搜索

[16700] 2021-04-22_某单位攻防演练期间的一次应急响应

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2021-04-22_某单位攻防演练期间的一次应急响应 某 单 位 攻 防 演 练 期 间 的 一 次 应 急 响 应 原 创   Q S _ 永 夏   F r e e B u f   2 0 2 1 - 0 4 - 2 2 1   情 况 概 述 情 况 概 述 1 . 1   情 况 简 介 情 况 简 介 2 0 2 1 年 4 月 1 8 日 再 次 接 到 告 警 用 户 单 位 某 台 内 网 服 务 存 在 w e b 后 门 木 马 连 接 行 为 ， 需 立 即 进 行 应 急 处 置 。 1 . 2   时 间 线 时 间 线 本 次 安 全 事 件 攻 击 时 间 线 如 下 图 ， 攻 击 者 针 对 o a 系 统 进 行 攻 击 ， 攻 击 成 功 后 上 传 w e b 后 门 、 内 网 代 理 工 具 、 内 网 扫 描 工 具 至 o a 服 务 器 。 并 对 内 网 其 他 服 务 器 进 行 横 向 的 扫 描 利 用 。 1 . 3   分 析 结 论 分 析 结 论 分 析 结 果 如 下 ： 根 据 现 有 痕 迹 （ 日 志 和 文 件 ） 进 行 分 析 ， 4 月 1 4 日 2 2 点 5 9 分 左 右 攻 击 者 1 4 7 . 7 7 . 1 5 8 利 用 o f f i c e s e r v e r s e r v l e t 模 块 上 传 2 . j s p 后 门 文 件 ； 4 月 1 5 日 1 4 点 3 1 分 攻 击 者 在 / t m p 目 录 下 上 传 了 t e s t 1 内 网 渗 透 工 具 包 ， 根 据 时 间 线 推 理 攻 击 者 利 用 j s p 上 传 了 t e s t 1 工 具 包 ； 根 据 攻 击 者 上 传 w e b 后 门 前 的 操 作 进 行 关 联 分 析 ， 发 现 攻 击 者 在 上 传 w e b 后 门 前 均 有 访 问 o f f i c e s e r v e r s e r v l e t 行
为 ， 该 模 块 为 金 格 o f f i c e 控 件 模 块 ， 该 模 块 在 2 0 1 9 年 h v v 期 间 爆 出 存 在 文 件 上 传 0 d a y 漏 洞 ， 且 该 模 块 互 联 网 可 直 接 未 授 权 访 问 ； 4 月 1 5 日 1 6 点 5 9 分 左 右 攻 击 者 利 用 o f f i c e s e r v e r s e r v l e t 模 块 上 传 了 j s p 后 门 文 件 ； 4 月 1 6 日 至 1 7 日 期 间 ， 攻 击 者 利 用 t e s t 3 . j s p 依 次 上 传 了 t t . j s p 、 t s . j s p 、 a a a . j s p 、 t u n n e l . j s p 多 个 恶 意 文 件 。 1 . 4   应 急 处 置 应 急 处 置 根 据 上 述 分 析 结 论 ， 应 急 处 置 如 下 ： 已 删 除 被 攻 击 者 恶 意 上 传 至 o a 服 务 器 的 w e b 后 门 文 件 j s p 、 t t . j s p 、 t s . j s p 、 a a a . j s p 、 t u n n e l . j s p ； 已 删 除 被 攻 击 者 恶 意 上 传 的 内 网 渗 透 工 具 包 / t m p / t e s t 1 ； 1 . 5   处 理 建 议 处 理 建 议 根 据 上 述 分 析 结 论 和 应 急 处 置 结 果 ， 提 供 安 全 建 议 如 下 ： 建 议 关 闭 o a 系 统 对 互 联 网 的 直 接 服 务 ， 改 为 通 过 s s l v n 接 入 内 网 后 访 问 o a 系 统 。 同 时 建 议 类 似 o a 不 是 对 所 有 互 联 网 用 户 开 放 访 问 的 系 统 均 改 为 通 过 v x n 接 入 后 访 问 相 关 业 务 系 统 ； 建 议 禁 止 互 联 网 访 问 o f f i c e s e r v e r s e r v l e t 组 件 ； 建 议 梳 理 各 个 区 域 网 络 访 问 控 制 策 略 ， 仅 开 放 必 须 的 业 务 类 端 口 通 信 ， 防 止 攻 击 者 攻 陷 某 台 服 务 器 后 进 行 横 向 渗 透 造 成 多 区 域 多 主 机 失 陷 ； 建 议 修 改 o a 应 用 运 行 权 限 ， 若 w e b 运 行 权 限 为 r o o t ， 则 攻 击 者 通 过 w e b 应 用 漏 洞 利 用 成 功 后 即 获 得 服 务 器 管 理 员 r o o t 权 限 ； 建 议 定 期 巡 检 查 杀 w e b 应 用 系 统 后 门 和 操 作 系 统 病 毒 。 2   详 细 分 析 过 程 详 细 分 析 过 程 2 . 1   O A 系 统 服 务 器 系 统 服 务 器 2 . 1 . 1   日 志 分 析 日 志 分 析 根 据 I P S 告 警 情 况 ， 4 月 1 5 日 1 5 点 3 4 分 左 右 存 在 w e b s h e l l 上 传 行 为 触 发 告 警 ， 动 作 为 R E S E T 重 置 ， 怀 疑 此 刻 存 在 攻 击 行 为 ， 立 即 进 行 应 急 响 应 。 由 于 触 发 告 警 的 为 w e b 后 门 ， 优 先 排 查 w e b 日 志 。 根 据 w e b 日 志 记 录 情 况 ， 4 月 1 4 日 2 2 点 5 2 分 左 右 ， 攻 击 者 6 1 . 1 4 7 . 7 7 . 1 5 8 第 一 次 上 传 并 访 问 2 . j s p 木 马 文 件 ， 且 在 第 一 次 访 问 该 后 门 文 件 前 后 均 访 问 了 o f f i c e s e r v e r s e r v l e t 页 面 。
2 . j s p 文 件 修 改 时 间 为 4 月 1 4 日 2 2 点 5 9 分 ， 关 联 日 志 文 件 ， 攻 击 者 在 2 2 点 5 9 分 只 有 2 个 h t t p 请 求 ， 在 给 o f f i c e s e r v e r s e r v l e t 页 面 发 送 了 一 个 p o s t 请 求 3 秒 后 ， 立 即 发 送 了 一 个 g e t 请 求 访 问 后 门 文 件 是 否 存 在 。 此 前 攻 击 者 在 2 2 点 5 2 分 时 就 已 访 问 了 2 . j s p 文 件 ， 但 可 以 发 现 使 用 的 请 求 为 G E T 请 求 ， 此 时 的 2 . j s p 文 件 应 为 攻 击 者 上 传 的 测 试 j s p 代 码 文 件 ， 用 于 测 试 上 传 是 否 成 功 以 及 是 否 可 正 常 解 析 j s p 文 件 ， 随 后 又 通 过 o f f i c e s e r v e r s e r v l e t 文 件 后 上 传 覆 盖 了 之 前 的 2 . j s p 文 件 ， 可 以 看 到 攻 击 者 发 送 了 大 量 的 P O S T 请 求 至 2 . j s p 文 件 ， 此 时 攻 击 者 已 连 接 上 了 w e b 后 门 并 进 行 了 一 系 列 操 作 。 查 看 2 . j s p 文 件 内 容 和 文 件 m t i m e 和 c t i m e 如 下 ， 文 件 内 容 存 在 大 量 编 码 后 的 字 符 ， 无 法 确 认 其 功 能 。 将 其 上 传 至 威 胁 情 报 库 进 行 检 测 ， 发 现 该 文 件 可 免 杀 率 较 高 。 本 地 复 现 确 认 其 为 冰 蝎 w e b 后 门 文 件 。
通 过 对 网 站 路 径 下 新 增 文 件 进 行 搜 索 ， 发 现 . . / e d i t / 路 径 下 存 在 多 个 异 常 文 件 ， 文 件 修 改 时 间 最 早 为 4 月 1 5 日 1 6 点 5 9 分 ， 最 新 则 为 4 月 1 7 日 1 4 点 5 0 分 。 查 看 文 件 内 容 为 j s p 木 马 文 件 。 根 据 最 早 的 异 常 文 件 t e s t 3 . j s p 文 件 的 修 改 时 间 ， 进 行 w e b 日 志 关 联 排 查 ， 发 现 1 6 点 5 9 分 日 志 共 记 录 了 6 条 攻 击 者 记 录 ， 第 一 条 即 为 攻 击 者 1 1 7 . 1 3 6 . 3 8 . 1 5 3 尝 试 访 问 t e s t 3 . j s p 后 门 文 件 ， 响 应 码 为 5 0 0 即 访 问 失 败 ， 2 2 秒 后 再 次 发 送 了 一 个 p o s t 请 求 了 o f f i c e s e r v e r s e r v l e t 页 面 ， 随 后 4 条 记 录 均 为 攻 击 者 访 问 t e s t 3 . j s p 文 件 且 响 应 码 均 为 2 0 0 即 访 问 成 功 。
查 看 另 外 4 个 异 常 文 件 创 建 时 间 分 别 为 4 月 1 6 日 至 4 月 1 7 日 上 传 ， 关 联 日 志 进 行 分 析 。 根 据 t t . j s p 创 建 时 间 ， 关 联 日 志 分 析 ， 发 现 攻 击 者 在 持 续 访 问 t e s t 3 . j s p 后 直 接 访 问 了 t t . j s p 文 件 ， 无 其 他 访 问 请 求 。 结 合 t t . j s p 文 件 时 间 说 明 攻 击 者 是 通 过 t e s t 3 . j s p 上 传 的 t t . j s p 文 件 。 t s . j s p 文 件 同 上 a a a . j s p 文 件 同 上 t u n n e l . j s p 文 件 同 上 。
根 据 新 增 文 件 进 行 搜 索 ， 发 现 t m p 目 录 下 存 在 异 常 目 录 文 件 t e s t 1 , 该 目 录 下 文 件 均 为 内 网 渗 透 工 具 包 ， 用 于 将 O A 服 务 器 作 为 跳 板 攻 击 内 网 其 他 服 务 器 ， 从 而 扩 大 战 果 。 以 下 为 工 具 包 部 分 扫 描 结 果 ： 2 . 1 . 2   漏 洞 验 证 漏 洞 验 证 根 据 现 有 日 志 痕 迹 分 析 o f f i c e s e r v e r s e r v l e t 模 块 可 能 存 在 可 被 利 用 的 漏 洞 ， 访 问 该 模 块 发 现 可 被 互 联 网 未 授 权 访 问 到 。 （ 由 于 现 阶 段 处 于 h v v 期 间 ， 不 排 除 攻 击 者 掌 握 该 控 件 的 漏 洞 利 用 P O C 进 行 攻 击 。 ）
结 合 威 胁 情 报 分 析 ， 2 0 1 9 年 6 月 2 6 日 处 于 2 0 1 9 h w 行 动 期 间 致 远 O A 系 统 爆 出 0 d a y 漏 洞 ， 实 际 存 在 漏 洞 的 为 金 格 i w e b o f f i c e 控 件 ， 本 O A 系 统 使 用 的 是 相 同 的 控 件 。 2 . 1 . 3   附 附 l i n u x 常 规 检 查 项 常 规 检 查 项 在 完 成 w e b 层 面 的 入 侵 检 查 后 ， 也 需 对 系 统 层 面 进 行 入 侵 检 查 ， 防 止 攻 击 者 通 过 w e b 后 门 上 传 系 统 层 面 的 后 门 驻 留 程 序 等 。 1 . 1 . 1 . 1   网 络 连 接 网 络 连 接 查 看 系 统 监 听 端 口 ， 判 断 是 否 有 异 常 进 程 开 启 了 端 口 监 听 。 n e t s t a t   - a n t l p   |   g r e p   L I S T 查 看 已 建 立 连 接 ， 检 查 是 否 存 在 异 常 外 联 进 程 。 n e t s t a t   - a n t l p   |   g r e p   E S T
1 . 1 . 1 . 2   定 时 任 务 定 时 任 务 查 看 c r o n d 进 程 运 行 状 态 。 l i n u x 定 时 任 务 常 用 路 径 如 下 ： / v a r / s p o o l / c r o n /       # 使 用 r o o t 账 号 可 看 到 该 目 录 下 存 在 多 个 用 户 创 建 的 定 时 任 务 / e t c / c r o n t a b / e t c / c r o n . d / e t c / c r o n . d a i l y     / e t c / c r o n . h o u r l y     / e t c / m o n t h l y     / c r o n . w e e k l y 查 看 c r o n 日 志 ， 通 过 查 看 定 时 任 务 日 志 可 较 快 发 现 当 前 系 统 是 否 存 在 异 常 定 时 任 务 运 行 。 1 . 1 . 1 . 3   自 启 动 项 和 服 务 自 启 动 项 和 服 务 l i n u x 有 两 套 服 务 自 启 机 制 ， 分 别 为 i n i t 和 s y s t e m d ， 前 者 较 为 古 老 服 务 命 令 使 用 的 为 s e r v i c e ， 后 者 是 c e n t o s 7 以 后 开 始 使 用 的 一 套 服 务 自 启 机 制 使 用 的 命 令 为 s y s t e m c t l 。 i n i t 机 制 服 务 保 存 在 / e t c / r c . d / 下 ， 同 时 / e t c 目 录 下 默 认 存 在 i n i t 服 务 的 软 连 接 如 下 ： 运 维 常 使 用 的 启 动 项 / e t c / r c . l o c a l     / e t c / i n i t . d 均 为 / e t c / r c . d 目 录 下 文 件 的 软 连 接 文 件 。 真 实 启 动 项 路 径 为 / e t c / r c . d / ， 其 中 0 - 6 代 表 l i n u x 系 统 不 同 的 运 行 级 别 ， 一 般 命 令 行 登 录 为 运 行 级 别 3 ， 图 形 化 界 面 登 录 为 运 行 级 别 5 。
s y s t e m d 服 务 路 径 如 下 ， 优 先 级 高 的 单 元 配 置 文 件 会 覆 盖 优 先 级 低 的 ， 系 统 安 装 时 ， 默 认 会 将 单 元 文 件 存 放 于 / l i b / s y s t e m d / s y s t e m 目 录 ， 增 删 改 时 建 议 在 优 先 级 最 高 的 目 录 进 行 。 / e t c / s y s t e m d / s y s t e m / ， 该 目 录 下 的 一 些 . s e r v i c e 服 务 脚 本 是 / l i b / s y s t e m d / s y s t e m 的 软 连 接 / e t c / s y s t e m d / u s e r / / r u n / s y s t e m d / s y s t e m / （ 当 需 要 对 程 序 运 行 时 的 单 元 文 件 进 行 配 置 修 改 时 才 会 创 建 对 应 的 单 元 文 件 ） / u s r / l i b / s y s t e m d / s y s t e m / ， / l i b 是 u s r / l i b 的 软 连 接 / u s r / l i b / s y s t e m d / u s e r / 排 查 时 可 以 通 过 入 侵 时 间 进 行 关 联 ， 查 看 是 否 有 新 增 服 务 。 1 . 1 . 1 . 4   用 户 登 录 用 户 登 录 l a s t 命 令 可 以 查 看 系 统 每 次 登 录 的 账 号 、 i p 、 登 录 时 间 、 持 续 时 间 。 l a s t l o g 命 令 可 以 查 看 账 号 的 最 近 一 次 登 录 时 间 。
w 和 w h o 命 令 可 以 显 示 当 前 用 户 登 录 在 线 情 况 。 c e n t o s 系 统 登 录 日 志 默 认 路 径 为 / v a r / l o g / s e c u r e u b u n t u 系 统 登 录 日 志 默 认 位 于 / v a r / l o g / a u t h . l o g c a t   s e c u r e - 2 0 2 1 0 1 2 1   |   g r e p   F a i l e d   可 查 看 当 前 系 统 日 志 是 否 存 在 大 量 登 录 失 败 记 录 ， 即 爆 破 行 为 。 1 . 1 . 1 . 5   用 户 账 号 用 户 账 号 l i n u x 用 户 账 号 文 件 所 在 路 径 为 / e t c / p a s s w d 通 过 如 下 命 令 可 以 查 看 该 文 件 m t i m e 是 否 被 修 改 ， 攻 击 者 新 增 后 门 账 号 时 此 文 件 时 间 会 被 修 改 。 通 过 如 下 命 令 可 查 看 当 前 系 统 可 被 登 录 的 账 号 。 若 账 号 无 需 使 用 建 议 删 除 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理