 者 访 问   ， 将 在 日 志 文 件 中 添 加 以 下 记 录 ： 上 述 日 志 显 示 ， I P 地 址 为 的 访 问 者 于 访 问 了 页 面 ， 并 且 访 问 成 功 。 这 个 信 息 可 能 不 太 重 要 ， 但 如 果 日 志 文 件 显 示 I P 为 的 访 问 者 在 访 问 页 面 ， 并 且 请 求 成 功 ， 该 怎 么 办 ？ 如 果 没 有 该 日 志 文 件 ， 我 们 可 能 永 远 不 会 知 道 有 人 发 现 并 运 行 了 网 站 上 的 受 限 脚 本 ， 从 而 转 储 数 据 库 。 在 确 定 了 日 志 文 件 是 一 项 关 键 资 产 之 后 ， 让 我 们 通 过 一 个 攻 击 案 例 来 进 行 w e b 日 志 安 全 分 析 ， 还 原 攻 击 路 径 。 攻 击 案 例 攻 击 案 例 假 设 我 们 管 理 的 W o r d P r e s s 网 站 遭 到 篡 改 ： 发 现 网 站 被 攻 击 之 后 ， 运 维 团 队 将 服 务 器 断 网 下 线 处 理 ， 保 持 系 统 及 其 日 志 的 当 前 状 态 ， 以 便 能 够 进 一 步 分 析 调 查 。 通 常 我 们 需 要 创 建 一 个 服 务 器 硬 盘 镜 像 备 份 ， 然 后 在 镜 像 虚 拟 机 做 一 些 操 作 去 溯 源 。 但 是 ， 由 于 仅 用 于 进 行 演 示 ， 在 这 种 情 况 下 ， 调 查 取 证 小 组 可 以 处 理 原 始 数 据 。 调 查 取 证 调 查 取 证 为 了 开 始 调 查 ， 我 们 需 要 确 定 要 寻 找 的 证 据 。 通 常 ， 攻 击 证 据 包 括 攻 击 者 直 接 访 问 隐 藏 或 异 常 文 件 ， 对 管 理 员 权 限 区 域 内 的 非 授 权 访 问 ， 远 程 执 行 代 码 ， S Q L 注 入 ， 文 件 包 含 ， 跨 站 点 脚 本 （ X S S ） 以 及 其 他 可 能 表 明 异 常 的 行 为 漏 洞 扫 描 或 侦 察 活 动 。 比 如 ， 我 们 的 W e b 服 务 器   可 以 有 效 记 录 访 问 来 源 。 可 以 按 天 生 成 保 存 ， 一 般 来 说 ， 如 果 网 站 在 某 一 天 遭 受 漏 洞 扫 描 ， 那 么 这 一 天 它 的 日 志 文 件 会 比 平 常 大 很 多 。 每 个 日 志 文 件 包 含 几 千 条 请 求 纪 录 ， 检 查 每 一 行 明 显 是 不 切 实 际 的 ， 因 此 我 们 需 要 过 滤 掉 一 些 可 能 无 关 的 数 据 ， 包 括 图 像 和 C S S 、 J S 等 资 源 文 件 。 由 于 网 站 正 在 运 行 ， 在 这 种 情 况 下 ， 我 们 可 以 通 过 关 键 字 过 滤     来 获 取 满 足 W o r d P r e s s 特 定 特 征 的 访 问 请 求 。 通 过 上 面 这 行 命 令 会 筛 选   ， 仅 显 示 包 含 、 以 及 P O S T 等 关 键 字 的 记 录 。 其 中 ， 是 W o r d P r e s s 的 管 理 后 台 ， 是 W o r d P r e s s 的 登 录 页 面 ， 表 示 使 用 P O S T 方 法 将 H T T P 请 求 发 送 到 服 务 器 ， 一 般 来 说 主 要 是 登 录 表 单 和 数 据 提 交 。 在 筛 选 之 后 的 结 果 中 ， 我 们 会 注 意 到 这 样 一 个 访 问 请 求 ： 我 们 看 到 I P : 成 功 访 问 了 W o r d P r e s s 管 理 界 面 。 a c c e s s . l o g w w w . e x a m p l e . c o m / m a i n . p h p 8 8 . 5 4 . 1 2 4 . 1 7   -   -   [ 1 6 / A p r / 2 0 1 9 : 0 7 : 4 4 : 0 8   + 0 1 0 0 ]   " G E T   / m a i n . p h p   H T T P / 1 . 1 "   2 0 0   2 0 3   " - "   " M o z i l l a / 5 . 0   ( W i n d o w s   N T   6 . 0 ;   W O W 6 4 ;   r v : 4 5 . 0 )   G e c k o / 2 0 1 0 0 1 0 1   F i r e f o x / 4 5 . 0 " 8 8 . 5 4 . 1 2 4 . 1 7 8 2 0 1 9 年 4 月 1 6 日 0 7 : 4 4 m a i n . p h p 8 8 . 5 4 . 1 2 4 . 1 7 8 2 0 1 9 年 4 月 1 6 日 0 7 : 4 4 d u m p _ d a t a b a s e . p h p a c c e s s . l o g   r o o t @ s e c u r e s e r v e r : / v a r / l o g / a p a c h e 2 #   l e s s   a c c e s s . l o g a c c e s s . l o g   8 4 . 5 5 . 4 1 . 5 7   -   -   [ 1 6 / A p r / 2 0 1 9 : 2 0 : 2 1 : 5 6   + 0 1 0 0 ]   " G E T   / j o h n / i n d e x . p h p   H T T P / 1 . 1 "   2 0 0   3 8 0 4   " - "   " M o z i l l a / 5 . 0   ( W i n d o w s   N T   6 . 0 ;   W O W 6 4 ;   r v : 4 5 . 0 )   G e c k o / 2 0 1 0 0 1 0 1   F i r e f o x / 4 5 . 0 " 8 4 . 5 5 . 4 1 . 5 7   -   -   [ 1 6 / A p r / 2 0 1 9 : 2 0 : 2 1 : 5 6   + 0 1 0 0 ]   " G E T   / j o h n / a s s e t s / j s / s k e l . m i n . j s   H T T P / 1 . 1 "   2 0 0   3 5 3 2   " h t t p : / / w w w . e x a m p l e . c o m / j o h n / i n d e x . p h p "   " M o z i l l a / 5 . 0   ( W i n d o w s   N T   6 . 0 ;   W O W 6 4 ;   r v : 4 5 . 0 )   G e c k o / 2 0 1 0 0 1 0 1   F i r e f o x / 4 5 . 0 " 8 4 . 5 5 . 4 1 . 5 7   -   -   [ 1 6 / A p r / 2 0 1 9 : 2 0 : 2 1 : 5 6   + 0 1 0 0 ]   " G E T   / j o h n / i m a g e s / p i c 0 1 . j p g   H T T P / 1 . 1 "   2 0 0   9 5 0 1   " h t t p : / / w w w . e x a m p l e . c o m / j o h n / i n d e x . p h p "   " M o z i l l a / 5 . 0   ( W i n d o w s   N T   6 . 0 ;   W O W 6 4 ;   r v : 4 5 . 0 )   G e c k o / 2 0 1 0 0 1 0 1   F i r e f o x / 4 5 . 0 " 8 4 . 5 5 . 4 1 . 5 7   -   -   [ 1 6 / A p r / 2 0 1 9 : 2 0 : 2 1 : 5 6   + 0 1 0 0 ]   " G E T   / j o h n / i m a g e s / p i c 0 3 . j p g   H T T P / 1 . 1 "   2 0 0   5 5 9 3   " h t t p : / / w w w . e x a m p l e . c o m / j o h n / i n d e x . p h p "   " M o z i l l a / 5 . 0   ( W i n d o w s   N T   6 . 0 ;   W O W 6 4 ;   r v : 4 5 . 0 )   G e c k o / 2 0 1 0 0 1 0 1   F i r e f o x / 4 5 . 0 " W o r d P r e s s a c c e s s . l o g r o o t @ s e c u r e s e r v e r : ~ # c a t   / v a r / l o g / a p a c h e 2 / a c c e s s . l o g   |   g r e p   - E   " w p - a d m i n | w p - l o g i n | P O S T   / " a c c e s s . l o g w p - a d m i n w p - l o g i n w p - a d m i n   w p - l o g i n   P O S T 8 4 . 5 5 . 4 1 . 5 7   -   -   [ 1 7 / A p r / 2 0 1 9 : 0 6 : 5 2 : 0 7   + 0 1 0 0 ]   " G E T   / w o r d p r e s s / w p - a d m i n /   H T T P / 1 . 1 "   2 0 0   1 2 3 4 9   " h t t p : / / w w w . e x a m p l e . c o m / w o r d p r e s s / w p - l o g i n . p h p "   " M o z i l l a / 5 . 0   ( W i n d o w s   N T   6 . 0 ;   W O W 6 4 ;   r v : 4 5 . 0 )   G e c k o / 2 0 1 0 0 1 0 1   F i r e f o x / 4 5 . 0 " 8 4 . 5 5 . 4 1 . 5 7
让 我 们 看 看 这 个 I P 地 址 的 用 户 还 做 了 什 么 ， 我 们 再 次 使 用 命 令 来 筛 选 。 发 现 以 下 有 趣 的 记 录 ： 我 们 来 进 一 步 分 析 这 些 记 录 。 攻 击 者 访 问 了 W o r d P r e s s 网 站 的 登 录 页 面 ： 攻 击 者 提 交 了 登 录 表 单 （ 使 用 P O S T 方 法 ） ， 并 被 重 定 向 （ 3 0 2   H T T P 状 态 代 码 ） 。 攻 击 者 被 重 定 向 到 （ W o r d P r e s s 管 理 后 台 ） ， 这 意 味 着 攻 击 者 已 成 功 通 过 了 身 份 验 证 。 攻 击 者 访 问 了 网 站 的 主 题 编 辑 器 ： 攻 击 者 试 图 编 辑 文 件 ， 攻 击 者 经 常 使 用 这 种 方 式 将 恶 意 代 码 写 入 文 件 ， 但 由 于 缺 少 文 件 写 入 权 限 ， 所 有 并 没 有 成 功 。 攻 击 者 访 问 了 插 件 安 装 程 序 。 攻 击 者 安 装 并 激 活 了 插 件 。 攻 击 者 使 用 插 件 上 传 了 r 5 7 . p h p ， 这 很 可 能 是 一 个 P H P   W e b   S h e l l 脚 本 。 日 志 表 明 ， 攻 击 者 访 问 了   ， 查 询 字 符 串 和 表 明 攻 击 者 通 过 脚 本 代 码 进 行 操 作 ， 但 并 未 发 现 任 何 有 趣 的 东 西 。 攻 击 者 的 最 后 一 个 动 作 是 通 过 插 件 编 辑 主 题 的 索 引 文 件 ， 并 将 其 内 容 替 换 为 。 根 据 上 述 信 息 ， 我 们 可 以 看 到 攻 击 者 的 行 为 时 间 表 ， 但 是 ， 目 前 还 有 一 个 问 题 没 有 弄 清 楚 ， 攻 击 者 是 如 何 获 得 登 录 凭 据 的 ？ 假 设 管 理 员 密 码 没 有 泄 漏 也 没 有 被 暴 力 破 解 ， 让 我 们 回 头 看 看 我 们 是 不 是 忽 略 了 什 么 信 息 。 在 当 前 的 中 并 未 发 现 任 何 有 关 管 理 员 密 码 泄 露 的 线 索 ， 但 我 们 可 以 查 看 所 有 存 档 的 文 件 ， 来 拼 凑 出 攻 击 者 的 行 为 轨 迹 。 首 先 ， 我 们 可 以 过 滤 日 志 出 包 含 I P 地 址 ： 的 日 志 记 录 。 我 们 发 现 ， 其 中 有 一 条 日 志 疑 似 S Q L 注 入 攻 击 的 记 录 ： g r e p r o o t @ s e c u r e s e r v e r : ~ # c a t   / v a r / l o g / a p a c h e 2 / a c c e s s . l o g   |   g r e p   8 4 . 5 5 . 4 1 . 5 7 8 4 . 5 5 . 4 1 . 5 7   -   -   [ 1 7 / A p r / 2 0 1 9 : 0 6 : 5 7 : 2 4   + 0 1 0 0 ]   " G E T   / w o r d p r e s s / w p - l o g i n . p h p   H T T P / 1 . 1 "   2 0 0   1 5 6 8   " - " 8 4 . 5 5 . 4 1 . 5 7   -   -   [ 1 7 / A p r / 2 0 1 9 : 0 6 : 5 7 : 3 1   + 0 1 0 0 ]   " P O S T   / w o r d p r e s s / w p - l o g i n . p h p   H T T P / 1 . 1 "   3 0 2   1 1 5 0   " h t t p : / / w w w . e x a m p l e . c o m / w o r d p r e s s / w p - l o g i n . p h p " 8 4 . 5 5 . 4 1 . 5 7   -   -   [ 1 7 / A p r / 2 0 1 9 : 0 6 : 5 7 : 3 1   + 0 1 0 0 ]   " G E T   / w o r d p r e s s / w p - a d m i n /   H T T P / 1 . 1 "   2 0 0   1 2 9 0 5   " h t t p : / / w w w . e x a m p l e . c o m / w o r d p r e s s / w p - l o g i n . p h p " 8 4 . 5 5 . 4 1 . 5 7   -   -   [ 1 7 / A p r / 2 0 1 9 : 0 7 : 0 0 : 3 2   + 0 1 0 0 ]   " P O S T   / w o r d p r e s s / w p - a d m i n / a d m i n - a j a x . p h p   H T T P / 1 . 1 "   2 0 0   4 5 4   " h t t p : / / w w w . e x a m p l e . c o m / w o r d p r e s s / w p - a d m i n / " 8 4 . 5 5 . 4 1 . 5 7   -   -   [ 1 7 / A p r / 2 0 1 9 : 0 7 : 0 0 : 5 8   + 0 1 0 0 ]   " G E T   / w o r d p r e s s / w p - a d m i n / t h e m e - e d i t o r . p h p   H T T P / 1 . 1 "   2 0 0   2 0 7 9 5   " h t t p : / / w w w . e x a m p l e . c o m / w o r d p r e s s / w p - a d m i n / " 8 4 . 5 5 . 4 1 . 5 7   -   -   [ 1 7 / A p r / 2 0 1 9 : 0 7 : 0 3 : 1 7   + 0 1 0 0 ]   " G E T   / w o r d p r e s s / w p - a d m i n / t h e m e - e d i t o r . p h p ? f i l e = 4 0 4 . p h p & t h e m e = t w e n t y s i x t e e n   H T T P / 1 . 1 "   2 0 0   8 0 9 2   " h t t p : / / w w w . e x a m p l e . c o m / w o r d p r e s s / w p - a d m i n / t h e m e - e d i t o r . p h p " 8 4 . 5 5 . 4 1 . 5 7   -   -   [ 1 7 / A p r / 2 0 1 9 : 0 7 : 1 1 : 4 8   + 0 1 0 0 ]   " G E T   / w o r d p r e s s / w p - a d m i n / p l u g i n - i n s t a l l . p h p   H T T P / 1 . 1 "   2 0 0   1 2 4 5 9   " h t t p : / / w w w . e x a m p l e . c o m / w o r d p r e s s / w p - a d m i n / p l u g i n - i n s t a l l . p h p ? t a b = u p l o a d " 8 4 . 5 5 . 4 1 . 5 7   -   -   [ 1 7 / A p r / 2 0 1 9 : 0 7 : 1 6 : 0 6   + 0 1 0 0 ]   " G E T   / w o r d p r e s s / w p - a d m i n / u p d a t e . p h p ? a c t i o n = i n s t a l l - p l u g i n & p l u g i n = f i l e - m a n a g e r & _ w p n o n c e = 3 c 6 c 8 a 7 f c a   H T T P / 1 . 1 "   2 0 0   5 6 9 8   " h t t p : / / w w w . e x a m p l e . c o m / w o r d p r e s s / w p - a d m i n / p l u g i n - i n s t a l l . p h p ? t a b = s e a r c h & s = f i l e + p e r m i s s i o n " 8 4 . 5 5 . 4 1 . 5 7   -   -   [ 1 7 / A p r / 2 0 1 9 : 0 7 : 1 8 : 1 9   + 0 1 0 0 ]   " G E T   / w o r d p r e s s / w p - a d m i n / p l u g i n s . p h p ? a c t i o n = a c t i v a t e & p l u g i n = f i l e - m a n a g e r % 2 F f i l e - m a n a g e r . p h p & _ w p n o n c e = b f 9 3 2 e e 5 3 0   H T T P / 1 . 1 "   3 0 2   4 5 1   " h t t p : / / w w w . e x a m p l e . c o m / w o r d p r e s s / w p - a d m i n / u p d a t e . p h p ? a c t i o n = i n s t a l l - p l u g i n & p l u g i n = f i l e - m a n a g e r & _ w p n o n c e = 3 c 6 c 8 a 7 f c a " 8 4 . 5 5 . 4 1 . 5 7   -   -   [ 1 7 / A p r / 2 0 1 9 : 0 7 : 2 1 : 4 6   + 0 1 0 0 ]   " G E T   / w o r d p r e s s / w p - a d m i n / a d m i n - a j a x . p h p ? a c t i o n = c o n n e c t o r & c m d = u p l o a d & t a r g e t = l 1 _ d 3 A t Y 2 9 u d G V u d A & n a m e % 5 B % 5 D = r 5 7 . p h p & F I L E S = & _ = 1 4 6 0 8 7 3 9 6 8 1 3 1   H T T P / 1 . 1 "   2 0 0   7 3 1   " h t t p : / / w w w . e x a m p l e . c o m / w o r d p r e s s / w p - a d m i n / a d m i n . p h p ? p a g e = f i l e - m a n a g e r _ s e t t i n g s " 8 4 . 5 5 . 4 1 . 5 7   -   -   [ 1 7 / A p r / 2 0 1 9 : 0 7 : 2 2 : 5 3   + 0 1 0 0 ]   " G E T   / w o r d p r e s s / w p - c o n t e n t / r 5 7 . p h p   H T T P / 1 . 1 "   2 0 0   9 0 3 6   " - " 8 4 . 5 5 . 4 1 . 5 7   -   -   [ 1 7 / A p r / 2 0 1 9 : 0 7 : 3 2 : 2 4   + 0 1 0 0 ]   " P O S T   / w o r d p r e s s / w p - c o n t e n t / r 5 7 . p h p ? 1 4   H T T P / 1 . 1 "   2 0 0   8 0 3 0   " h t t p : / / w w w . e x a m p l e . c o m / w o r d p r e s s / w p - c o n t e n t / r 5 7 . p h p ? 1 4 " 8 4 . 5 5 . 4 1 . 5 7   -   -   [ 1 7 / A p r / 2 0 1 9 : 0 7 : 2 9 : 2 1   + 0 1 0 0 ]   " G E T   / w o r d p r e s s / w p - c o n t e n t / r 5 7 . p h p ? 2 9   H T T P / 1 . 1 "   2 0 0   8 3 9 1   " h t t p : / / w w w . e x a m p l e . c o m / w o r d p r e s s / w p - c o n t e n t / r 5 7 . p h p ? 2 8 " 8 4 . 5 5 . 4 1 . 5 7   -   -   [ 1 7 / A p r / 2 0 1 9 : 0 7 : 5 7 : 3 1   + 0 1 0 0 ]   " P O S T   / w o r d p r e s s / w p - a d m i n / a d m i n - a j a x . p h p   H T T P / 1 . 1 "   2 0 0   9 4 9   " h t t p : / / w w w . m y w   e b s i t e . c o m / w o r d p r e   s s / w p - a d m i n / a d m i n . p h p ? p a g e = f i l e - m a n a g e r _ s e t t i n g s " 8 4 . 5 5 . 4 1 . 5 7   -   G E T   / w o r d p r e s s / w p - l o g i n . p h p   2 0 0 8 4 . 5 5 . 4 1 . 5 7   -   P O S T   / w o r d p r e s s / w p - l o g i n . p h p   3 0 2 w p - a d m i n 8 4 . 5 5 . 4 1 . 5 7   -   G E T   / w o r d p r e s s / w p - a d m i n /   2 0 0 8 4 . 5 5 . 4 1 . 5 7   -   G E T   / w o r d p r e s s / w p - a d m i n / t h e m e - e d i t o r . p h p   2 0 0 4 0 4 . p h p 8 4 . 5 5 . 4 1 . 5 7   -   G E T   / w o r d p r e s s / w p - a d m i n / t h e m e - e d i t o r . p h p ? f i l e = 4 0 4 . p h p & t h e m e =   t w e n t y s i x t e e n   2 0 0 8 4 . 5 5 . 4 1 . 5 7   -   G E T   / w o r d p r e s s / w p - a d m i n / p l u g i n - i n s t a l l . p h p   2 0 0 f i l e - m a n a g e r 8 4 . 5 5 . 4 1 . 5 7   -   G E T   / w o r d p r e s s / w p - a d m i n / u p d a t e . p h p ? a c t i o n = i n s t a l l - p l u g i n & p l u g i n =   f i l e - m a n a g e r   & _ w p n o n c e = 3 c 6 c 8 a 7 f c a   2 0 0 8 4 . 5 5 . 4 1 . 5 7   -   G E T   / w o r d p r e s s / w p - a d m i n / p l u g i n s . p h p ? a c t i o n = a c t i v a t e & p l u g i n = f i l e - m a n a g e r % 2 F f i l e - m a n a g e r . p h p & _ w p n o n c e = b f 9 3 2 e e 5 3 0   2 0 0 f i l e - m a n a g e r 8 4 . 5 5 . 4 1 . 5 7   -   G E T   / w o r d p r e s s / w p - a d m i n / a d m i n - a j a x . p h p ? a c t i o n = c o n n e c t o r &   c m d =   u p l o a d & t a r g e t = l 1 _ d 3 A t Y 2 9 u d G V u d A & n a m e % 5 B % 5 D = r 5 7 . p h p & F I L E S = & _ = 1 4 6 0 8 7 3 9 6 8 1 3 1   2 0 0 r 5 7 . p h p ? 1 ? 2 8 8 4 . 5 5 . 4 1 . 5 7   -   G E T   / w o r d p r e s s / w p - c o n t e n t / r 5 7 . p h p   2 0 0 8 4 . 5 5 . 4 1 . 5 7   -   P O S T   / w o r d p r e s s / w p - c o n t e n t / r 5 7 . p h p ? 1   2 0 0 8 4 . 5 5 . 4 1 . 5 7   -   G E T   / w o r d p r e s s / w p - c o n t e n t / r 5 7 . p h p ? 2 8   2 0 0 f i l e - m a n a g e r H A C K E D ！ 8 4 . 5 5 . 4 1 . 5 7   -   P O S T   / w o r d p r e s s / w p - a d m i n / a d m i n - a j a x . p h p   2 0 0   -   h t t p : / / w w w . e x a m p l e . c o m / w o r d p r e s s / w p - a d m i n / a d m i n . p h p ? p a g e = f i l e - m a n a g e r _ s e t t i n g s a c c e s s . l o g a c c e s s . l o g 8 4 . 5 5 . 4 1 . 5 7 8 4 . 5 5 . 4 1 . 5 7 -   -   [ 1 4 / A p r / 2 0 1 9 : 0 8 : 2 2 : 1 3   0 1 0 0 ]   " G E T   / w o r d p r e s s / w p - c o n t e n t / p l u g i n s / c u s t o m _ p l u g i n / c h e c k _ u s e r . p h p ? u s e r i d = 1   A N D   ( S E L E C T   6 8 1 0   F R O M ( S E L E C T   C O U N T ( * ) , C O N C A T ( 0 x 7 1 7 1 7 8 7 6 7 1 , ( S E L E C T   ( E L T ( 6 8 1 0 = 6 8 1 0 , 1 ) ) ) , 0 x 7 1 7 0 7 a 7 8 7 1 , F L O O R ( R A N D ( 0 ) * 2 ) ) x   F R O M   I N F O R M A T I O N _ S C H E M A . C H A R A C T E R _ S E T S   G R O U P   B Y   x ) a )   H T T P / 1 . 1 "   2 0 0   1 6 6   " - "   " M o z i l l a / 5 . 0   ( W i n d o w s ;   U ;   W i n d o w s   N T   6 . 1 ;   r u ;   r v : 1 . 9 . 2 . 3 )   G e c k o / 2 0 1 0 0 4 0 1   F i r e f o x / 4 . 0   ( . N E T   C L R   3 . 5 . 3 0 7 2 9 ) "
假 设 这 个 插 件 是 系 统 管 理 员 从 网 上 直 接 下 载 并 拷 贝 到 网 站 之 中 的 ， 脚 本 安 装 路 径 ： 通 过 分 析 文 件 ， 发 现 存 在 S Q L 语 句 拼 接 ， 导 致 网 站 存 在 S Q L 注 入 漏 洞 。 记 录 表 明 ， 攻 击 者 使 用 了 S Q L 注 入 自 动 化 工 具 来 查 找 数 据 库 名 称 ， 表 名 称 和 列 ， 日 志 中 的 记 录 将 类 似 于 以 下 内 容 ： 上 面 的 S Q L 代 码 非 常 有 力 地 表 明 W o r d P r e s s 数 据 库 已 被 盗 用 ， 并 且 该 S Q L 数 据 库 中 的 所 有 敏 感 信 息 都 有 可 能 被 泄 露 。 分 析 分 析 通 过 这 次 调 查 ， 我 们 还 原 了 攻 击 事 件 链 ： 不 过 仍 然 存 在 一 些 疑 问 ， 比 如 说 攻 击 者 到 底 是 谁 ？ 从 目 前 来 说 ， 我 们 只 知 道 攻 击 者 的 I P 地 址 ， 而 且 攻 击 者 一 般 都 会 使 用 代 理 服 务 器 或 匿 名 网 络 （ 例 如 T o r ） 来 掩 盖 其 真 实 的 I P 地 址 。 除 非 攻 击 者 留 下 了 与 他 真 实 身 份 有 关 的 证 据 ， 否 则 我 们 很 难 得 知 攻 击 者 的 真 实 身 份 。 通 过 日 志 分 析 ， 我 们 发 现 了 攻 击 者 的 攻 击 路 径 和 安 全 事 件 的 根 本 原 因 ： 管 理 员 所 使 用 的 那 款 自 定 义 W o r d P r e s s 插 件 中 存 在 S Q L 注 入 漏 洞 ， 导 致 攻 击 者 通 过 S Q L 注 入 漏 洞 获 取 管 理 员 账 号 密 码 ， 从 而 登 录 管 理 后 台 进 行 网 页 篡 改 。 修 复 S Q L 注 入 漏 洞 并 清 除 w e b s h e l l ， 从 备 份 文 件 中 恢 复 被 篡 改 的 文 件 ， 使 网 站 恢 复 正 常 。 在 上 述 虚 构 的 示 例 中 ， 攻 击 者 入 侵 后 的 处 理 其 实 是 非 常 草 率 的 ， 留 下 了 大 量 攻 击 痕 迹 和 取 证 证 据 ， 而 这 些 信 息 将 给 调 查 人 员 提 供 很 大 的 帮 助 。 但 在 真 实 的 攻 击 场 景 中 ， 攻 击 者 往 往 会 清 除 很 多 关 键 信 息 ， 这 势 必 会 加 大 调 查 人 员 的 取 证 难 度 。 注 ： 本 文 由 B y p a s s 翻 译 并 整 理 ， 文 章 来 源 ： h t t p s : / / w w w . a c u n e t i x . c o m / b l o g / a r t i c l e s / u s i n g - l o g s - t o - i n v e s t i g a t e - a - w e b - a p p l i c a t i o n - a t t a c k / 8 4 . 5 5 . 4 1 . 5 7 -   -   [ 1 4 / A p r / 2 0 1 9 : 0 8 : 2 2 : 1 3   0 1 0 0 ]   " G E T   / w o r d p r e s s / w p - c o n t e n t / p l u g i n s / c u s t o m _ p l u g i n / c h e c k _ u s e r . p h p ? u s e r i d = 1   A N D   ( S E L E C T   6 8 1 0   F R O M ( S E L E C T   C O U N T ( * ) , C O N C A T ( 0 x 7 1 7 1 7 8 7 6 7 1 , ( S E L E C T   ( E L T ( 6 8 1 0 = 6 8 1 0 , 1 ) ) ) , 0 x 7 1 7 0 7 a 7 8 7 1 , F L O O R ( R A N D ( 0 ) * 2 ) ) x   F R O M   I N F O R M A T I O N _ S C H E M A . C H A R A C T E R _ S E T S   G R O U P   B Y   x ) a )   H T T P / 1 . 1 "   2 0 0   1 6 6   " - "   " M o z i l l a / 5 . 0   ( W i n d o w s ;   U ;   W i n d o w s   N T   6 . 1 ;   r u ;   r v : 1 . 9 . 2 . 3 )   G e c k o / 2 0 1 0 0 4 0 1   F i r e f o x / 4 . 0   ( . N E T   C L R   3 . 5 . 3 0 7 2 9 ) " 8 4 . 5 5 . 4 1 . 5 7 -   -   [ 1 4 / A p r / 2 0 1 9 : 0 8 : 2 2 : 1 3   0 1 0 0 ]   " G E T   / w o r d p r e s s / w p - c o n t e n t / p l u g i n s / c u s t o m _ p l u g i n / c h e c k _ u s e r . p h p ? u s e r i d = ( S E L E C T   7 5 0 5   F R O M ( S E L E C T   C O U N T ( * ) , C O N C A T ( 0 x 7 1 7 1 7 8 7 6 7 1 , ( S E L E C T   ( E L T ( 7 5 0 5 = 7 5 0 5 , 1 ) ) ) , 0 x 7 1 7 0 7 a 7 8 7 1 , F L O O R ( R A N D ( 0 ) * 2 ) ) x   F R O M   I N F O R M A T I O N _ S C H E M A . C H A R A C T E R _ S E T S   G R O U P   B Y   x ) a )   H T T P / 1 . 1 "   2 0 0   1 6 6   " - "   " M o z i l l a / 5 . 0   ( W i n d o w s ;   U ;   W i n d o w s   N T   6 . 1 ;   r u ;   r v : 1 . 9 . 2 . 3 )   G e c k o / 2 0 1 0 0 4 0 1   F i r e f o x / 4 . 0   ( . N E T   C L R   3 . 5 . 3 0 7 2 9 ) " 8 4 . 5 5 . 4 1 . 5 7 -   -   [ 1 4 / A p r / 2 0 1 9 : 0 8 : 2 2 : 1 3   0 1 0 0 ]   " G E T   / w o r d p r e s s / w p - c o n t e n t / p l u g i n s / c u s t o m _ p l u g i n / c h e c k _ u s e r . p h p ? u s e r i d = ( S E L E C T   C O N C A T ( 0 x 7 1 7 1 7 8 7 6 7 1 , ( S E L E C T   ( E L T ( 1 3 9 9 = 1 3 9 9 , 1 ) ) ) , 0 x 7 1 7 0 7 a 7 8 7 1 ) )   H T T P / 1 . 1 "   2 0 0   1 6 6   " - "   " M o z i l l a / 5 . 0   ( W i n d o w s ;   U ;   W i n d o w s   N T   6 . 1 ;   r u ;   r v : 1 . 9 . 2 . 3 )   G e c k o / 2 0 1 0 0 4 0 1   F i r e f o x / 4 . 0   ( . N E T   C L R   3 . 5 . 3 0 7 2 9 ) " 8 4 . 5 5 . 4 1 . 5 7 -   -   [ 1 4 / A p r / 2 0 1 9 : 0 8 : 2 2 : 2 7   0 1 0 0 ]   " G E T   / w o r d p r e s s / w p - c o n t e n t / p l u g i n s / c u s t o m _ p l u g i n / c h e c k _ u s e r . p h p ? u s e r i d = 1   U N I O N   A L L   S E L E C T   C O N C A T ( 0 x 7 1 7 1 7 8 7 6 7 1 , 0 x 5 3 7 6 5 3 5 4 4 1 7 5 4 6 7 a 7 2 4 f , 0 x 7 1 7 0 7 a 7 8 7 1 ) , N U L L , N U L L - -   H T T P / 1 . 1 "   2 0 0   1 8 2   " - "   " M o z i l l a / 5 . 0   ( W i n d o w s ;   U ;   W i n d o w s   N T   6 . 1 ;   r u ;   r v : 1 . 9 . 2 . 3 )   G e c k o / 2 0 1 0 0 4 0 1   F i r e f o x / 4 . 0   ( . N E T   C L R   3 . 5 . 3 0 7 2 9 ) " / w o r d p r e s s / w p - c o n t e n t / p l u g i n s / c u s t o m _ p l u g i n / c h e c k _ u s e r . p h p c h e c k _ u s e r . p h p < ? p h p / / I n c l u d e   t h e   W o r d P r e s s   h e a d e r i n c l u d e ( ' / w o r d p r e s s / w p - h e a d e r . p h p ' ) ; g l o b a l   $ w p d b ; / /   U s e   t h e   G E T   p a r a m e t e r   ‘ u s e r i d ’   a s   u s e r   i n p u t $ i d = $ _ G E T [ ' u s e r i d ' ] ; / /   M a k e   a   q u e r y   t o   t h e   d a t a b a s e   w i t h   t h e   v a l u e   t h e   u s e r   s u p p l i e d   i n   t h e   S Q L   s t a t e m e n t $ u s e r s   =   $ w p d b - > g e t _ r e s u l t s (   " S E L E C T   *   F R O M   u s e r s   W H E R E   u s e r _ i d = $ i d " ) ; ? > a c c e s s . l o g / w o r d p r e s s / w p - c o n t e n t / p l u g i n s / m y _ c u s t o m _ p l u g i n / c h e c k _ u s e r . p h p ? u s e r i d = - 6 8 5 9   U N I O N   A L L   S E L E C T   ( S E L E C T   C O N C A T ( 0 x 7 1 7 1 7 8 7 6 7 1 , I F N U L L ( C A S T ( I D   A S   C H A R ) , 0 x 2 0 ) , 0 x 6 1 6 4 7 4 6 8 6 c 7 6 , I F N U L L ( C A S T ( d i s p l a y _ n a m e   A S   C H A R ) , 0 x 2 0 ) , 0 x 6 1 6 4 7 4 6 8 6 c 7 6 , I F N U L L ( C A S T ( u s e r _ a c t i v a t i o n _ k e y   A S   C H A R ) , 0 x 2 0 ) , 0 x 6 1 6 4 7 4 6 8 6 c 7 6 , I F N U L L ( C A S T ( u s e r _ e m a i l   A S   C H A R ) , 0 x 2 0 ) , 0 x 6 1 6 4 7 4 6 8 6 c 7 6 , I F N U L L ( C A S T ( u s e r _ l o g i n   A S   C H A R ) , 0 x 2 0 ) , 0 x 6 1 6 4 7 4 6 8 6 c 7 6 , I F N U L L ( C A S T ( u s e r _ n i c e n a m e   A S   C H A R ) , 0 x 2 0 ) , 0 x 6 1 6 4 7 4 6 8 6 c 7 6 , I F N U L L ( C A S T ( u s e r _ p a s s   A S   C H A R ) , 0 x 2 0 ) , 0 x 6 1 6 4 7 4 6 8 6 c 7 6 , I F N U L L ( C A S T ( u s e r _ r e g i s t e r e d   A S   C H A R ) , 0 x 2 0 ) , 0 x 6 1 6 4 7 4 6 8 6 c 7 6 , I F N U L L ( C A S T ( u s e r _ s t a t u s   A S   C H A R ) , 0 x 2 0 ) , 0 x 6 1 6 4 7 4 6 8 6 c 7 6 , I F N U L L ( C A S T ( u s e r _ u r l   A S   C H A R ) , 0 x 2 0 ) , 0 x 7 1 7 0 7 a 7 8 7 1 )   F R O M   w p . w p _ u s e r s   L I M I T   0 , 1 ) , N U L L , N U L L - -

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理