搜索

[15022] 2020-02-16_渗透痕迹分析随笔

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2020-02-16_渗透痕迹分析随笔 渗 透 痕 迹 分 析 随 笔 原 创   f r e e b u f 0 1   F r e e B u f   2 0 2 0 - 0 2 - 1 6 网 上 ， 关 于 入 侵 痕 迹 分 析 的 文 章 很 多 ， 在 此 将 个 人 工 作 中 常 用 的 一 些 方 法 技 巧 网 上 ， 关 于 入 侵 痕 迹 分 析 的 文 章 很 多 ， 在 此 将 个 人 工 作 中 常 用 的 一 些 方 法 技 巧 ( 班 门 弄 斧 了 班 门 弄 斧 了 ) ， 以 及 爬 过 的 坑 总 结 如 下 （ 当 然 ， 其 中 有 些 方 法 也 是 从 各 位 前 辈 的 经 验 中 学 习 的 ） 。 入 侵 痕 ， 以 及 爬 过 的 坑 总 结 如 下 （ 当 然 ， 其 中 有 些 方 法 也 是 从 各 位 前 辈 的 经 验 中 学 习 的 ） 。 入 侵 痕 迹 分 析 ， 不 外 乎 正 向 推 理 ， 和 逆 向 推 理 。 当 已 经 掌 握 部 分 线 索 时 ， 可 通 过 逆 向 推 理 ， 快 速 确 定 事 发 时 间 、 影 响 范 围 、 事 发 原 因 等 ； 当 没 有 明 确 的 线 索 ， 可 以 入 侵 者 的 视 角 ， 通 过 正 向 思 迹 分 析 ， 不 外 乎 正 向 推 理 ， 和 逆 向 推 理 。 当 已 经 掌 握 部 分 线 索 时 ， 可 通 过 逆 向 推 理 ， 快 速 确 定 事 发 时 间 、 影 响 范 围 、 事 发 原 因 等 ； 当 没 有 明 确 的 线 索 ， 可 以 入 侵 者 的 视 角 ， 通 过 正 向 思 维 进 行 推 理 ， 从 而 发 现 入 侵 行 为 ； 两 种 方 法 都 可 以 以 敏 感 文 件 、 敏 感 命 令 、 敏 感 维 进 行 推 理 ， 从 而 发 现 入 侵 行 为 ； 两 种 方 法 都 可 以 以 敏 感 文 件 、 敏 感 命 令 、 敏 感 I P 、 攻 击 特 征 关 键 字 为 线 索 ， 推 理 出 事 发 时 间 、 事 发 原 因 。 、 攻 击 特 征 关 键 字 为 线 索 ， 推 理 出 事 发 时 间 、 事 发 原 因 。 一 、 针 对 一 、 针 对 . b a s h _ h i s t o r y 的 分 析 的 分 析 在 对 日 志 进 行 例 行 安 全 分 析 时 ， 对 文 件 . b a s h _ h i s t o r y 的 分 析 必 不 可 少 ， 该 文 件 记 录 了 命 令 执 行 历 史 记 录 ， 通 过 该 文 件 ， 可 以 分 析 入 侵 者 执 行 了 哪 些 恶 意 操 作 （ 反 弹 s h e l l 、 提 权 、 信 息 收 集 、 修 改 文 件 隐 藏 后 门 、 添 加 后 门 账 号 、 挖 矿 木 马 特 喜 欢 的 添 加 计 划 任 务 、 以 当 前 s h e l l 为 跳 板 进 行 横 向 渗 透 、 删 除 日 志 文 件 ） 。 入 侵 者 获 得 的 命 令 s h e l l 是 哑 s h e l l 时 ， 为 了 提 高 交 互 性 ， 可 能 会 执 行 以 下 p y t h o n 语 句 反 弹 一 个 交 互 s h e l l 入 侵 者 获 得 反 弹 s h e l l 后 ， 可 能 会 执 行 相 关 的 提 权 命 令 ， 比 如 尝 试 s u i d 提 权 时 ， 可 能 会 通 过 f i n d 命 令 ， 查 找 设 置 了 S U I D 位 的 可 执 行 文 件 ， 或 者 尝 试 s u d o 提 权 时 ， 先 检 查 当 前 账 号 是 否 具 有 s u d o 权 限 入 侵 者 提 权 后 ， 可 能 会 通 过 c a t 、 m o r e 等 命 令 查 看 配 置 文 件 ， 收 集 各 种 敏 感 信 息 ， 通 过 u s e r a d d 或 者 a d d u s e r 命 令 添 加 后 门 账 号 ； 但 是 这 几 个 命 令 也 是 运 维 人 员 常 用 的 命 令 ， 因 此 要 配 合 命 令 执 行 的 时 间 来 进 一 步 分 析 ， 而 . b a s h _ h i s t o r y 文 件 中 记 录 的 时 间 是 以 u n i x 时 间 戳 形 式 记 录 ， 可 以 直 接 转 换 ； 或 者 直 接 修 改 p a s s w d 添 加 账 号 ， 因 此 当 p a s s w d 和 s h a d o w 这 两 个 文 件 发 生 修 改 时 ， 需 要 重 点 关 注 。 挖 矿 木 马 特 喜 欢 添 加 计 划 任 务 ， 每 次 碰 到 挖 矿 木 马 ， 通 过 计 划 任 务 排 查 ， 一 查 一 个 准 ， 添 加 计 划 任 务 的 命 令 如 下 : 入 侵 者 为 了 干 扰 排 查 ， 可 能 会 修 改 后 门 文 件 的 时 间 ， 比 如 通 过 如 下 命 令 ： 横 向 渗 透 方 面 ， 可 能 关 闭 i p t a b l e s 、 进 行 端 口 扫 描 、 搭 建 各 种 隧 道 等 命 令 ， 比 如 使 用 n c 或 者 n m a p ： 当 然 很 多 入 侵 者 干 脆 通 过 命 令 清 空 命 令 历 史 记 录 ， 或 者 直 接 将 整 个 . b a s h _ h i s t o r y 文 件 删 除 ， 但 最 后 一 条 清 除 历 史 记 录 的 命 令 或 者 删 除 文 件 的 命 令 会 保 留 下 来 上 面 针 对 . b a s h _ h i s t o r y 文 件 ， 进 行 安 全 分 析 时 ， 列 举 了 一 些 个 人 认 为 比 较 敏 感 的 特 征 ， 总 之 对 . b a s h _ h i s t o r y 进 行 安 全 审 计 时 ， 要 对 敏 感 命 令 、 敏 感 工 具 持 有 敏 锐 的 嗅 觉 。 部 分 人 员 日 常 工 作 中 ， 因 执 行 的 终 端 命 令 太 多 ， 通 过 上 下 方 向 键 查 找 历 史 命 令 ， 不 方 便 ， 于 是 习 惯 性 的 使 用 h i s t o r y   - c 清 除 ， 其 实 这 对 溯 源 工 作 带 来 了 很 大 的 阻 力 ， 因 此 不 建 议 使 用 h i s t o r y   - c 清 除 。 二 、 日 志 分 析 二 、 日 志 分 析 1 、 系 统 日 志 、 系 统 日 志 入 侵 痕 迹 分 析 ， 肯 定 少 不 了 各 种 日 志 的 分 析 。 s e c u r e 记 录 的 是 包 括 登 录 相 关 的 安 全 日 志 ， c r o n 记 录 的 计 划 任 务 日 志 。 安 全 日 志 和 计 划 任 务 日 志 文 件 名 可 能 后 面 会 接 日 期 （ 日 志 归 档 原 因 ） ， 因 此 为 防 遗 漏 ， 可 以 使 用 如 下 命 令 进 行 搜 索 当 尝 试 s s h 暴 力 破 解 溯 源 时 ， 可 用 如 下 命 令 ， 指 定 用 户 ， 对 I P 进 行 快 速 排 查 ； l a s t b 命 令 能 列 出 登 录 失 败 的 记 录 ， 整 条 命 令 的 作 用 就 是 找 出 对 r o o t 用 户 进 行 暴 力 破 解 的 i p ， 并 以 次 数 从 大 到 小 输 出 筛 选 出 可 疑 I P 后 ， 可 以 通 过 s e c u r e 日 志 ， 验 证 是 否 有 被 爆 破 成 功 ， 如 果 定 位 了 I P ， 事 发 时 间 也 相 应 的 能 定 位 ， 接 下 来 就 可 根 据 I P 和 时 间 ， 对 相 关 日 志 进 行 溯 源 分 析 2 、 数 据 库 日 志 、 数 据 库 日 志 有 时 候 找 不 知 道 日 志 文 件 的 存 放 目 录 ， 可 以 通 过 查 看 配 置 文 件 （ 如 m y s q l 的 配 置 文 件 文 件 m y . i n f ， t o m c a t 的 配 置 文 件 t o m c a t - u s e r . x m l ） 。 m y s q l 数 据 库 日 志 分 析 时 ， 账 号 暴 力 破 解 这 种 ， 可 以 参 考 s s h 爆 破 的 思 路 进 行 排 查 。 当 m y s q l 版 本 是 5 . 6 以 上 时 ， 可 以 尝 试 看 下 是 否 有 执 行 过 如 下 s q l 命 令 ， 有 时 候 通 过 m y s q l 进 行 u d f 提 权 ， 可 直 接 通 过 s q l 语 句 查 看 ， 添 加 了 什 么 函 数 附 带 提 一 下 ： m s s q l 的 日 志 ， 可 通 过 x p _ c m d s h e l l 这 个 关 键 字 ， 进 行 排 查 ； 因 为 当 获 取 的 数 据 权 限 为 s a 时 ， 可 利 用 x p _ c m d s h e l l 进 行 提 权 操 作 ； o r a c l e 日 志 ， 因 为 o r a c l e 数 据 库 的 特 性 ， 可 以 自 定 义 函 数 ， 这 个 给 入 侵 者 提 权 带 来 了 便 利 ， 因 此 对 o r a c l e 数 据 库 进 行 溯 源 时 ， 可 执 行 以 下 s q l 语 句 进 行 排 查 ： 3 、 、 w e b 应 用 日 志 应 用 日 志 关 于 w e b 应 用 日 志 ， 像 a c c 、 中 间 件 日 志 。 当 发 生 安 全 应 急 事 件 时 ， 像 后 台 暴 力 破 解 ， 同 样 可 以 参 考 s s h 账 号 暴 力 破 解 的 排 查 思 路 ， 进 行 快 速 排 查 。 当 入 侵 者 使 用 其 他 手 段 时 ， 一 样 可 以 先 分 析 a c c 日 志 ， 将 可 疑 I P 筛 选 出 来 ， 筛 选 出 I P 后 ， 再 配 合 响 应 状 态 码 ， 比 如 配 合 2 0 0 状 态 码 ， 分 析 入 侵 者 成 功 访 问 了 哪 些 地 址 ， 通 过 这 个 可 以 说 不 定 可 以 发 现 w e b s h e l l ， 当 然 很 多 系 统 都 有 自 定 义 的 报 错 页 面 ， 此 时 的 状 态 码 也 是 2 0 0 ； 配 合 3 0 2 ， 发 现 跳 转 到 后 台 的 日 志 ； 配 合 5 0 0 ， 发 现 j a v a 反 序 列 化 攻 击 记 录 。 总 之 要 根 据 应 用 系 统 的 实 际 情 况 ， 实 际 分 析 。 p y t h o n   - c   ' i m p o r t   p t y ;   p t y . s p a w n ( " / b i n / b a s h " ) ' f i n d   /   - p e r m   - u = s   - t y p e   f   2 > / d e v / n u l l s u d o   - i   或 者   s u d o   - l c r o n t a b   - e t o u c h   - d   或 者   t o u c h   - t n c   - z   - v   i p   p o r t                     使 用 系 统 自 带 的 n c 进 行 端 口 扫 描 s s h   - C f N g                                   搭 建 s s h 隧 道 e w   - s                                           使 用 e w 搭 建 隧 道 s e r v i c e   i p t a b l e s   s t o p           关 闭 i p t a b l e s h i s t o r y   - c r m   . b a s h _ h i s t o r y l s   / v a r / l o g / c r o n *                 l s   / v a r / l o g / s e c u r e * l a s t b   r o o t   |   a w k ' { p r i n t   $ 3 } '   |   s o r t   | u n i q   - c   | s o r t   - r n   | m o r e c a t   / v a r / l o g / s e c u r e *   |   g r e p   A c c e p t e d   |   g r e p   i p s e t   g l o b a l   g e n e r a l _ l o g   =   o n               开 启 日 志 记 录 （ 当 o u t f i l e 、 d u m p f i l e 无 法 导 出 s h e l l 时 ， 可 配 合 日 志 文 件 g e t s h e l l ） s e t   g l o b a l   g e n e r a l _ l o g _ f i l e   =   ' '     设 置 日 志 文 件 保 存 路 径 （ 通 常 保 存 到 w e b 目 录 ） s e l e c t   *   f r o m   m y s q l . f u n c s e l e c t   *   f r o m   U S E R _ O B J E C T S   w h e r e   O B J E C T _ T Y P E   =   ' F U N C T I O N '           # 排 查 自 定 义 的 函 数 s e l e c t   *   f r o m   U S E R _ P R O C E D U R E S                                                                   # 排 查 用 户 自 定 义 的 资 源 ， 包 括 函 数 和 对 象 s e l e c t   *   f r o m   U S E R _ S O U R C E   w h e r e   N A M E   =   ' G E T S H E L L '                           # 获 取 前 面 排 查 出 来 的 可 疑 对 象 的 源 代 码
或 者 使 用 各 种 攻 击 特 征 ， 对 日 志 进 行 快 速 排 查 ， 比 如 常 见 的 s q l 注 入 攻 击 ， 使 用 s e l e c t 关 键 字 ； x s s 攻 击 ， 使 用 s c r i p t 关 键 字 ； 任 意 文 件 读 取 、 包 含 、 下 载 ， 使 用 目 录 跳 转 特 征 “ . . / ” ； 也 可 根 据 当 前 系 统 用 到 的 中 间 件 如 w e b l o g i c 、 f a s t j s o n ， 当 前 或 以 往 出 现 的 高 危 漏 洞 ， 进 行 快 速 排 查 ； 如 w e b l o g i c 可 通 过 w l s - w s a t / C o o r d i n a t o r P o r t T y p e ， f a s t j s o n 可 通 过 J d b c R o w S e t I m p l 等 关 键 字 进 行 快 速 排 查 。 其 他 特 征 包 括 ： 常 用 w e b s h e l l 文 件 名 如 菜 刀 、 蚁 剑 、 冰 蝎 等 ； 部 分 工 具 u s e r - a g e n t 有 明 显 的 特 征 ， 如 a w v s 。 对 这 些 特 征 都 有 保 持 敏 锐 的 嗅 觉 。 w e b 应 用 日 志 分 析 ， 怎 么 少 的 的 时 下 很 火 的 业 务 风 控 安 全 ， 薅 羊 毛 。 这 种 行 为 都 发 生 在 特 定 的 某 个 u r l 地 址 ， 因 此 可 以 针 对 特 定 的 u r l 地 址 ， 快 速 筛 选 出 I P ， 筛 选 出 的 I P 肯 定 很 多 ， 同 样 先 进 行 排 序 ， 但 是 时 下 的 羊 毛 党 也 是 很 聪 明 且 舍 得 投 入 ， I P 地 址 频 繁 切 换 ， 因 此 推 荐 对 网 段 进 行 筛 选 ， 此 外 如 果 I P 是 云 I P 、 国 外 I P （ 这 得 根 据 业 务 进 行 排 查 ） ， 再 者 就 是 I P 访 问 时 间 异 常 ， 如 下 半 夜 。 三 、 流 量 进 程 分 析 三 、 流 量 进 程 分 析 当 日 志 分 析 ， 未 排 查 出 有 价 值 的 线 索 时 ， 则 从 流 量 进 程 方 向 分 析 ， 也 不 失 为 另 一 个 突 破 口 ； 先 使 用 n e t s t a t 命 令 查 看 端 口 信 息 ， p s 查 看 进 程 信 息 ， l s o f 查 看 进 程 和 端 口 关 联 情 况 。 查 找 隐 藏 进 程 流 量 分 析 ， 肯 定 会 碰 到 w i r e s h a r k 和 t c p d u m p 这 两 款 工 具 ， 网 上 都 有 详 细 的 使 用 教 程 ， 不 在 此 赘 述 。 四 、 隐 藏 后 门 排 查 四 、 隐 藏 后 门 排 查 隐 藏 后 门 排 查 ， 可 能 会 碰 到 库 文 件 劫 持 ， 关 于 库 文 件 劫 持 溯 源 ， 已 有 同 学 做 了 很 详 细 的 总 结 （ 学 习 了 ， 多 谢 ） ， 地 址 是 应 急 响 应 系 列 之 L i n u x 库 文 件 劫 持 技 术 分 析 。 另 外 可 以 使 用 d i f f 命 令 ， 将 整 个 w e b 目 录 和 备 份 目 录 进 行 对 比 ， 排 查 出 被 修 改 的 文 件 也 可 以 使 用 f i n d 命 令 配 合 m t i m e 、 c t i m e 参 数 ， 搜 索 事 发 时 间 时 间 段 ， 指 定 格 式 的 被 修 改 文 件 部 分 计 划 任 务 可 能 会 存 在 / v a r / s p o o l / c r o n 和 / e t c / c r o n . d 目 录 下 ， 并 且 部 分 日 志 并 不 是 r o o t 添 加 的 ， 而 是 其 他 具 备 r o o t 权 限 的 用 户 添 加 的 ， 可 使 用 如 下 命 令 ， 查 看 指 定 用 户 的 计 划 任 务 启 动 项 排 查 隐 藏 后 门 排 查 ， 肯 定 也 有 相 关 的 工 具 可 借 助 ， 如 D 盾 、 r k h u n t e r 、 c h k r o o t k i t 等 。 五 、 后 门 处 理 五 、 后 门 处 理 后 门 处 理 ， 有 一 个 要 注 意 的 点 是 ， 需 要 做 好 备 份 ， 不 能 一 股 脑 的 直 接 删 除 ， 因 为 如 果 是 在 系 统 或 应 用 的 文 件 中 插 入 恶 意 后 门 代 码 ， 直 接 删 除 ， 可 能 导 致 系 统 瘫 痪 。 建 议 从 备 份 或 者 官 网 下 载 ， 进 行 替 换 。 有 些 后 门 文 件 ， 即 便 停 掉 了 相 关 进 程 ， 仍 然 无 法 删 除 ， 可 用 c h a t t r 命 令 去 除 相 关 标 识 后 再 删 除 。 六 、 其 他 六 、 其 他 日 志 分 析 前 ， 要 确 认 日 志 记 录 时 间 使 用 是 格 林 尼 治 时 间 ， 还 是 我 们 常 用 的 东 八 区 时 间 ， 否 则 会 给 入 侵 痕 迹 分 析 带 来 很 大 的 误 导 。 一 定 要 保 护 好 日 志 ， 根 据 网 络 安 全 法 的 要 求 来 就 行 ， 否 则 巧 妇 难 为 无 米 之 炊 。 * 本 文 原 创 作 者 ： 本 文 原 创 作 者 ： f r e e b u f 0 1 ， 本 文 属 于 ， 本 文 属 于 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 精 彩 推 荐 精 彩 推 荐 l s o f   - i   : p o r t                         可 用 于 检 查 那 个 进 程 使 用 了 特 定 的 端 口 l s o f   - p   p i d                             检 查 p i d 进 程 调 用 情 况 s t r a c e   - f   - p   p i d                   跟 踪 分 析 p i d 进 程 ， 可 发 现 库 文 件 劫 持 p s   - e f   |   a w k ' { p r i n t   $ 2 } ' | s o r t   - n |   u n i q   >   t a s k l i s t 1 . t x t l s   / p r o c   |   s o r t   - n   |   u n i q   >   t a s k l i s t 2 . t x t d i f f   t a s k l i s t 1 . t x t   t a s k l i s t 2 . t x t d i f f   - u r N A   w e b d i r   w e b d i r _ b a k f i n d   / v a r / w w w / h t m l   - m t i m e   + 0   " * . j s p "               搜 索 w e b 目 录 下 2 4 小 时 内 被 修 改 的 j s p 文 件 c r o n t a b   - l   - u   u s e r n a m e c a t   / e t c / r c . l o c a l                         排 查 r c . l o c a l 文 件 中 添 加 的 启 动 项 命 令 l s   / e t c / i n i t . d                               排 查 i n i t . d 目 录 下 添 加 的 自 启 动 脚 本 l s   / e t c / p r o f i l e . d                         排 查 p r o f i l e . d 目 录 下 添 加 的 自 启 动 脚 本 c h k c o n f i g   - - l i s t                           c e n t o s 系 统 列 出 自 启 动 项 c h a t t r   - i a   s h e l l
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理