设为首页收藏本站
切换到窄版

 找回密码
 立即注册
搜索
热搜: 活动 交友 discuz
Nmaps Club»论坛 › Pentests Wiki › Wiki › 护网 › [21178] 2020-08-05_如何从日志文件溯源出攻击手法？ ...
返回列表 发新帖
查看: 0|回复: 0

[21178] 2020-08-05_如何从日志文件溯源出攻击手法？

[复制链接]
s7ckTeam

6万

主题

-6万

回帖

-58

积分

管理员

积分
-58
发表于 5 天前 | 显示全部楼层 |阅读模式
2020-08-05_如何从日志文件溯源出攻击手法？ 如 何 从 日 志 文 件 溯 源 出 攻 击 手 法 ？ L e m o n S e c   2 0 2 0 - 0 8 - 0 5       本 文 讲 的 是 如 何 从 日 志 文 件 溯 源 出 攻 击 手 法 ？ 如 何 从 日 志 文 件 溯 源 出 攻 击 手 法 ？ ， 如 果 想 要 查 清 系 统 遭 到 黑 客 入 侵 的 原 因 或 漏 洞 ， 通 过 日 志 查 找 是 一 种 很 好 的 方 法 。 日 志 文 件 是 由 服 务 器 提 供 的 非 常 有 价 值 的 信 息 。 几 乎 所 有 的 服 务 器 ， 服 务 和 应 用 程 序 都 提 供 某 种 日 志 记 录 。 但 是 什 么 是 日 志 文 件 ？ 日 志 文 件 是 记 录 服 务 或 应 用 程 序 运 行 期 间 发 生 的 事 件 和 操 作 。       那 么 为 什 么 日 志 文 件 如 此 重 要 ？ 日 志 文 件 为 我 们 提 供 了 服 务 器 行 为 的 精 确 视 图 ， 以 及 有 关 正 在 访 问 服 务 器 的 时 间 ， 方 式 和 “ 由 谁 ” 的 关 键 信 息 。 这 种 信 息 可 以 帮 助 我 们 监 控 性 能 ， 排 除 故 障 和 调 试 应 用 程 序 ， 以 及 日 志 可 以 帮 助 取 证 调 查 人 员 分 析 导 致 恶 意 活 动 的 事 件 链 。           我 们 以 W e b 服 务 器 为 例 。 最 常 见 的 A p a c h e   H T T P   S e r v e r 将 提 供 两 个 主 要 的 日 志 文 件   –   a c c e s s . l o g 和 e r r o r . l o g 。 a c c e s s . l o g 记 录 所 有 文 件 请 求 。 如 果 访 问 者 请 求 w w w . e x a m p l e . c o m / m a i n . p h p ， 则 日 志 文 件 中 将 添 加 以 下 条 目 。         日 志 描 述 了 一 个 I P 地 址 为 8 8 . 5 4 . 1 2 4 . 1 7 8 的 访 问 者 在 2 0 1 6 年 4 月 1 6 日 0 7 : 4 4 请 求 了 m a i n . p h p 文 件 ， 请 求 成 功 。       你 可 能 会 认 为 这 些 信 息 并 没 有 什 么 意 义 ， 那 如 果 服 务 器 记 录 下 的 是 ： 一 个 访 问 者 I P ： 8 8 . 5 4 . 1 2 4 . 1 7 8 在 2 0 1 6 年 4 月 1 6 日 0 7 时 4 4 分 请 求 访 问 了 d u m p _ d a t a b a s e . p h p 文 件 ， 并 且 请 求 成 功 ， 这 可 能 意 味 着 系 统 被 入 侵 。       如 果 没 有 日 志 文 件 的 话 ， 你 可 能 从 来 都 不 会 知 道 谁 访 问 过 你 的 系 统 备 份 过 你 的 数 据 库 或 在 你 的 系 统 中 运 行 过 恶 意 脚 本 …       我 们 知 道 了 日 志 是 重 要 性 之 后 ， 我 们 来 看 一 下 在 日 常 工 作 中 ， 通 过 日 志 来 帮 助 识 别 黑 客 的 入 侵 “ 时 间 ” 、 " 方 式 " 、 " 攻 击 者 " 。 调 查 调 查   假 设 我 们 管 理 的 一 个 网 站 已 经 被 入 侵 了 。 我 们 还 假 设 该 网 站 最 新 的 W o r d P r e s s 网 站 ， 运 行 在 最 新 版 U b u n t u 服 务 器 上 。       发 现 网 站 被 攻 击 之 后 ， 取 证 团 队 迅 速 将 服 务 器 下 线 ， 以 便 进 行 下 一 步 的 分 析 调 查 。       完 成 对 服 务 器 的 隔 离 以 保 持 系 统 及 其 日 志 的 当 前 状 态 ， 阻 止 对 攻 击 者 的 远 程 访 问 （ 在 安 装 后 门 的 情 况 下 ） ， 以 及 防 止 与 任 何 其 他 网 络 机 器 的 交 互 。 证 据 证 据           在 开 始 调 查 之 前 ， 我 们 需 要 知 道 我 们 需 要 那 些 证 据 。 一 般 来 说 ， 攻 击 证 据 包 含 攻 击 者 对 文 件 的 访 问 记 录 、 对 管 理 员 权 限 区 域 内 的 非 授 权 访 问 、 远 程 代 码 执 行 、 S Q L 注 入 、 文 件 包 含 、 跨 站 脚 本 （ X S S ） 等 其 他 的 攻 击 行 为 ， 而 这 些 证 据 从 一 定 程 度 上 可 以 代 表 攻 击 者 所 进 行 的 漏 洞 扫 描 以 及 侦 察 活 动 。           比 如 ， 我 们 W e b 服 务 器 的 a c c e s s . l o g 可 用 的 。           a c c e s s . l o g 往 往 是 一 个 很 大 的 文 件 ， 通 常 包 含 几 千 条 请 求 纪 录 。       检 查 每 一 行 的 请 求 ， 是 没 有 任 何 必 要 的 ， 我 们 可 以 过 滤 掉 没 用 的 数 据 ， 通 常 包 括 资 源 文 件 ， 如 图 片 ， c s s ， 一 些 调 差 者 也 喜 欢 过 滤 掉 j a v a s c r i p t 文 件       然 而 ， 在 这 种 情 况 下 ， 由 于 网 站 正 在 运 行 W o r d P r e s s ， 所 以 我 们 将 使 用 稍 微 不 同 的 方 法 。 我 们 不 会 排 除 一 些 数 据 ， 而 是 会 a c c e s s . l o g 针 对 特 定 于 W o r d P r e s s 的 特 征 进 行 过 滤 。       这 行 命 令 会 将 a c c e s s . l o g 文 件 中 包 含 w p - a d m i n 、 w p - l o g i n 以 及 P O S T 等 关 键 字 的 记 录 筛 选 出 来 。 其 中 ， w p - a d m i n 是 W o r d P r e s s 的 默 认 管 理 员 文 件 夹 ， w p - l o g i n 是 W o r d P r e s s 的 登 陆 文 件 ， P O S T 方 法 表 明 发 送 至 服 务 器 端 的 H T T P 请 求 使 用 的 是 P O S T 方 法 ， 一 般 来 说 都 是 登 录 表 单 提 交 。         过 滤 结 果 包 含 多 条 数 据 ， 在 经 过 仔 细 分 析 之 后 ， 我 们 将 注 意 力 主 要 集 中 在 以 下 数 据 上 。                 我 们 可 以 看 到 ， I P 地 址 8 4 . 5 5 . 4 1 . 5 7 成 功 访 问 了 W o r d P r e s s 后 台 目 录 。   让 我 们 看 看 这 个 I P 地 址 的 用 户 还 有 什 么 。 我 们 再 次 使 用 g r e p 过 滤 该 I P 的 a c c e s s . l o g 。             发 现 下 有 趣 的 纪 录     8 8 . 5 4 . 1 2 4 . 1 7     -       -     [ 1 6   /   A p r   /   2 0 1 6 ： 0 7 ： 4 4 ： 0 8   + 0 1 0 0 ] “ G E T   / m a i n . p h p   H T T P   /   1 . 1 ” 2 0 0   2 0 3 “   -   ” “ M o z i l l a   /   5 . 0 （ W i n d o w s   N T   6 . 0 ;   W O W 6 4 ;   r v ： 4 5 . 0 ）   G e c k o   /   2 0 1 0 0 1 0 1   F i r e f o x   /   4 5 . 0 “ r o o t @ s e c u r e s e r v e r : / v a r / l o g / a p a c h e 2 #   l e s s   a c c e s s . l o g 8 4 . 5 5 . 4 1 . 5 7   -   -   [ 1 6 / A p r / 2 0 1 6 : 2 0 : 2 1 : 5 6   + 0 1 0 0 ]   " G E T   / j o h n / i n d e x . p h p   H T T P / 1 . 1 "   2 0 0   3 8 0 4   " - "   " M o z i l l a / 5 . 0   ( W i n d o w s   N T   6 . 0 ;   W O W 6 4 ;   r v : 4 5 . 0 )   G e c k o / 2 0 1 0 0 1 0 1   F i r e f o x / 4 5 . 0 " 8 4 . 5 5 . 4 1 . 5 7   -   -   [ 1 6 / A p r / 2 0 1 6 : 2 0 : 2 1 : 5 6   + 0 1 0 0 ]   " G E T   / j o h n / a s s e t s / j s / s k e l . m i n . j s   H T T P / 1 . 1 "   2 0 0   3 5 3 2   " h t t p : / / w w w . e x a m p l e . c o m / j o h n / i n d e x . p h p "   " M o z i l l a / 5 . 0   ( W i n d o w s   N T   6 . 0 ;   W O W 6 4 ;   r v : 4 5 . 0 )   G e c k o / 2 0 1 0 0 1 0 1   F i r e f o x / 4 5 . 0 " 8 4 . 5 5 . 4 1 . 5 7   -   -   [ 1 6 / A p r / 2 0 1 6 : 2 0 : 2 1 : 5 6   + 0 1 0 0 ]   " G E T   / j o h n / i m a g e s / p i c 0 1 . j p g   H T T P / 1 . 1 "   2 0 0   9 5 0 1   " h t t p : / / w w w . e x a m p l e . c o m / j o h n / i n d e x . p h p "   " M o z i l l a / 5 . 0   ( W i n d o w s   N T   6 . 0 ;   W O W 6 4 ;   r v : 4 5 . 0 )   G e c k o / 2 0 1 0 0 1 0 1   F i r e f o x / 4 5 . 0 " 8 4 . 5 5 . 4 1 . 5 7   -   -   [ 1 6 / A p r / 2 0 1 6 : 2 0 : 2 1 : 5 6   + 0 1 0 0 ]   " G E T   / j o h n / i m a g e s / p i c 0 3 . j p g   H T T P / 1 . 1 "   2 0 0   5 5 9 3   " h t t p : / / w w w . e x a m p l e . c o m / j o h n / i n d e x . p h p "   " M o z i l l a / 5 . 0   ( W i n d o w s   N T   6 . 0 ;   W O W 6 4 ;   r v : 4 5 . 0 )   G e c k o / 2 0 1 0 0 1 0 1   F i r e f o x / 4 5 . 0 " r o o t @ s e c u r e s e r v e r : ~ # c a t   / v a r / l o g / a p a c h e 2 / a c c e s s . l o g   |   g r e p   - E   " w p - a d m i n | w p - l o g i n | P O S T   / " 8 4 . 5 5 . 4 1 . 5 7   -   -   [ 1 7 / A p r / 2 0 1 6 : 0 6 : 5 2 : 0 7   + 0 1 0 0 ]   " G E T   / w o r d p r e s s / w p - a d m i n /   H T T P / 1 . 1 "   2 0 0   1 2 3 4 9   " h t t p : / / w w w . e x a m p l e . c o m / w o r d p r e s s / w p - l o g i n . p h p "   " M o z i l l a / 5 . 0   ( W i n d o w s   N T   6 . 0 ;   W O W 6 4 ;   r v : 4 5 . 0 )   G e c k o / 2 0 1 0 0 1 0 1   F i r e f o x / 4 5 . 0 " r o o t @ s e c u r e s e r v e r : ~ # c a t   / v a r / l o g / a p a c h e 2 / a c c e s s . l o g   |   g r e p   8 4 . 5 5 . 4 1 . 5 7 8 4 . 5 5 . 4 1 . 5 7   -   -   [ 1 7 / A p r / 2 0 1 6 : 0 6 : 5 7 : 2 4   + 0 1 0 0 ]   " G E T   / w o r d p r e s s / w p - l o g i n . p h p   H T T P / 1 . 1 "   2 0 0   1 5 6 8   " - " 8 4 . 5 5 . 4 1 . 5 7   -   -   [ 1 7 / A p r / 2 0 1 6 : 0 6 : 5 7 : 3 1   + 0 1 0 0 ]   " P O S T   / w o r d p r e s s / w p - l o g i n . p h p   H T T P / 1 . 1 "   3 0 2   1 1 5 0   " h t t p : / / w w w . e x a m p l e . c o m / w o r d p r e s s / w p - l o g i n . p h p " 8 4 . 5 5 . 4 1 . 5 7   -   -   [ 1 7 / A p r / 2 0 1 6 : 0 6 : 5 7 : 3 1   + 0 1 0 0 ]   " G E T   / w o r d p r e s s / w p - a d m i n /   H T T P / 1 . 1 "   2 0 0   1 2 9 0 5   " h t t p : / / w w w . e x a m p l e . c o m / w o r d p r e s s / w p - l o g i n . p h p " 8 4 . 5 5 . 4 1 . 5 7   -   -   [ 1 7 / A p r / 2 0 1 6 : 0 7 : 0 0 : 3 2   + 0 1 0 0 ]   " P O S T   / w o r d p r e s s / w p - a d m i n / a d m i n - a j a x . p h p   H T T P / 1 . 1 "   2 0 0   4 5 4   " h t t p : / / w w w . e x a m p l e . c o m / w o r d p r e s s / w p - a d m i n / " 8 4 . 5 5 . 4 1 . 5 7   -   -   [ 1 7 / A p r / 2 0 1 6 : 0 7 : 0 0 : 5 8   + 0 1 0 0 ]   " G E T   / w o r d p r e s s / w p - a d m i n / t h e m e - e d i t o r . p h p   H T T P / 1 . 1 "   2 0 0   2 0 7 9 5   " h t t p : / / w w w . e x a m p l e . c o m / w o r d p r e s s / w p - a d m i n / " 8 4 . 5 5 . 4 1 . 5 7   -   -   [ 1 7 / A p r / 2 0 1 6 : 0 7 : 0 3 : 1 7   + 0 1 0 0 ]   " G E T   / w o r d p r e s s / w p - a d m i n / t h e m e - e d i t o r . p h p ? f i l e = 4 0 4 . p h p & t h e m e = t w e n t y s i x t e e n   H T T P / 1 . 1 "   2 0 0   8 0 9 2   " h t t p : / / w w w . e x a m p l e . c o m / w o r d p r e s s / w p - a d m i n / t h e m e - e d i t o r . p h p " 8 4 . 5 5 . 4 1 . 5 7   -   -   [ 1 7 / A p r / 2 0 1 6 : 0 7 : 1 1 : 4 8   + 0 1 0 0 ]   " G E T   / w o r d p r e s s / w p - a d m i n / p l u g i n - i n s t a l l . p h p   H T T P / 1 . 1 "   2 0 0   1 2 4 5 9   " h t t p : / / w w w . e x a m p l e . c o m / w o r d p r e s s / w p - a d m i n / p l u g i n - i n s t a l l . p h p ? t a b = u p l o a d 8 4 . 5 5 . 4 1 . 5 7   -   -   [ 1 7 / A p r / 2 0 1 6 : 0 7 : 1 6 : 0 6   + 0 1 0 0 ]   " G E T   / w o r d p r e s s / w p - a d m i n / u p d a t e . p h p ? a c t i o n = i n s t a l l - p l u g i n & p l u g i n = f i l e - m a n a g e r & _ w p n o n c e = 3 c 6 c 8 a 7 f c a   H T T P / 1 . 1 "   2 0 0   5 6 9 8   " h t t p : / / w w w . e x a m p l e . c o m / w o r d p r e s s / w p - 8 4 . 5 5 . 4 1 . 5 7   -   -   [ 1 7 / A p r / 2 0 1 6 : 0 7 : 1 8 : 1 9   + 0 1 0 0 ]   " G E T   / w o r d p r e s s / w p - a d m i n / p l u g i n s . p h p ? a c t i o n = a c t i v a t e & p l u g i n = f i l e - m a n a g e r % 2 F f i l e - m a n a g e r . p h p & _ w p n o n c e = b f 9 3 2 e e 5 3 0   H T T P / 1 . 1 "   3 0 2   4 5 1   " 8 4 . 5 5 . 4 1 . 5 7   -   -   [ 1 7 / A p r / 2 0 1 6 : 0 7 : 2 1 : 4 6   + 0 1 0 0 ]   " G E T   / w o r d p r e s s / w p - a d m i n / a d m i n - a j a x . p h p ? a c t i o n = c o n n e c t o r & c m d = u p l o a d & t a r g e t = l 1 _ d 3 A t Y 2 9 u d G V u d A & n a m e % 5 B % 5 D = r 5 7 . p h p & F I L E S = & _ = 1 4 6 0 8 7 3 9 6 8 1 3 1 8 4 . 5 5 . 4 1 . 5 7   -   -   [ 1 7 / A p r / 2 0 1 6 : 0 7 : 2 2 : 5 3   + 0 1 0 0 ]   " G E T   / w o r d p r e s s / w p - c o n t e n t / r 5 7 . p h p   H T T P / 1 . 1 "   2 0 0   9 0 3 6   " - " 8 4 . 5 5 . 4 1 . 5 7   -   -   [ 1 7 / A p r / 2 0 1 6 : 0 7 : 3 2 : 2 4   + 0 1 0 0 ]   " P O S T   / w o r d p r e s s / w p - c o n t e n t / r 5 7 . p h p ? 1 4   H T T P / 1 . 1 "   2 0 0   8 0 3 0   " h t t p : / / w w w . e x a m p l e . c o m / w o r d p r e s s / w p - c o n t e n t / r 5 7 . p h p ? 1 4 " 8 4 . 5 5 . 4 1 . 5 7   -   -   [ 1 7 / A p r / 2 0 1 6 : 0 7 : 2 9 : 2 1   + 0 1 0 0 ]   " G E T   / w o r d p r e s s / w p - c o n t e n t / r 5 7 . p h p ? 2 9   H T T P / 1 . 1 "   2 0 0   8 3 9 1   " h t t p : / / w w w . e x a m p l e . c o m / w o r d p r e s s / w p - c o n t e n t / r 5 7 . p h p ? 2 8 " 8 4 . 5 5 . 4 1 . 5 7   -   -   [ 1 7 / A p r / 2 0 1 6 : 0 7 : 5 7 : 3 1   + 0 1 0 0 ]   " P O S T   / w o r d p r e s s / w p - a d m i n / a d m i n - a j a x . p h p   H T T P / 1 . 1 "   2 0 0   9 4 9   " h t t p : / / w w w . m y w   e b s i t e . c o m / w o r d p r e   s s / w p - a d m i n / a d m i n . p h p ? p a g e = f i l e - m a n a g e r _ s e t t i n g s
          我 们 来 分 析 一 下 这 些 记 录 。         攻 击 者 访 问 了 网 站 的 登 录 界 面 ：       攻 击 者 提 交 了 登 录 表 单 （ P O S T 方 法 ） ， 网 站 重 定 向 成 功 （ 3 0 2   H T T P 状 态 码 ） ：         攻 击 者 被 重 定 向 到 了 w p - a d m i n （ W o r d P r e s s 仪 表 盘 ） ， 这 意 味 着 攻 击 者 成 功 通 过 了 身 份 验 证 ：             攻 击 者 访 问 了 网 站 的 主 题 编 辑 器 ：         攻 击 者 尝 试 去 编 辑 4 0 4 . p h p 文 件 ， 很 多 攻 击 者 都 会 向 这 个 文 件 注 入 恶 意 代 码 ， 这 是 一 种 常 见 的 攻 击 技 巧 。 但 由 于 缺 少 文 件 写 入 权 限 ， 所 以 攻 击 者 没 能 成 功 ：           攻 击 者 还 访 问 了 插 件 安 装 器 ：           攻 击 者 安 装 并 激 活 了 f i l e - n a m a g e r 插 件 ：             攻 击 者 使 用 f i l e - n a m a g e r 插 件 上 传 了 r 5 7 . p h p             日 志 表 明 ， 攻 击 者 成 功 运 行 了 r 5 7   S h e l l 脚 本 。 查 询 字 符 串 ” ? 1 ” 和 ” ? 2 8 ” 表 明 攻 击 者 通 过 脚 本 代 码 进 行 了 网 站 导 航 ， 不 过 他 什 么 也 没 有 发 现 ：         根 据 上 述 信 息 。 我 们 得 到 了 攻 击 者 所 有 恶 意 活 动 的 时 间 轴 。 但 目 前 还 有 一 个 问 题 没 有 弄 清 楚 ， 即 攻 击 者 一 开 始 是 如 何 得 到 管 理 员 凭 证 的 ？         假 设 管 理 员 密 码 既 没 有 泄 漏 也 没 有 被 暴 力 破 解 ， 那 么 我 们 就 得 回 头 看 看 我 们 是 不 是 忽 略 了 什 么 信 息 。         当 前 这 份 a c c e s s . l o g 中 并 不 包 含 任 何 有 关 管 理 员 凭 证 得 线 索 ， 不 过 我 们 并 不 是 只 有 一 个 a c c e s s . l o g 文 件 可 以 调 查 。 A p a c h e   H T T P 服 务 器 中 还 提 供 了 很 多 其 他 的 日 志 文 件 ， 比 如 说 / v a r / l o g / a p a c h e 2 / 目 录 下 就 有 四 个 可 以 调 查 的 日 志 文 件 。 首 先 ， 我 们 可 以 过 滤 出 包 含 I P 地 址   8 4 . 5 5 . 4 1 . 5 7 的 日 志 条 目 。 我 们 发 现 ， 其 中 有 一 份 日 志 文 件 中 包 含 了 大 量 与 S Q L 注 入 攻 击 （ 貌 似 针 对 的 是 一 个 自 定 义 插 件 ） 有 关 的 记 录 信 息 ：       我 们 假 设 这 个 插 件 是 系 统 管 理 员 从 网 上 直 接 下 载 并 拷 贝 到 网 站 之 中 的 ， 而 这 个 脚 本 可 以 根 据 给 定 的 I D 来 查 询 用 户 的 合 法 性 。 该 插 件 在 网 站 的 主 页 面 中 提 供 了 一 个 表 单 ， 该 表 单 会 向 / w o r d p r e s s / w p - c o n t e n t / p l u g i n s / c u s t o m _ p l u g i n / c h e c k _ u s e r . p h p 发 送 一 个 A J A X   G E T 请 求 。         通 过 对 c h e c k _ u s e r . p h p 文 件 进 行 了 分 析 之 后 ， 我 们 发 现 这 个 脚 本 的 代 码 写 得 非 常 烂 ， 而 且 存 在 S Q L 注 入 漏 洞 ：         上 述 信 息 表 明 ， 攻 击 者 使 用 了 S Q L 注 入 工 具 来 利 用 这 个 插 件 所 带 来 的 S Q L 注 入 漏 洞 ， 而 且 这 款 漏 洞 利 用 工 具 尝 试 了 多 种 S Q L 注 入 技 术 来 枚 举 数 据 库 名 、 表 名 和 列 名 :             注 ： 有 关 S Q L 注 入 漏 洞 的 解 决 方 案 请 参 考 这 篇 文 章 。       上 述 信 息 足 以 表 明 网 站 的 W o r d P r e s s 数 据 库 遭 到 了 攻 击 ， 而 数 据 库 中 存 储 的 数 据 很 可 能 已 经 发 生 了 泄 露 。 分 析 分 析           通 过 此 次 调 查 ， 我 们 还 原 了 攻 击 事 件 链 。         不 过 仍 有 问 题 存 在 ， 比 如 说 攻 击 者 到 底 是 谁 ？ 目 前 来 说 ， 我 们 只 知 道 攻 击 者 的 I P 地 址 ， 而 且 攻 击 者 一 般 都 会 使 用 代 理 服 务 器 或 类 似 T o r 这 样 的 匿 名 网 络 来 掩 盖 其 真 实 的 I P 地 址 。 除 非 攻 击 者 留 下 了 与 他 真 实 身 份 有 关 的 证 据 ， 否 则 我 们 很 难 得 知 攻 击 者 的 真 实 身 份 。       在 对 日 志 记 录 进 行 了 分 析 之 后 我 们 得 知 ， 网 站 管 理 员 所 使 用 的 那 款 自 定 义 W o r d P r e s s 插 件 中 存 在 安 全 漏 洞 ， 并 导 致 了 S Q L 注 入 攻 击 的 发 生 。 但 如 果 网 站 在 真 正 上 线 之 前 进 行 了 完 整 的 安 全 漏 洞 测 试 的 话 ， 攻 击 者 肯 定 就 无 法 利 用 这 种 漏 洞 来 实 施 攻 击 了 。         在 上 面 这 个 我 虚 构 出 的 例 子 中 ， 攻 击 者 其 实 是 非 常 草 率 的 ， 因 为 他 留 下 了 大 量 攻 击 痕 迹 和 取 证 证 据 ， 而 这 些 信 息 将 给 调 查 人 员 提 供 很 大 的 帮 助 。 但 在 真 实 的 攻 击 场 景 中 ， 攻 击 者 可 不 会 留 下 多 少 有 用 的 信 息 。 8 4 . 5 5 . 4 1 . 5 7   -   -   [ 1 7 / A p r / 2 0 1 6 : 0 7 : 5 7 : 3 1   + 0 1 0 0 ]   " P O S T   / w o r d p r e s s / w p - a d m i n / a d m i n - a j a x . p h p   H T T P / 1 . 1 "   2 0 0   9 4 9   " h t t p : / / w w w . m y w   e b s i t e . c o m / w o r d p r e   s s / w p - a d m i n / a d m i n . p h p ? p a g e = f i l e - m a n a g e r _ s e t t i n g s 8 4 . 5 5 . 4 1 . 5 7   -   G E T   / w o r d p r e s s / w p - l o g i n . p h p   2 0 0 8 4 . 5 5 . 4 1 . 5 7   -   P O S T   / w o r d p r e s s / w p - l o g i n . p h p   3 0 2 8 4 . 5 5 . 4 1 . 5 7   -   G E T   / w o r d p r e s s / w p - a d m i n /   2 0 0 8 4 . 5 5 . 4 1 . 5 7   -   G E T   / w o r d p r e s s / w p - a d m i n / t h e m e - e d i t o r . p h p   2 0 0 8 4 . 5 5 . 4 1 . 5 7   -   G E T   / w o r d p r e s s / w p - a d m i n / t h e m e - e d i t o r . p h p ? f i l e = 4 0 4 . p h p & t h e m e =   t w e n t y s i x t e e n   2 0 0 8 4 . 5 5 . 4 1 . 5 7   -   G E T   / w o r d p r e s s / w p - a d m i n / p l u g i n - i n s t a l l . p h p   2 0 0 8 4 . 5 5 . 4 1 . 5 7   -   G E T   / w o r d p r e s s / w p - a d m i n / u p d a t e . p h p ? a c t i o n = i n s t a l l - p l u g i n & p l u g i n =   f i l e - m a n a g e r   & _ w p n o n c e = 3 c 6 c 8 a 7 f c a   2 0 0 8 4 . 5 5 . 4 1 . 5 7   -   G E T   / w o r d p r e s s / w p - a d m i n / p l u g i n s . p h p ? a c t i o n = a c t i v a t e & p l u g i n = f i l e - m a n a g e r % 2 F f i l e - m a n a g e r . p h p & _ w p n o n c e = b f 9 3 2 e e 5 3 0   2 0 0 8 4 . 5 5 . 4 1 . 5 7   -   G E T   / w o r d p r e s s / w p - a d m i n / a d m i n - a j a x . p h p ? a c t i o n = c o n n e c t o r &   c m d =   u p l o a d & t a r g e t = l 1 _ d 3 A t Y 2 9 u d G V u d A & n a m e % 5 B % 5 D = r 5 7 . p h p & F I L E S = & _ = 1 4 6 0 8 7 3 9 6 8 1 3 1   2 0 0 8 4 . 5 5 . 4 1 . 5 7   -   G E T   / w o r d p r e s s / w p - c o n t e n t / r 5 7 . p h p   2 0 0 8 4 . 5 5 . 4 1 . 5 7   -   P O S T   / w o r d p r e s s / w p - c o n t e n t / r 5 7 . p h p ? 1   2 0 0 8 4 . 5 5 . 4 1 . 5 7   -   G E T   / w o r d p r e s s / w p - c o n t e n t / r 5 7 . p h p ? 2 8   2 0 0 8 4 . 5 5 . 4 1 . 5 7 -     -     [ 1 4   /   A p r   /   2 0 1 6 ： 0 8 ： 2 2 ： 1 3   0 1 0 0 ] “ G E T   / w o r d p r e s s / w p - c o n t e n t / p l u g i n s / c u s t o m _ p l u g i n / c h e c k _ u s e r . p h p ? u s e r i d = 1   A N D （ S E L E C T   6 8 1 0   F R O M （ S E L E C T   C O U N T （ * ）   ， C O N C A T （ 0 x 7 1 7 1 7 8 7 6 7 1 8 4 . 5 5 . 4 1 . 5 7 -     -     [ 1 4   /   A p r   /   2 0 1 6 ： 0 8 ： 2 2 ： 1 3   0 1 0 0 ] “ G E T   / w o r d p r e s s / w p - c o n t e n t / p l u g i n s / c u s t o m _ p l u g i n / c h e c k _ u s e r . p h p ? u s e r i d = ( S E L E C T   7 5 0 5   F R O M （ S E L E C T   C O U N T （ * ） ， C O N C A T   （ 0 x 7 1 7 1 7 8 7 6 7 1 8 4 . 5 5 . 4 1 . 5 7 -     -     [ 1 4   /   A p r   /   2 0 1 6 ： 0 8 ： 2 2 ： 1 3   0 1 0 0 ] “ G E T   / w o r d p r e s s / w p - c o n t e n t / p l u g i n s / c u s t o m _ p l u g i n / c h e c k _ u s e r . p h p ? u s e r i d = ( S E L E C T   C O N C A T （ 0 x 7 1 7 1 7 8 7 6 7 1 ， （ S E L E C T （ E L T （ 1 3 9 9   =   /   / （ W i n d o w s ;   U ;   W i n d o w s   N T   6 . 1 ;   r u ;   r v ： 1 . 9 . 2 . 3 ） G e c k o   /   2 0 1 0 0 4 0 1   F i r e f o x   /   4 . 0 （ . N E T ）   C L R   3 . 5 . 3 0 7 2 9 ） “ 8 4 . 5 5 . 4 1 . 5 7 -     -     [ 1 4   /   A p r   /   2 0 1 6 ： 0 8 ： 2 2 ： 2 7   0 1 0 0 ] “ G E T   / w o r d p r e s s / w p - c o n t e n t / p l u g i n s / c u s t o m _ p l u g i n / c h e c k _ u s e r . p h p ? u s e r i d = 1   U N I O N   A L L   S E L E C T   C O N C A T （ 0 x 7 1 7 1 7 8 7 6 7 1 , 0 x 5 3 7 6 5 3 5 4 4 1 7 5 4 6 7 a 7 2 4 f < ? p h p / / I n c l u d e   t h e   W o r d P r e s s   h e a d e r i n c l u d e ( ' / w o r d p r e s s / w p - h e a d e r . p h p ' ) ; g l o b a l   $ w p d b ; / /   U s e   t h e   G E T   p a r a m e t e r   ‘ u s e r i d ’   a s   u s e r   i n p u t $ i d = $ _ G E T [ ' u s e r i d ' ] ; / /   M a k e   a   q u e r y   t o   t h e   d a t a b a s e   w i t h   t h e   v a l u e   t h e   u s e r   s u p p l i e d   i n   t h e   S Q L   s t a t e m e n t $ u s e r s   =   $ w p d b - > g e t _ r e s u l t s (   " S E L E C T   *   F R O M   u s e r s   W H E R E   u s e r _ i d = $ i d " ) ; ? >       / w o r d p r e s s / w p - c o n t e n t / p l u g i n s / m y _ c u s t o m _ p l u g i n / c h e c k _ u s e r . p h p ? u s e r i d = - 6 8 5 9   U N I O N   A L L   S E L E C T   ( S E L E C T   C O N C A T ( 0 x 7 1 7 1 7 8 7 6 7 1 , I F N U L L ( C A S T ( I D   A S   C H A R ) , 0 x 2 0 ) , 0 x 6 1 6 4 7 4 6 8 6 c 7 6 , I F N U L L 原 文 发 布 时 间 为 ： 2 0 1 7 年 9 月 8 日 本 文 作 者 ： 愣 娃 本 文 来 自 云 栖 社 区 合 作 伙 伴 嘶 吼 ， 了 解 相 关 信 息 可 以 关 注 嘶 吼 网 站 。 转 载 于 ： h t t p s : / / b l o g . c s d n . n e t / w e i x i n _ 3 4 1 3 0 3 8 9 / a r t i c l e / d e t a i l s / 9 0 3 6 0 6 0 0 ? u t m _ m e d i u m = d i s t r i b u t e . p c _ r e l e v a n t . n o n e - t a s k - b l o g - B l o g C o m m e n d F r o m M a c h i n e L e a r n P a i 2 - 8 . c h a n n e l _ p a r a m & d e p t h _ 1 - u t m _ s o u r c e = d i s t r i b u t e . p c _ r e l e v a n t . n o n e - t a s k - b l o g - B l o g C o m m e n d F r o m M a c h i n e L e a r n P a i 2 - 8 . c h a n n e l _ p a r a m
如 果 觉 得 文 章 对 你 有 帮 助 ， 请 支 持 下 点 击 右 下 角 “ 在 看 ”
回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver|手机版|小黑屋|Nmaps Club

GMT+8, 2025-1-23 10:45 , Processed in 0.196296 second(s), 31 queries .

Powered by Discuz! X3.5

© 2001-2025 Discuz! Team.

快速回复 返回顶部 返回列表