搜索

[15656] 2020-07-27_Web攻击日志初探

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2020-07-27_Web攻击日志初探 W e b 攻 击 日 志 初 探 原 创   b b b b b b i g   F r e e B u f   2 0 2 0 - 0 7 - 2 7 第 一 章 、 概 述 第 一 章 、 概 述 前 段 时 间 偶 然 间 在 一 朋 友 处 获 得 了 多 个 系 统 的 w e b 日 志 ， 并 被 被 要 求 针 对 这 些 日 志 进 行 分 析 。 一 时 兴 起 ， 随 便 打 开 了 一 个 ， 打 开 后 发 现 日 志 数 量 极 大 ， 接 着 又 打 开 了 好 几 个 ， 发 现 每 个 系 统 的 日 志 量 都 极 大 的 。 起 初 准 备 找 w e b 日 志 分 析 工 具 ， 收 集 一 番 后 对 这 些 日 志 分 析 工 具 不 熟 悉 ， 因 此 凭 着 经 验 进 行 分 析 。 联 想 到 有 的 朋 友 可 能 会 右 这 方 面 的 需 求 ， 在 此 针 对 这 些 分 析 ， 我 在 此 进 行 分 享 。 第 二 章 、 攻 击 日 志 分 析 及 思 路 第 二 章 、 攻 击 日 志 分 析 及 思 路 开 始 攻 击 日 志 分 析 之 前 ， 首 先 我 们 需 要 了 解 到 有 哪 些 常 见 的 w e b 攻 击 日 志 ， 这 里 我 列 举 如 下 ： s q l 注 入 和 上 传 漏 洞 ， 后 文 中 也 主 要 针 对 这 两 类 日 志 进 行 分 析 。 2 . 1 、 、 W e b 日 志 中 数 据 格 式 日 志 中 数 据 格 式 在 开 始 进 行 w e b 日 志 分 析 之 前 ， 我 们 先 要 了 解 w e b 日 志 中 记 录 数 据 的 情 况 ， 这 里 我 将 w e b 日 志 记 录 的 类 容 列 举 如 下 ： 2 . 2 、 、 G E T 与 与 P O S T 请 求 包 在 请 求 包 在 w e b 日 志 中 记 录 的 区 别 日 志 中 记 录 的 区 别 了 解 w e b 日 志 记 录 的 的 数 据 格 式 后 ， 我 们 还 需 了 解 G E T 与 P O S T 请 求 在 w e b 日 志 中 数 据 记 录 的 情 况 。 首 先 我 们 先 看 一 下 G E T 数 据 在 w e b 日 志 中 的 记 录 形 式 ： 这 里 我 们 可 以 看 出 p o s t 数 据 请 求 在 w e b 日 志 中 记 录 的 格 式 如 下 ：
通 过 对 G E T 与 P O S T 请 求 包 进 行 对 比 ， 可 知 ， G E T 请 求 中 在 路 径 后 面 会 带 参 数 ， 而 P O S T 请 求 则 不 会 。 2 . 3 、 、 2 0 0 返 回 码 误 区 返 回 码 误 区 通 常 情 况 下 ， 一 个 w e b 日 志 文 件 中 有 大 量 访 问 日 志 ， 针 对 如 此 多 的 访 问 日 志 我 们 又 该 如 何 选 择 ？ 在 W e b 日 志 中 数 据 格 式 中 我 们 知 道 ， 有 返 回 码 这 条 数 据 ， 但 如 果 只 是 针 对 返 回 码 进 行 全 文 搜 索 ， 则 会 发 在 查 找 的 结 果 中 会 混 有 其 他 数 据 ， 因 此 我 们 针 对 协 议 版 本 和 返 回 码 一 起 搜 索 ， 可 以 得 到 我 们 需 要 的 数 据 。 搜 索 格 式 如 下 ： 这 里 我 针 对 2 0 0 返 回 码 存 在 的 误 区 进 行 一 下 阐 述 ， 尤 其 是 在 w e b 日 志 分 析 中 ， 2 0 0 返 回 码 只 代 表 服 务 器 针 对 请 求 作 出 了 回 应 ， 并 不 代 表 一 定 成 功 。 由 于 2 0 0 码 表 示 服 务 器 有 回 应 ， 因 此 我 们 分 析 的 主 要 是 2 0 0 返 回 码 。 2 . 4 、 工 具 使 用 、 工 具 使 用 打 开 一 个 w e b 日 志 的 方 式 有 很 多 ， 可 以 使 用 t x t ， 也 可 以 使 用 其 他 ， 这 里 我 使 用 N o t e p a d + + 。 接 下 来 开 始 攻 击 日 志 分 析 之 旅 。 2 . 5 、 、 s q l 注 入 日 志 分 析 注 入 日 志 分 析 首 先 我 们 要 知 道 s q l 注 入 有 哪 些 类 型 ， 不 同 类 型 s q l 注 入 的 攻 击 数 据 包 是 怎 样 的 ？ 通 常 情 况 下 s q l 注 入 有 如 下 几 类 ， p o s t 注 入 、 联 合 注 入 、 延 迟 注 入 、 基 于 错 误 的 注 入 等 ； 由 于 手 中 日 志 有 限 ， 进 进 行 一 下 日 志 进 行 分 析 （ 本 次 分 析 仅 针 对 G E T 型 请 求 进 行 分 析 ， P O S T 类 型 请 求 在 w e b 日 志 无 信 息 记 录 ） 。
联 合 注 入 联 合 注 入 通 常 情 况 下 在 请 求 的 数 据 中 会 包 含 u n i o n 这 个 单 词 ， 为 了 避 免 无 效 数 据 ， 因 此 我 们 先 针 对 2 0 0 码 进 行 一 次 过 滤 。 首 先 筛 选 出 返 回 码 为 2 0 0 的 日 志 条 数 ： 通 过 2 0 0 码 日 志 筛 选 后 我 们 可 以 获 得 需 要 的 相 关 日 志 ， 然 后 对 筛 选 出 的 日 志 进 行 查 看 ， 我 们 发 现 明 显 少 掉 大 部 分 数 据 ， 借 此 可 以 查 找 我 们 需 要 的 数 据 ， 如 下 ： 由 于 这 里 是 已 明 确 是 联 合 注 入 ， 因 此 我 们 可 以 在 第 二 次 对 全 网 进 行 日 志 搜 索 ， 可 针 对 u n i o n 一 词 进 行 搜 索 ：
其 他 注 入 日 志 分 析 针 对 其 他 注 入 日 志 ， 我 们 可 以 我 们 可 以 根 据 特 定 词 进 行 分 析 ， 如 可 以 通 过 s e l e c t 、 ’ 、 % 2 7 、 a n d 等 资 产 进 行 查 找 （ 有 其 他 更 好 经 验 者 也 可 以 联 系 我 进 行 分 享 ） 。 2 . 6 、 上 传 漏 洞 、 上 传 漏 洞 日 志 筛 选 过 程 依 旧 如 上 述 所 说 ， 查 找 到 相 关 2 0 0 日 志 后 ， 针 对 上 传 中 常 用 单 词 u p l o a d 和 u p l o a d s 进 行 搜 索 ， 详 细 如 下 ： 倘 若 日 志 量 大 ， 则 可 以 检 索 到 u p l o a d 或 u p l o a d s 后 在 对 s h e l l 脚 本 后 缀 进 行 检 索 ， 如 ： . j s p 、 . a s p 、 . p h p 等 ; 另 外 可 通 过 日 期 命 名 的 目 录 或 者 以 g e t 包 传 递 的 参 数 ， 例 如 p w d = c a i d a o $ c m d = w h o a m i 之 类 的 字 段 进 行 检 索 确 认 。 第 三 章 、 第 三 章 、 w e b 日 志 结 合 数 据 库 日 志 综 合 分 析 日 志 结 合 数 据 库 日 志 综 合 分 析 最 后 我 将 结 合 w e b 日 志 和 数 据 库 日 志 进 行 一 次 综 合 分 析 案 例 ， 希 望 对 大 家 有 帮 助 。 案 例 一 ： w e b 日 志 中 的 p o s t 请 求 结 合 数 据 库 信 息 分 析 通 过 对 日 志 进 行 查 看 ， 发 现 该 时 间 点 存 在 异 常 数 据 请 求 ， 通 过 w e b 日 志 却 无 法 查 看 详 细 信 息 ， 也 不 知 做 了 什 么 操 作 ， 如 图 ： 这 是 无 法 对 该 数 据 进 行 确 认 ， 但 根 据 经 验 认 为 这 个 信 息 不 正 常 ， 因 此 查 看 数 据 库 信 息 ， 通 过 w e b 操 作 时 间 ， 到 数 据 库 中 查 找 对 应 时 间 ， 通 过 对 比 ， 发 现 该 数 据 为 注 入 ， 如 图 ：
借 此 通 过 数 据 库 信 息 做 支 撑 ， 确 认 了 攻 击 类 型 ， 完 成 对 威 胁 的 识 别 。 案 例 二 ： w e b s h e l l 结 合 数 据 库 日 志 分 析 该 案 例 是 发 现 a d m i n 无 法 登 录 ， 通 过 对 数 据 库 日 志 查 看 ， 发 现 存 在 修 改 密 码 数 据 ： 通 过 对 修 改 时 间 进 行 确 认 ， 结 合 w e b 日 志 进 行 分 析 ， 发 现 ， 在 该 时 间 点 存 在 x i a o m a . p h p 文 件 ， 因 此 可 以 确 认 事 件 发 生 原 因 。 由 于 手 中 仅 有 日 志 信 息 ， 因 此 部 分 信 息 也 只 是 猜 测 ， 仅 供 参 考 。
第 四 章 、 总 结 第 四 章 、 总 结 W e b 攻 击 日 志 分 析 ， 主 要 是 针 对 各 类 漏 洞 利 用 中 常 见 数 据 和 字 符 进 行 查 找 ， 状 态 码 和 常 见 字 段 进 行 检 索 ， 若 有 好 的 建 议 也 可 以 私 聊 我 ， 感 谢 。 精 彩 推 荐 精 彩 推 荐 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理