搜索

[13826] 2019-03-04_基于Linux连接器的审计进程事件实现方案

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2019-03-04_基于Linux连接器的审计进程事件实现方案 基 于 L i n u x 连 接 器 的 审 计 进 程 事 件 实 现 方 案 z h o u q i a o   F r e e B u f   2 0 1 9 - 0 3 - 0 4 一 一   引 言 引 言 主 机 安 全 反 入 侵 检 测 的 核 心 数 据 包 含 命 令 、 网 络 、 文 件 三 大 类 型 ， 文 件 产 生 进 程 、 进 程 产 生 网 络 ， 从 进 程 的 角 主 机 安 全 反 入 侵 检 测 的 核 心 数 据 包 含 命 令 、 网 络 、 文 件 三 大 类 型 ， 文 件 产 生 进 程 、 进 程 产 生 网 络 ， 从 进 程 的 角 度 出 发 可 以 捕 获 到 最 多 的 安 全 事 件 ， 因 此 进 程 事 件 在 反 入 侵 检 测 中 是 最 重 要 安 全 感 知 数 据 ， 是 安 全 检 测 和 异 常 度 出 发 可 以 捕 获 到 最 多 的 安 全 事 件 ， 因 此 进 程 事 件 在 反 入 侵 检 测 中 是 最 重 要 安 全 感 知 数 据 ， 是 安 全 检 测 和 异 常 分 析 的 基 础 。 这 样 不 论 在 攻 击 事 前 的 弱 口 令 扫 描 或 暴 力 破 解 动 作 ； 还 是 事 中 的 反 弹 分 析 的 基 础 。 这 样 不 论 在 攻 击 事 前 的 弱 口 令 扫 描 或 暴 力 破 解 动 作 ； 还 是 事 中 的 反 弹 s h e l l 、 命 令 执 行 注 入 ； 或 事 、 命 令 执 行 注 入 ； 或 事 后 的 后 门 或 隐 藏 进 程 ， 都 可 以 依 赖 进 程 事 件 的 基 础 数 据 分 析 ， 同 时 根 据 不 同 的 攻 击 向 量 ， 多 维 护 分 析 出 安 全 事 后 的 后 门 或 隐 藏 进 程 ， 都 可 以 依 赖 进 程 事 件 的 基 础 数 据 分 析 ， 同 时 根 据 不 同 的 攻 击 向 量 ， 多 维 护 分 析 出 安 全 事 件 。 件 。 在 常 见 的 进 程 事 件 数 据 采 集 方 案 包 括 两 种 ， 第 一 种 内 核 模 块 h o o k ， 拦 截 系 统 调 用 f o r k 、 e x e c 等 ， 优 点 ： 不 易 被 绕 过 ， 缺 点 ： 方 案 过 重 ， 风 险 较 高 。 第 二 种 借 助 p r e l o a d 机 制 ， 拦 截 同 名 函 数 ， 优 点 ： 方 案 轻 量 ， 实 现 简 单 ， 缺 点 ： 对 部 分 安 全 场 景 不 能 覆 盖 。 本 文 提 供 了 第 三 种 方 案 ： 通 过 l i n u x 连 接 器 实 现 进 程 事 件 审 计 ， 由 l i n u x 内 核 提 供 的 接 口 ， 安 全 可 靠 ， 结 合 用 户 态 轻 量 级 n c p 应 用 程 序 ， 对 主 机 影 响 较 小 ， 并 且 能 覆 盖 更 多 安 全 场 景 。 二 二   实 现 方 案 实 现 方 案 1 、 l i n u x 内 核 提 供 连 接 器 模 块 与 进 程 事 件 收 集 机 制 ， 无 需 任 何 改 动 2 、 在 用 户 态 实 现 轻 量 级 n c p ( n e t l i n k   c o n n e c t o r   p r o c e s s ) 应 用 程 序 接 收 n e t l i n k 进 程 事 件 消 息 三 三   l i n u x 连 接 器 连 接 器 连 接 器 是 一 种 新 的 用 户 态 与 内 核 态 的 通 信 方 式 。 本 质 上 ， 连 接 器 是 一 种 n e t l i n k 通 信 ， 用 以 实 现 用 户 进 程 与 内 核 进 程 通 信 的 一 种 特 殊 的 进 程 间 通 信 ( I P C ) ，   连 接 器 最 常 见 应 用 是 进 程 事 件 连 接 器 。
l i n u x 内 核 从 2 . 6 . 1 5 版 本 开 始 支 持 连 接 器 ， 可 以 检 查 内 核 模 块 配 置 文 件 ( 例   / b o o t / c o n f i g - 3 . 1 0 . 0 - 3 2 7 . 3 6 . 3 . e l 7 . x 8 6 6 4   ) 是 否 配 置 C O N F I G C O N N E C T O R ， C O N F I G P R O C E V E N T S 确 定 。 3 . 1   连 接 器 内 核 模 块 连 接 器 内 核 模 块 连 接 器 内 核 模 块 实 现 核 心 代 码 主 要 在 : d r i v e r / c o n n e c t o r / c o n n e c t o r . c , d r i v e r / c o n n e c t o r / c n _ q u e u e . c c n a d d c a l l b a c k : 用 于 向 连 接 器 注 册 新 的 连 接 器 实 例 以 及 相 应 的 回 调 函 数 ， 参 数 i d   指 定 注 册 的 标 识   I D ， 参 数   n a m e   指 定 连 接 器 回 调 函 数 的 符 号 名 ， 参 数   c a l l b a c k   为 回 调 函 数 。 连 接 器 模 块 注 册 了 " c n p r o c " 的 连 接 器 实 例 , 并 设 置 c n p r o c m c a s t c t l 回 调 函 数 c n p r o c m c a s t c t l : 接 收 通 过 连 接 器 通 道 发 来 的 用 户 态 消 息 ， 主 要 处 理 P R O C C N M C A S T L I S T E N ， P R O C C N M C A S T _ I G N O R E 两 种 控 制 消 息 。 3 . 2   进 程 事 件 进 程 事 件 进 程 事 件 连 接 器 的 实 现 代 码 主 要 在 C O N F I G _ C O N N E C T O R = y C O N F I G _ P R O C _ E V E N T S = y i n t   c n _ a d d _ c a l l b a c k ( s t r u c t   c b _ i d   * i d ,   c o n s t   c h a r   * n a m e ,                         v o i d   ( * c a l l b a c k ) ( s t r u c t   c n _ m s g   * ,                                           s t r u c t   n e t l i n k _ s k b _ p a r m s   * ) ) v o i d   c n _ d e l _ c a l l b a c k ( s t r u c t   c b _ i d   * i d ) c n _ a d d _ c a l l b a c k ( & c n _ p r o c _ e v e n t _ i d ,                                     " c n _ p r o c " ,                                     & c n _ p r o c _ m c a s t _ c t l ) s t a t i c   v o i d   c n _ p r o c _ m c a s t _ c t l ( s t r u c t   c n _ m s g   * m s g ,                                     s t r u c t   n e t l i n k _ s k b _ p a r m s   * n s p ) {                 *                 m c _ o p   =   ( e n u m   p r o c _ c n _ m c a s t _ o p   * ) m s g - > d a t a ;                 s w i t c h   ( * m c _ o p )   {                 c a s e   P R O C _ C N _ M C A S T _ L I S T E N :                         a t o m i c _ i n c ( & p r o c _ e v e n t _ n u m _ l i s t e n e r s ) ;                         b r e a k ;                 c a s e   P R O C _ C N _ M C A S T _ I G N O R E :                         a t o m i c _ d e c ( & p r o c _ e v e n t _ n u m _ l i s t e n e r s ) ;                         b r e a k ;                 d e f a u l t :                         e r r   =   E I N V A L ;                         b r e a k ;                 }                 * }
d r i v e r s / c o n n e c t o r / c n _ p r o c . c c n n e t l i n k s e n d ： 用 于 向 用 户 态 发 送   n e t l i n k   消 息 ， 参 数   m s g   为 发 送 的   n e t l i n k   消 息 的 消 息 头 。 在 内 核 实 现 中 ， 进 程 创 建 、 执 行 、 退 出 的 系 统 调 用 s y s f o r k ,   s y s e x e c , s y s e x i t 最 终 都 会 通 过 c n n e t l i n k _ s e n d 发 送 消 息 到 用 户 态 在 p r o c f o r k c o n n e c t o r 、 p r o c e x e c c o n n e c t o r 、 p r o c e x i t c o n n e c t o r 都 是 从 内 核 进 程 数 据 结 构 t a s k _ s t r u c t 获 取 信 息 封 装 n e t l i n k 消 息 。 p r o c f o r k c o n n e c t o r 消 息 中 封 装 父 进 程 p i d 、 t g i d 和 当 前 进 程 p i d 、 t g i d 数 据 。 p r o c e x e c c o n n e c t o r 消 息 中 封 装 当 前 进 程 p i d 、 t g i d 数 据 。 p r o c e x i t c o n n e c t o r 消 息 中 封 装 当 前 进 程 p i d 、 t g i d 和 e x i t c o d e 、 e x i t s i g n a l 数 据 。 除 了 上 述 三 种 事 件 ， 还 有 进 程 c o r e d u m p 、 p t r a c e 、 i d 事 件 。 i n t   c n _ n e t l i n k _ s e n d ( s t r u c t   c n _ m s g   * m s g ,   u 3 2   _ _ g r o u p ,   g f p _ t   g f p _ m a s k ) s y s _ f o r k - > d o _ f o r k - > c o p y _ p r o c e s s - > p r o c _ f o r k _ c o n n e c t o r - > c n _ n e t l i n k _ s e n d s y s _ e x e c - > d o _ e x e c v e - > d o _ e x e c v e _ c o m m o n - > s e a r c h _ b i n a r y _ h a n d l e r - > p r o c _ e x e c _ c o n n e c t o r - > c n _ n e t l i n k _ s e n d s y s _ e x i t - > d o _ e x i t - > p r o c _ e x i t _ c o n n e c t o r - > c n _ n e t l i n k _ s e n d v o i d   p r o c _ f o r k _ c o n n e c t o r ( s t r u c t   t a s k _ s t r u c t   * t a s k )   {         *         e v - > w h a t   =   P R O C _ E V E N T _ F O R K ;         p a r e n t   =   r c u _ d e r e f e r e n c e ( t a s k - > r e a l _ p a r e n t ) ;         e v - > e v e n t _ d a t a . f o r k . p a r e n t _ p i d   =   p a r e n t - > p i d ;         e v - > e v e n t _ d a t a . f o r k . p a r e n t _ t g i d   =   p a r e n t - > t g i d ;         e v - > e v e n t _ d a t a . f o r k . c h i l d _ p i d   =   t a s k - > p i d ;         e v - > e v e n t _ d a t a . f o r k . c h i l d _ t g i d   =   t a s k - > t g i d ;         * } v o i d   p r o c _ e x e c _ c o n n e c t o r ( s t r u c t   t a s k _ s t r u c t   * t a s k ) {         *         e v - > w h a t   =   P R O C _ E V E N T _ E X E C ;         e v - > e v e n t _ d a t a . e x e c . p r o c e s s _ p i d   =   t a s k - > p i d ;         e v - > e v e n t _ d a t a . e x e c . p r o c e s s _ t g i d   =   t a s k - > t g i d ;         * } v o i d   p r o c _ e x i t _ c o n n e c t o r ( s t r u c t   t a s k _ s t r u c t   * t a s k ) {         *         e v - > w h a t   =   P R O C _ E V E N T _ E X I T ;         e v - > e v e n t _ d a t a . e x i t . p r o c e s s _ p i d   =   t a s k - > p i d ;         e v - > e v e n t _ d a t a . e x i t . p r o c e s s _ t g i d   =   t a s k - > t g i d ;         e v - > e v e n t _ d a t a . e x i t . e x i t _ c o d e   =   t a s k - > e x i t _ c o d e ;         e v - > e v e n t _ d a t a . e x i t . e x i t _ s i g n a l   =   t a s k - > e x i t _ s i g n a l ;         * }
3 . 3   n e t l i n k 消 息 格 式 消 息 格 式 对 于 进 程 事 件 连 接 器 ， 内 核 发 出 的 n e t l i n k 消 息 包 括   n e t l i n k 消 息 头 、 连 接 器 消 息 头 、 控 制 操 作 或 进 程 事 件 指 令 ， 下 图 中 各 控 制 消 息 和 进 程 事 件 消 息 格 式 。 四 四   n c p 用 户 态 实 现 用 户 态 实 现 n c p ( n e t l i n k   c o n n e c t o r   p r o c e s s )   实 现 主 要 与 内 核 建 立 n e t l i n k   c o n n e c t o r 连 接 ， 并 持 续 接 收 进 程 事 件 ， 解 析 进 程 数 据 。 4 . 1   连 接 建 立 连 接 建 立 S o c k e t :   n l f a m i l y 设 置 为   A F N E T L I N K ,   p r o t o 设 置 为   N E T L I N K _ C O N N E C T O R B i n d :   绑 定 地 址 f a m i l y 为 A F N E T L I N K ,   g r o u p s 为 C N I D X _ P R O C 4 . 2   打 开 进 程 连 接 器 开 关 打 开 进 程 连 接 器 开 关 该 步 骤 是 构 造 一 个 n e t l i n k 控 制 消 息 事 件 ， 通 知 内 核 模 块 打 开 进 程 连 接 器 开 关 。 4 . 3   接 收 进 程 事 件 接 收 进 程 事 件 *   n e t l i n k   h e a d e r   *   c o n n e c t o r   h e a d e r   *   c o n t r o l   o r   p r o c e s s   d a t a   * |       i d x - - - v a l         |     s e q - - - a c k - - - l e n   |                     d a t a                       | *         c o n t o r l   e v e n t           * |             f l a g s - - o p               | *           f o r k   e v e n t               * |   p t i d - - p p i d - - t i d - - p i d   | *           e x e c   e v e n t               * |               t i d - - p i d               | *                       e x i t   e v e n t                           * |   t i d - - p i d - - e x i t _ c o d e - - e x i t _ s i g n a l   | f d ,   e r r   : =   s y s c a l l . S o c k e t ( s y s c a l l . A F _ N E T L I N K ,   s y s c a l l . S O C K _ D G R A M ,   s y s c a l l . N E T L I N K _ C O N N E C T O R ) l s a . F a m i l y   =   s y s c a l l . A F _ N E T L I N K l s a . G r o u p s   =   C . C N _ I D X _ P R O C i f   e r r   =   s y s c a l l . B i n d ( f d ,   & l s a ) ;   e r r   ! =   n i l   {         s y s c a l l . C l o s e ( f d ) }         m s g . i d x   =   C . C N _ I D X _ P R O C         m s g . v a l   =   C . C N _ V A L _ P R O C         m s g . l e n   =   4         m s g . o p   =   C . P R O C _ C N _ M C A S T _ L I S T E N         s y s c a l l . S e n d t o ( f d ,   & m s g ,   0 ,   & l c a )
对 于   f o r k 、 e x e c 、 e x i t   事 件 ， 都 会 输 出 进 程 p i d 和 线 程 t i d ，   结 合 / p r o c / p i d ,   可 补 全 进 程 其 他 数 据 ， 如 e x e , c m d l i n e , c w d 等 4 . 4   进 程 数 据 进 程 数 据 测 试 反 弹 s h e l l 案 例 , 输 出 五 条 事 件 ( 3 条 E x e c , 2 条 F o r k ) ,   回 溯 整 个 过 程 . 重 点 关 注 E x e c 事 件 第 一 条 E x e c 事 件 ： s o c a t 进 程 ( p i d   5 8 6 0 ) 执 行 s o c a t   e x e c ,   进 程 详 细 信 息 :   e x e 为 / u s r / b i n / s o c a t ,   c m d l i n e : s o c a t   e x e c : b a s h   - l i , p t y , s t d e r r , s e t s i d , s i g i n t , s a n e   t c p : 1 0 . 8 9 . 9 3 . 1 1 : 8 0 1 1 第 二 条 E x e c 事 件 ： s o c a t 进 程   f o r k 出 子 进 程   b a s h ( p i d   5 8 6 1 )   执 行 b a s h   - l i ,   b a s h 进 程 详 细 信 息 ： e x e : / u s r / b i n / b a s h ,   c m d l i n e : b a s h   - l i 第 二 条 E x e c 事 件 ： b a s h 进 程   f o r k 出 子 进 程   c a t ( p i d   5 9 1 8 )   执 行 c a t   / e t c / p a s s w d ,   / u s r / b i n / c a t ,   c m d l i n e : c a t   / e t c / p a s s w d 根 据 上 述 5 条 事 件 ， 可 以 还 原 在 1 0 . 8 9 . 9 3 . 1 1 通 过 s o c a t 、 b a s h   - i 等 命 令 反 弹 进 程 s h e l l ,   并 获 取 主 机 p a s s w d 信 息 的 整 个 过 程 。 在 安 全 分 析 中 通 过 进 程 e x e 和 c m d l i n e 信 息 可 以 快 速 定 位 危 险 命 令 执 行 的 过 程 。 五 五   结 论 结 论 通 过 l i n u x 连 接 器 结 合 轻 量 级 用 户 态 应 用 程 序 n c p 能 够 实 时 获 取 l i n u x 进 程 事 件 ， 在 此 基 础 上 结 合 进 程 p r o c 目 录 下 各 信 息 , 如 / n e t / t c p , f d , s t a c k 等 ， 可 以 描 绘 出 更 详 尽 的 进 程 状 态 ， 为 主 机 安 全 反 入 侵 检 测 提 供 重 要 数 据 支 撑 ， 能 够 及 时 发 现 进 程 异 常 行 为 、 危 险 命 令 执 行 等 安 全 攻 击 事 件 。 f o r   {         n r ,   _ ,   e r r   : =   s y s c a l l . R e c v f r o m ( s e l f . f d ,   r b ,   0 )         e v   : =   p a r s e E v e n t ( n r )         s w i t c h   ( e v ） {                 c a s e   C . P R O C _ E V E N T _ F O R K :                 *                         g e t _ e x e ( p i d )                         g e t _ c m d l i n e ( p i d )                         g e t _ c w d ( p i d )                 *                 c a s e   C . P R O C _ E V E N T _ E X E C :                 *                 c a s e   C . P R O C _ E V E N T _ E X I T :                 *         } } E x e c :   { t i d : 5 8 6 0   p i d : 5 8 6 0 }   - >   p r o c e s s   e x e : / u s r / b i n / s o c a t ,   c m d l i n e : s o c a t   e x e c : b a s h   - l i , p t y , s t d e r r , s e t s i d , s i g i n t , s a n e   t c p : 1 0 . 8 9 . 9 3 . 1 1 : 8 0 1 1 ,   c w d : / h o m e / c n p t e s t F o r k :   { p t i d : 5 8 6 0   p p i d : 5 8 6 0   t i d : 5 8 6 1   p i d : 5 8 6 1 }   - >   p r o c e s s   e x e : / u s r / b i n / s o c a t ,   c m d l i n e : s o c a t   e x e c : b a s h   - l i , p t y , s t d e r r , s e t s i d , s i g i n t , s a n e   t c p : 1 0 . 8 9 . 9 3 . 1 1 : 8 0 1 1 ,   c w d : / h o m e / c n p t e s t E x e c :   { t i d : 5 8 6 1   p i d : 5 8 6 1 }   - >   p r o c e s s   e x e : / u s r / b i n / b a s h ,   c m d l i n e : b a s h   - l i ,   c w d : / h o m e / c n p t e s t F o r k :   { p t i d : 5 8 6 1   p p i d : 5 8 6 1   t i d : 5 9 1 8   p i d : 5 9 1 8 }   - >   p r o c e s s   e x e : / u s r / b i n / b a s h ,   c m d l i n e : b a s h   - l i ,   c w d : / h o m e / c n p t e s t E x e c :   { t i d : 5 9 1 8   p i d : 5 9 1 8 }   - >   p r o c e s s   e x e : / u s r / b i n / c a t ,   c m d l i n e : c a t   / e t c / p a s s w d ,   c w d : / h o m e / c n p t e s t
在 下 篇 文 章 会 介 绍 在 宿 主 机 层 针 对 d o c k e r 内 进 程 分 析 ， 敬 请 期 待 。 * 本 文 原 创 作 者 ： 本 文 原 创 作 者 ： z h o u q i a o ， 本 文 属 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理