搜索

[21408] 2020-11-13_【CTF攻略】CTF线下防御战—让你的靶机变成“铜墙铁壁”

文档创建者：s7ckTeam
浏览次数：26
最后更新：2025-01-18
2020-11-13_【CTF攻略】CTF线下防御战—让你的靶机变成“铜墙铁壁” 【 C T F   攻 略 】 C T F 线 下 防 御 战   —   让 你 的 靶 机 变 成 “ 铜 墙 铁 壁 ” 安 全 客   L e m o n S e c   2 0 2 0 - 1 1 - 1 3 一 .   前 言 随 着 C T F 的 普 及 ， 比 赛 的 形 式 也 有 了 越 来 越 多 的 花 样 ， 对 于 线 下 赛 来 说 ， 开 始 出 现 了 安 全 加 固 或 者 防 御 战 之 类 的 环 节 ， 亦 或 者 因 为 拿 下 靶 机 后 不 希 望 其 他 攻 击 者 进 入 而 进 行 “ 争 夺 ” ， 无 论 什 么 形 式 ， 这 些 都 需 要 我 们 对 于 服 务 器 的 防 护 工 作 有 所 了 解 。 对 于 线 下 赛 ， 笔 者 虽 说 没 有 什 么 很 高 超 的 攻 防 技 巧 ， 但 也 是 有 着 一 些 自 己 的 心 得 。 本 文 总 结 了 一 些 C T F 线 下 赛 中 常 用 的 服 务 器 加 固 姿 势 ， 希 望 能 对 各 位 C T F 朋 友 们 有 所 帮 助 。 环 境 针 对 目 前 常 见 线 下 赛 常 见 的 l i n u x   W e b 服 务 器 ， 但 是 因 为 C T F 毕 竟 与 真 实 网 络 环 境 有 很 大 区 别 ， 本 文 的 涉 及 的 大 部 分 姿 势 不 具 有 普 遍 适 用 性 。 本 文 涉 及 到 的 相 关 代 码 g i t h u b 下 载 地 址 ： C T F D e f e n s e 。 二 .   常 用 姿 势 1 .   提 权 在 开 始 正 文 之 前 ， 需 要 先 提 一 下 提 权 ， 这 个 要 根 据 自 己 的 比 赛 过 程 中 的 需 要 而 定 。 有 些 比 赛 就 有 专 门 的 防 御 加 固 环 节 ， 但 安 全 加 固 的 很 多 操 作 都 会 涉 及 到 r o o t 权 限 ， 如 果 直 接 给 r o o t 权 限 最 好 ， 但 一 般 一 开 始 会 给 一 个 普 通 权 限 账 号 ， 或 者 干 脆 什 么 都 不 给 ， 需 要 我 们 自 己 通 过 漏 洞 拿 下 服 务 器 ， 这 样 往 往 就 需 要 提 权 了 。 关 于 提 权 ， 通 常 我 们 要 根 据 k e r n e l 版 本 号 找 到 对 应 的 p o c ， 平 时 我 们 可 以 收 集 测 试 一 些 比 较 新 的 提 权 p o c ， 以 备 不 时 之 需 。 这 里 有 一 个 网 站 ： h t t p : / / e x p l o i t . l i n u x n o t e . o r g / ， 里 面 有 许 多 l i n u x 本 地 提 权 的 p o c 。 g i t h u b 上 有 一 个 挺 全 的 提 权 e x p 项 目 ： h t t p s : / / g i t h u b . c o m / S e c W i k i / l i n u x - k e r n e l - e x p l o i t s     。 网 上 也 有 人 分 享 的 一 些 打 包 搜 集 的 p o c , 比 如 这 个 ， 有 兴 趣 的 朋 友 可 以 多 下 载 看 看 。 下 面 分 享 几 个 最 近 两 年 并 且 影 响 范 围 比 较 大 的 ： C V E - 2 0 1 7 - 6 0 7 4   ( D C C P 双 重 释 放 漏 洞   >   2 . 6 . 1 8   ） 描 述 ： D C C P 双 重 释 放 漏 洞 可 允 许 本 地 低 权 限 用 户 修 改 L i n u x 内 核 内 存 ， 导 致 拒 绝 服 务 （ 系 统 崩 溃 ） 或 者 提 升 权 限 ， 获 得 系 统 的 管 理 访 问 权 限 用 法 ： C V E - 2 0 1 6 - 5 1 9 5 （ 脏 牛 ， k e r n e l   2 . 6 . 2 2   <   3 . 9   ( x 8 6 / x 6 4 ) ） 描 述 ： 低 权 限 用 户 可 修 改 r o o t 用 户 创 建 的 文 件 内 容 ， 如 修 改   / e t c / p a s s w d ， 把 当 前 用 户 的   u i d   改 成   0   即 可 提 升 为 r o o t 权 限 用 法 ： C V E - 2 0 1 6 - 8 6 5 5 （ U b u n t u   1 2 . 0 4 、 1 4 . 0 4 ， D e b i a n   7 、 8 ） 描 述 ： 条 件 竞 争 漏 洞 ， 可 以 让 低 权 限 的 进 程 获 得 内 核 代 码 执 行 权 限 用 法 ： P O C ：   h t t p s : / / w w w . s e e b u g . o r g / v u l d b / s s v i d - 9 2 5 6 7   C V E - 2 0 1 7 - 1 0 0 0 3 6 7 （ s u d o 本 地 提 权 漏 洞   ） C V E - 2 0 1 7 - 1 0 0 0 3 6 4 描 述 ： L i n u x   K e r n e l   S t a c k   C l a s h 安 全 漏 洞 。 该 漏 洞 是 由 于 操 作 系 统 内 存 管 理 中 的 一 个 堆 栈 冲 突 漏 洞 ， 它 影 响 L i n u x ， F r e e B S D 和 O p e n B S D ， N e t B S D ， S o l a r i s ， i 3 8 6 和 A M D 6 4 ， 攻 击 者 可 以 利 用 它 破 坏 内 存 并 执 行 任 意 代 码   。 C V E - 2 0 1 6 - 1 2 4 7 （ N g i n x 权 限 提 升 漏 洞 ） 描 述 ： N g i n x 服 务 在 创 建 l o g 目 录 时 使 用 了 不 安 全 的 权 限 设 置 ， 可 造 成 本 地 权 限 提 升 ， 恶 意 攻 击 者 能 够 借 此 实 现 从   n g i n x / w e b   的 用 户 权 限   w w w - d a t a   到   r o o t   用 户 权 限 的 提 升 。 . / p w n . / d i r t y c 0 w   f i l e   c o n t e n t . / c h o c o b o _ r o o t
P O C ： h t t p s : / / l e g a l h a c k e r s . c o m / a d v i s o r i e s / N g i n x - E x p l o i t - D e b - R o o t - P r i v E s c - C V E - 2 0 1 6 - 1 2 4 7 . h t m l   提 权 相 关 代 码 在 G e t R o o t 目 录 ， P O C 中 是 上 面 提 到 的 几 个 本 地 提 权 源 代 码 ， r e l e a s e 中 分 别 是 编 译 好 的 3 2 位 和 6 4 位 程 序 。     实 用 脚 本 L i n u x _ E x p l o i t _ S u g g e s t e r . p l   ， 它 可 以 根 据 系 统 内 核 版 本 号 返 回 一 个 包 含 了 可 能 e x p l o i t s 的 列 表 。 还 有 一 个 检 查 l i n u x 安 全 状 况 的 脚 本 ： 原 文 链 接 还 有 几 个 详 见 ： L i n u x 提 权 ？ 这 四 个 脚 本 可 以 帮 助 你 2 .   常 用 操 作 命 令 l i n u x 操 作 有 很 多 命 令 ， 但 是 线 下 赛 的 防 护 工 作 中 常 用 的 也 就 那 么 一 些 ， 我 们 平 时 可 以 留 意 并 总 结 起 来 ， 便 于 我 们 比 赛 使 用 。 s s h   < - p   端 口 >   用 户 名 @ I P 　 　 s c p   文 件 路 径     用 户 名 @ I P : 存 放 路 径 　 　 　 　 t a r   - z c v f   w e b . t a r . g z   / v a r / w w w / h t m l / 　 　 w   　 　 　 　 p k i l l   - k i l l   - t   < 用 户 t t y > 　 　   　 　 p s   a u x   |   g r e p   p i d 或 者 进 程 名 　 　 　 　 # 查 看 已 建 立 的 网 络 连 接 及 进 程 n e t s t a t   - a n t u l p   |   g r e p   E S T # 查 看 指 定 端 口 被 哪 个 进 程 占 用 l s o f   - i : 端 口 号   或 者   n e t s t a t   - t u n l p | g r e p   端 口 号 # 结 束 进 程 命 令 k i l l   P I D k i l l a l l   < 进 程 名 > 　 　 k i l l   -   < P I D > 　 　 # 封 杀 某 个 I P 或 者 i p 段 ， 如 ： . 　 　 i p t a b l e s   - I   I N P U T   - s   .   - j   D R O P i p t a b l e s   - I   I N P U T   - s   . /   - j   D R O P # 禁 止 从 某 个 主 机 s s h 远 程 访 问 登 陆 到 本 机 ， 如 1 2 3 . . 　 　 i p t a b l e   - t   f i l t e r   - A   I N P U T   - s   .   - p   t c p   - - d p o r t     - j   D R O P 　 　 # 备 份 m y s q l 数 据 库 m y s q l d u m p   - u   用 户 名   - p   密 码   数 据 库 名   >   b a c k . s q l 　 　 　 　 m y s q l d u m p   - - a l l - d a t a b a s e s   >   b a k . s q l 　 　 　 　 　 　 # 还 原 m y s q l 数 据 库 m y s q l   - u   用 户 名   - p   密 码   数 据 库 名   <   b a k . s q l 　 　 f i n d   /   * . p h p   - p e r m     　 　   　 　 a w k   - F :     / e t c / p a s s w d 　 　 　 　 c r o n t a b   - l 　 　 　 　
再 推 荐 两 篇 篇 安 全 应 急 排 查 手 册 ： 应 急 排 查 手 册   ， L i n u x 应 急 响 应 姿 势 浅 谈 3 .   文 件 监 控 防 w e b s h e l l 防 御 w e b s h e l l ， 我 们 可 以 监 控 我 们 的 w e b 目 录 ， 对 文 件 的 增 加 或 修 改 等 操 作 进 行 限 制 等 ， 粗 暴 一 点 的 话 ， 就 禁 止 任 何 文 件 产 生 变 化 ， 杜 绝 被 传 w e b s h e l l 的 可 能 性 。 （ 1 ） 使 用 系 统   c h a t t r   + i   命 令 l i n u x 下 的 文 件 有 着 隐 藏 属 性 ， 可 以 用 l s a t t r 命 令 查 看 。 其 中 有 一 个 i 属 性 ， 表 示 不 得 更 动 任 意 文 件 或 目 录 。 如 果 你 已 经 有 r o o t 或 者 s u d o 权 限 了 ， 那 么 你 可 以 使 用 " c h a t t r   + i 命 令 " 修 改 文 件 隐 藏 属 性 ， 这 样 所 有 用 户 都 不 能 对 该 文 件 或 者 目 录 进 行 修 改 删 除 等 操 作 （ 包 括 r o o t ） ， 如 果 想 进 行 修 改 ， 必 须 用 命 令 " c h a t t r   - i " 取 消 隐 藏 属 性 。 L i n u x 文 件 保 护 禁 止 修 改 、 删 除 、 移 动 文 件 等 , 使 用 c h a t t r   + i 保 护 例 子 ：   用 c h a t t r 命 令 防 止 系 统 中 某 个 关 键 文 件 被 修 改 ： 将 / v a r / w w w / h t m l 目 录 下 的 文 件 设 置 为 不 允 许 任 何 人 修 改 ： （ 2 ） 自 己 动 手 丰 衣 足 食 p y t h o n 的 第 三 方 库 p y i n o t i f y 可 以 让 我 们 很 方 便 地 实 现 这 些 功 能 。 但 是 由 于 是 第 三 方 库 ， 线 下 赛 中 通 常 没 法 联 网 安 装 库 ， 所 以 我 们 可 以 手 工 把 库 文 件 传 到 靶 机 里 p y t h o n 库 中 :   / u s r / l i b / p y t h o n X X X / s i t e - p a c k a g e s ， 但 是 更 方 便 的 做 法 是 借 用 p y i n s t a l l e r 等 工 具 将 其 打 包 成 l i n u x 可 执 行 文 件 。 安 装 了 p y i n o t i f y 库 之 后 ， 我 们 仅 仅 运 行 在 机 器 上 ： " p y t h o n   - m   p y i n o t i f y   监 控 目 录 路 径 "   这 条 简 单 的 命 令 ， 就 可 以 看 到 对 这 个 目 录 以 及 该 目 录 下 所 有 进 行 任 何 操 作 的 的 监 控 日 志 。 # 检 测 所 有 的 t c p 连 接 数 量 及 状 态 n e t s t a t   - a n t | a w k     | g r e p   | s e d   - e     - e   | s o r t | u n i q   - c | s o r t   - r n # 查 看 页 面 访 问 排 名 前 十 的 I P c a t   / v a r / l o g / a p a c h e 2 / a c c e s s . l o g   |   c u t   - f 1   - d       |   s o r t   |   u n i q   - c   |   s o r t   - k     - r   |   h e a d   - 　 　 # 查 看 页 面 访 问 排 名 前 十 的 U R L c a t   / v a r / l o g / a p a c h e 2 / a c c e s s . l o g   |   c u t   - f 4   - d       |   s o r t   |   u n i q   - c   |   s o r t   - k     - r   |   h e a d   - 　 　 c h a t t r   + i   / e t c / p r o f i l e c h a t t r   - R   + i   / v a r / w w w / h t m l
但 由 于 监 控 事 件 太 过 杂 ， 很 多 并 不 是 我 们 关 注 的 ， 并 且 我 们 不 仅 仅 要 监 控 ， 还 需 要 对 某 些 操 作 进 行 自 动 处 理 ， 因 此 我 们 可 以 自 己 编 程 ， 针 对 性 地 实 现 我 们 需 要 的 功 能 ， 下 面 是 一 段 代 码 示 例 。 # ! / u s r / b i n / e n v   p y t h o n #   - * -   c o d i n g :   u t f - 8   - * - #   * *   A u t h o r :   s s o o k i n g i m p o r t   o s i m p o r t   a r g p a r s e f r o m   p y i n o t i f y   i m p o r t   W a t c h M a n a g e r ,   N o t i f i e r , P r o c e s s E v e n t f r o m   p y i n o t i f y   i m p o r t   I N _ D E L E T E ,   I N _ C R E A T E , I N _ M O V E D _ T O , I N _ A T T R I B c l a s s   E v e n t H a n d l e r ( P r o c e s s E v e n t ) :                 " " " 事 件 处 理 " " "                 # 创 建                 d e f   p r o c e s s _ I N _ C R E A T E ( s e l f ,   e v e n t ) :                         p r i n t   " [ ! ]   C r e a t e   :   "   +   e v e n t . p a t h n a m e                         D e l e t e F i l e O r D i r ( e v e n t . p a t h n a m e )                 # 删 除                 d e f   p r o c e s s _ I N _ D E L E T E ( s e l f ,   e v e n t ) :                         p r i n t   " [ ! ]   D e l e t e   :   "   +   e v e n t . p a t h n a m e                 # 文 件 属 性 被 修 改 ， 如 c h m o d 、 c h o w n 命 令                 d e f   p r o c e s s _ I N _ A T T R I B ( s e l f ,   e v e n t ) :                         p r i n t   " [ ! ]   A t t r i b u t e   b e e n   m o d i f i e d : "   +   e v e n t . p a t h n a m e                 # 文 件 被 移 来 ， 如 m v 、 c p 命 令                 d e f   p r o c e s s _ I N _ M O V E D _ T O ( s e l f ,   e v e n t ) :                         p r i n t   " [ ! ]   F i l e   o r   d i r   b e e n   m o v e d   t o   h e r e :   "   +   e v e n t . p a t h n a m e                         D e l e t e F i l e O r D i r ( e v e n t . p a t h n a m e ) d e f   D e l e t e F i l e O r D i r ( t a r g e t ) :         i f   o s . p a t h . i s d i r ( t a r g e t ) :                 f i l e s l i s t   =   o s . l i s t d i r ( t a r g e t )                 f o r   f i l e s   i n   f i l e s l i s t :                         D e l e t e F i l e O r D i r ( t a r g e t   +   " / "   +   f i l e s )                 t r y :                         o s . r m d i r ( t a r g e t )                         p r i n t   "           > > >   D e l e t e   d i r e c t o r y   s u c c e s s f u l l y :   "   +   t a r g e t                 e x c e p t :                         p r i n t   "           [ - ]   D e l e t e   d i r e c t o r y   f a i l e d :   "   +   t a r g e t         i f   o s . p a t h . i s f i l e ( t a r g e t ) :                 t r y :                         o s . r e m o v e ( t a r g e t )                         p r i n t   "           > > >   D e l e t e   f i l e   s u c c e s s f u l l y "   +   t a r g e t                 e x c e p t :                         p r i n t   "           [ - ]   D e l e t e   f i l e   f i l e d :     "   +   t a r g e t d e f   M o n i t o r ( p a t h ) :                 w m   =   W a t c h M a n a g e r ( )
关 于 p y i n o t i f y   库 的 用 法 不 再 赘 述 ， 可 以 看 到 我 在 上 述 代 码 中 创 建 了 一 个 事 件 监 控 处 理 的 类 E v e n t H a n d l e r ， 在 这 个 示 例 中 ， 我 们 仅 仅 关 注 创 建 、 删 除 、 修 改 属 性 、 移 动 操 作 事 件 ， 并 且 我 定 义 了 一 个 D e l e t e F i l e O r D i r 方 法 用 于 自 动 删 除 增 加 的 目 录 或 者 文 件 。 运 行 测 试 截 图 ： 我 们 可 以 编 写 功 能 更 加 细 化 的 程 序 ， 实 现 如 ： 监 控 文 件 变 更 ， 禁 止 创 建 、 修 改 、 删 除 任 何 文 件 或 目 录 ， 自 动 删 除 新 增 文 件 ， 把 被 修 改 的 文 件 改 回 去 ,                 m a s k   =   I N _ D E L E T E   |   I N _ C R E A T E   |   I N _ M O V E D _ T O   |   I N _ A T T R I B                 n o t i f i e r   =   N o t i f i e r ( w m ,   E v e n t H a n d l e r ( ) )                 w m . a d d _ w a t c h ( p a t h ,   m a s k , r e c = T r u e )                 p r i n t   ' [ + ]   N o w   S t a r t i n g   M o n i t o r :     % s ' % ( p a t h )                 w h i l e   T r u e :                                 t r y :                                                 n o t i f i e r . p r o c e s s _ e v e n t s ( )                                                 i f   n o t i f i e r . c h e c k _ e v e n t s ( ) :                                                                 n o t i f i e r . r e a d _ e v e n t s ( )                                 e x c e p t   K e y b o a r d I n t e r r u p t :                                                 n o t i f i e r . s t o p ( )                                                 b r e a k                                                 i f   _ _ n a m e _ _   = =   " _ _ m a i n _ _ " :         p a r s e r   =   a r g p a r s e . A r g u m e n t P a r s e r (                 u s a g e = " % ( p r o g ) s   - w   [ p a t h ] " ,                 d e s c r i p t i o n = ( ' ' '                         I n t r o d u c e ： S i m p l e   D i r e c t o r y   M o n i t o r !     b y   s s o o k i n g ' ' ' )         )         p a r s e r . a d d _ a r g u m e n t ( ' - w ' , ' - - w a t c h ' , a c t i o n = " s t o r e " , d e s t = " p a t h " , d e f a u l t = " / v a r / w w w / h t m l / " , h e l p = " d i r e c t o r y   t o   w a t c h , d e f a u l t   i s   / v a r / w w w / h t m l " )         a r g s = p a r s e r . p a r s e _ a r g s ( )         M o n i t o r ( a r g s . p a t h )
删 除 畸 形 隐 藏 文 件 等 功 能 。 我 们 使 用 p y i n s t a l l e r 把 我 代 码 打 包 为 l i n u x 的 e l f 可 执 行 文 件 。 - F 参 数 表 示 打 包 为 独 立 可 运 行 文 件 ， 命 令 执 行 完 之 后 自 动 生 成 ： b u i l d 、 d i s t 文 件 夹 和 S i m p l e M o n i t o r . s p e c 文 件 ， 你 可 以 在 d i s t 目 录 里 找 到 生 成 的 e l f 程 序 。 打 包 的 文 件 在 C T F D e f e n s e 项 目 的 M o n i t o r 目 录 下 4 .   网 络 监 控 断 异 常 连 接 l i n u x 安 全 防 护 一 定 少 不 了   i p t a b l e s 了 ， 使 用 i p t a b l e s 需 要 有 管 理 员 权 限 。 对 于 比 赛 环 境 ， 我 们 完 全 可 以 配 置 一 个 近 乎 苛 刻 的 配 置 防 火 墙 策 略 。 具 体 我 们 可 以 做 哪 些 工 作 呢 ， 举 一 些 例 子 ： （ 1 ） 关 闭 所 有 网 络 端 口 ， 只 开 放 一 些 比 赛 的 必 要 端 口 ， 也 可 以 防 止 后 门 的 连 接 （ 2 ） 限 制 s s h 登 陆 ， 进 行 访 问 控 制 （ 3 ） 限 制 I P 连 接 数 和 连 接 速 率 # 开 放 s s h i p t a b l e s   - A   I N P U T   - p   t c p   - - d p o r t   2 2   - j   A C C E P T i p t a b l e s   - A   O U T P U T   - p   t c p   - - s p o r t   2 2   - j   A C C E P T # 打 开 8 0 端 口 i p t a b l e s   - A   I N P U T   - p   t c p   - - d p o r t   8 0   - j   A C C E P T i p t a b l e s   - A   O U T P U T   - p   t c p   - - s p o r t   8 0   - j   A C C E P T # 开 启 多 端 口 简 单 用 法 i p t a b l e s   - A   I N P U T   - p   t c p   - m   m u l t i p o r t   - - d p o r t   2 2 , 8 0 , 8 0 8 0 , 8 0 8 1   - j   A C C E P T # 允 许 外 部 访 问 本 地 多 个 端 口   如 8 0 8 0 ， 8 0 8 1 ， 8 0 8 2 , 且 只 允 许 是 新 连 接 、 已 经 连 接 的 和 已 经 连 接 的 延 伸 出 新 连 接 的 会 话 i p t a b l e s   - A   I N P U T   - p   t c p   - m   m u l t i p o r t   - - d p o r t   8 0 8 0 , 8 0 8 1 , 8 0 8 2 , 1 2 3 4 5   - m   s t a t e   - - s t a t e   N E W , E S T A B L I S H E D , R E L A T E D   - j   A C C E P T i p t a b l e s   - A   O U T P U T   - p   t c p   - m   m u l t i p o r t   - - s p o r t   8 0 8 0 , 8 0 8 1 , 8 0 8 2 , 1 2 3 4 5   - m   s t a t e   - - s t a t e   E S T A B L I S H E D   - j   A C C E P T i p t a b l e   - t   f i l t e r   - A   I N P U T   - s   1 2 3 . 4 . 5 . 6   - p   t c p   - - d p o r t   2 2   - j   D R O P   　 　 / / 禁 止 从 1 2 3 . 4 . 5 . 6 远 程 登 陆 到 本 机 i p t a b l e s   - A   I N P U T   - s   1 2 3 . 4 . 5 . 6 / 2 4   - p   t c p   - - d p o r t   2 2   - j   A C C E P T 　 　 / / 允 许 1 2 3 . 4 . 5 . 6 网 段 远 程 登 陆 访 问 s s h
我 们 可 以 限 制 I P 的 网 络 连 接 数 和 速 度 等 ， 限 制 过 快 的 连 接 频 率 ， 这 样 可 以 在 一 定 程 度 上 限 制 对 方 的 扫 描 器 。 狠 一 点 的 话 ， 甚 至 可 以 让 对 方 只 能 以 手 工 点 网 页 的 速 度 与 访 问 + _ + 再 猥 琐 一 点 ， 可 以 定 时 断 开 已 经 建 立 的 连 接 ， 让 对 方 只 能 断 断 续 续 的 访 问 ~ ~ （ 4 ） 数 据 包 简 单 识 别 ， 防 止 端 口 复 用 类 的 后 门 或 者 s h e l l 假 设 病 毒 木 马 程 序 通 过 2 2 ， 8 0 端 口 向 服 务 器 外 传 送 数 据 ， 这 种 方 式 发 向 外 发 的 数 据 不 是 我 们 通 过 访 问 网 页 请 求 而 回 应 的 数 据 包 。 我 们 可 以 禁 止 这 些 没 有 通 过 请 求 回 应 的 数 据 包 。 （ 5 ） 限 制 访 问 如 果 对 方 来 势 太 凶 ， 我 们 可 以 限 制 或 者 封 杀 他 们 的 i p 段 。 （ 6 ） 过 滤 异 常 报 文 i p t a b l e s 有 一 个 T C P 匹 配 扩 展 协 议 – t c p - f l a g s ， 功 能 是 过 滤 T C P 中 的 一 些 包 ， 比 如 S Y N 包 ， A C K 包 ， F I N 包 ， R S T 包 等 等 。 举 个 例 子 ， 我 们 知 道 S Y N 是 建 立 连 接 ， R S T 是 重 置 连 接 ， 如 果 这 两 个 同 时 出 现 ， 就 知 道 这 样 的 包 是 有 问 题 的 ， 应 该 丢 弃 。 下 面 的 例 子 是 利 用 – t c p - f l a g s 参 数 ， 对 一 些 包 进 行 标 识 过 滤 ， 扔 掉 异 常 的 数 据 包 。 （ 7 ） 防 D D O S 攻 击 丢 弃 陌 生 的 T C P 响 应 包 , 防 止 反 弹 式 攻 击 更 多 的 姿 势 ， 需 要 打 开 我 们 的 脑 洞 了 ， 下 面 是 一 个 通 用 的 f i r e w a l l 脚 本 ， 我 们 可 以 传 到 服 务 器 上 一 键 执 行 ， 相 关 参 数 可 以 查 阅 资 料 详 细 了 解 ： # 单 个 I P 的 最 大 连 接 数 为   3 0 i p t a b l e s   - I   I N P U T   - p   t c p   - - d p o r t   8 0   - m   c o n n l i m i t   - - c o n n l i m i t - a b o v e   3 0   - j   R E J E C T # 单 个 I P 在 6 0 秒 内 只 允 许 最 多 新 建 1 5 个 连 接 i p t a b l e s   - A   I N P U T   - p   t c p   - - d p o r t   8 0   - m   r e c e n t   - - n a m e   B A D _ H T T P _ A C C E S S   - - u p d a t e   - - s e c o n d s   6 0   - - h i t c o u n t   1 5   - j   R E J E C T i p t a b l e s   - A   I N P U T   - p   t c p   - - d p o r t   8 0   - m   r e c e n t   - - n a m e   B A D _ H T T P _ A C C E S S   - - s e t   - j   A C C E P T # 允 许 外 部 访 问 本 机 8 0 端 口 ， 且 本 机 初 始 只 允 许 有 1 0 个 连 接 ， 每 秒 新 增 加 2 个 连 接 ， 如 果 访 问 超 过 此 限 制 则 拒 接   （ 此 方 式 可 以 限 制 一 些 攻 击 ） i p t a b l e s   - A   I N P U T   - p   t c p   - - d p o r t   8 0   - m   l i m i t   - - l i m i t   2 / s   - - l i m i t - b u r s t   1 0   - j   A C C E P T i p t a b l e s   - A   O U T P U T   - p   t c p   - - s p o r t   8 0   - j   A C C E P T i p t a b l e s   - A   O U T P U T   - p   t c p   - - s p o r t   2 2   - m   s t a t e   - - s t a t e   E S T A B L I S H E D   - j   A C C E P T i p t a b l e s   - A   O U T P U T   - p   t c p   - - s p o r t   8 0   - m   s t a t e   - - s t a t e   E S T A B L I S H E D   - j   A C C E P T i p t a b l e s   - A   O U T P U T   - p   t c p   - - s p o r t   4 4 3   - m   s t a t e   - - s t a t e   E S T A B L I S H E D   - j   A C C E P i p t a b l e   - t   f i l t e r   - A   F O R W A R D   - s   1 2 3 . 4 . 5 . 6   - d   1 2 3 . 4 . 5 . 7   - j   D R O P 　 　 / / 禁 止 从 客 户 机 1 2 3 . 4 . 5 . 6 访 问 1 2 3 . 4 . 5 . 7 上 的 任 何 服 务 # 封 杀 1 2 3 . 4 . 5 . 6 这 个 I P 或 者 某 个 i p 段 i p t a b l e s   - I   I N P U T   - s   1 2 3 . 4 . 5 . 6   - j   D R O P i p t a b l e s   - I   I N P U T   - s   1 2 3 . 4 . 5 . 1 / 2 4   - j   D R O P i p t a b l e s   - A   I N P U T   - p   t c p   - - t c p - f l a g s   S Y N , F I N , A C K , R S T   S Y N   　 　 　 　 　 　 　 　 # 表 示   S Y N , F I N , A C K , R S T 的 标 识 都 检 查 ， 但 只 匹 配 S Y N 标 识 i p t a b l e s   - A   I N P U T   - p   t c p   - - s y n   　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　   # 匹 配 S Y N 标 识 位 i p t a b l e s   - A   I N P U T   - p   t c p   - - t c p - f l a g s   A L L   F I N , U R G , P S H   - j   D R O P   　 　 　 　 　   # 检 查 所 有 的 标 识 位 ， 匹 配 到 F I N   U R G   P S H 的 丢 弃 i p t a b l e s   - A   I N P U T   - p   t c p   - - t c p - f l a g s   A L L   N O N E   - j   D R O P   　 　 　 　 　 　 　 　 　   # 丢 弃 没 标 志 位 的 包 i p t a b l e s   - A   I N P U T   - p   t c p   - - t c p - f l a g s   A L L   S Y N , R S T , A C K , F I N , U R G   - j   D R O P 　 # 匹 配 到 S Y N   A C K   F I N   U R G 的 丢 弃 i p t a b l e s   - A   I N P U T   - p   t c p   - - t c p - f l a g s   A L L   S Y N , F I N , R S T   - j   D R O P 　 　 　 　 　 　 # 匹 配 到 S Y N   A C K   F I N   R S T 的 丢 弃 i p t a b l e s   - A   I N P U T   - p   t c p   - - t c p - f l a g s   A L L   S Y N , F I N , P S H   - j   D R O P 　 　 　 　 　 　 # 匹 配 到 S Y N   F I N   P S H 的 丢 弃 i p t a b l e s   - A   I N P U T   - p   t c p   - - t c p - f l a g s   A L L   S Y N , F I N , R S T , P S H   - j   D R O P 　   　 　 # 匹 配 到 S Y N   F I N   R S T   P S H 的 丢 弃 i p t a b l e s   - A   I N P U T   - p   t c p   - - t c p - f l a g s   S Y N , R S T   S Y N , R S T   - j   D R O P 　 　 　 　 　 　 # 匹 配 到   S Y N , R S T 的 丢 弃 i p t a b l e s   - A   I N P U T   - p   t c p   - - t c p - f l a g s   S Y N , F I N   S Y N , F I N   - j   D R O P   　 　 　 　 　   # 匹 配 到   S Y N , F I N 的 丢 弃 i p t a b l e s   - A   I N P U T   - p   t c p   - - d p o r t   8 0   - m   l i m i t   - - l i m i t   2 0 / m i n u t e   - - l i m i t - b u r s t   1 0 0   - j   A C C E P T 　 　 - m   l i m i t :   启 用 l i m i t 扩 展 　 　 – l i m i t   2 0 / m i n u t e :   允 许 最 多 每 分 钟 1 0 个 连 接 　 　 – l i m i t - b u r s t   1 0 0 :   当 达 到 1 0 0 个 连 接 后 ， 才 启 用 上 述 2 0 / m i n u t e 限 制 i p t a b l e s   - A   I N P U T   - m   s t a t e   - - s t a t e   N E W   - p   t c p   !   - - s y n   - j   D R O P i p t a b l e s   - A   F O R W A R D   - m   s t a t e   - - s t a t e   N E W   - p   t c p   - - s y n   - j   D R O P # ! / b i n / b a s h
注 意 ， 对 于 不 同 的 i p t a b l e s 版 本 ， 一 些 参 数 的 用 法 可 以 会 有 略 微 的 差 异 ， 使 用 时 我 们 可 能 要 根 据 需 要 进 行 修 改 。 5 .   综 合 分 析 控 阻 溢 出 类 攻 击 关 于 溢 出 类 攻 击 ， 我 还 没 有 总 结 出 一 些 很 实 用 的 姿 势 ， 这 里 提 供 一 些 思 路 。 一 般 来 说 ， 溢 出 攻 击 成 功 后 ， 会 建 立 s h e l l 通 道 和 网 络 连 接 ， 我 们 可 以 配 合 前 面 提 到 的 命 令 ， 从 这 两 方 面 入 手 进 行 检 测 和 阻 隔 ： （ 1 ） 检 测 高 权 限 的 进 程 （ 2 ） 检 测 s h ， b a s h 等 进 程 （ 3 ） 检 测 建 立 的 网 络 连 接 （ 4 ） 检 查 开 放 的 端 口 例 子 ： 通 过 端 口 和 b a s h 发 现 可 疑 进 程 # ! / b i n / b a s h # A l l o w   y o u s e l f   P i n g   o t h e r   h o s t s   ,   p r o h i b i t   o t h e r s   P i n g   y o u i p t a b l e s   - A   I N P U T   - p   i c m p   - - i c m p - t y p e   8   - s   0 / 0   - j   D R O P i p t a b l e s   - A   O U T P U T   - p   i c m p   - - i c m p - t y p e   8   - s   0 / 0   - j   A C C E P T # C l o s e   a l l   I N P U T   F O R W A R D   O U T P U T ,   j u s t   o p e n   s o m e   p o r t s i p t a b l e s   - P   I N P U T   D R O P i p t a b l e s   - P   F O R W A R D   D R O P i p t a b l e s   - P   O U T P U T   D R O P # O p e n   s s h i p t a b l e s   - A   I N P U T   - p   t c p   - - d p o r t   2 2   - j   A C C E P T i p t a b l e s   - A   O U T P U T   - p   t c p   - - s p o r t   2 2   - j   A C C E P T # O p e n   p o r t   8 0 i p t a b l e s   - A   I N P U T   - p   t c p   - - d p o r t   8 0   - j   A C C E P T i p t a b l e s   - A   O U T P U T   - p   t c p   - - s p o r t   8 0   - j   A C C E P T # O p e n   m u l t i p o r t # i p t a b l e s   - A   I N P U T   - p   t c p   - m   m u l t i p o r t   - - d p o r t   2 2 , 8 0 , 8 0 8 0 , 8 0 8 1   - j   A C C E P T # C o n t r o l   I P   c o n n e c t i o n # T h e   m a x i m u m   n u m b e r   o f   c o n n e c t i o n s   f o r   a   s i n g l e   I P   i s   3 0 i p t a b l e s   - I   I N P U T   - p   t c p   - - d p o r t   8 0   - m   c o n n l i m i t   - - c o n n l i m i t - a b o v e   3 0   - j   R E J E C T # A   s i n g l e   I P   a l l o w s   u p   t o   1 5   n e w   c o n n e c t i o n s   i n   6 0   s e c o n d s i p t a b l e s   - A   I N P U T   - p   t c p   - - d p o r t   8 0   - m   r e c e n t   - - n a m e   B A D _ H T T P _ A C C E S S   - - u p d a t e   - - s e c o n d s   6 0   - - h i t c o u n t   1 5   - j   R E J E C T i p t a b l e s   - A   I N P U T   - p   t c p   - - d p o r t   8 0   - m   r e c e n t   - - n a m e   B A D _ H T T P _ A C C E S S   - - s e t   - j   A C C E P T # P r e v e n t   p o r t   r e u s e i p t a b l e s   - A   O U T P U T   - p   t c p   - - s p o r t   2 2   - m   s t a t e   - - s t a t e   E S T A B L I S H E D   - j   A C C E P T i p t a b l e s   - A   O U T P U T   - p   t c p   - - s p o r t   8 0   - m   s t a t e   - - s t a t e   E S T A B L I S H E D   - j   A C C E P T i p t a b l e s   - A   O U T P U T   - p   t c p   - - s p o r t   4 4 3   - m   s t a t e   - - s t a t e   E S T A B L I S H E D   - j   A C C E P T # F i l t e r   a b n o r m a l   p a c k e t s i p t a b l e s   - A   I N P U T   - i   e t h 1   - p   t c p   - - t c p - f l a g s   S Y N , R S T , A C K , F I N   S Y N   - j   D R O P i p t a b l e s   - A   I N P U T   - p   t c p   - - t c p - f l a g s   A L L   F I N , U R G , P S H   - j   D R O P i p t a b l e s   - A   I N P U T   - p   t c p   - - t c p - f l a g s   A L L   N O N E   - j   D R O P   i p t a b l e s   - A   I N P U T   - p   t c p   - - t c p - f l a g s   A L L   S Y N , R S T , A C K , F I N , U R G   - j   D R O P i p t a b l e s   - A   I N P U T   - p   t c p   - - t c p - f l a g s   A L L   S Y N , F I N , R S T   - j   D R O P i p t a b l e s   - A   I N P U T   - p   t c p   - - t c p - f l a g s   A L L   S Y N , F I N , P S H   - j   D R O P i p t a b l e s   - A   I N P U T   - p   t c p   - - t c p - f l a g s   A L L   S Y N , F I N , R S T , P S H   - j   D R O P i p t a b l e s   - A   I N P U T   - p   t c p   - - t c p - f l a g s   S Y N , R S T   S Y N , R S T   - j   D R O P   i p t a b l e s   - A   I N P U T   - p   t c p   - - t c p - f l a g s   S Y N , F I N   S Y N , F I N   - j   D R O P # P r e v e n t   D o S   a t t a c k s i p t a b l e s   - A   I N P U T   - p   t c p   - - d p o r t   8 0   - m   l i m i t   - - l i m i t   2 0 / m i n u t e   - - l i m i t - b u r s t   1 0 0   - j   A C C E P T # D i s c a r d   u n f a m i l i a r   T C P   r e s p o n s e   p a c k s   t o   p r e v e n t   r e b o u n d   a t t a c k s i p t a b l e s   - A   I N P U T   - m   s t a t e   - - s t a t e   N E W   - p   t c p   !   - - s y n   - j   D R O P i p t a b l e s   - A   F O R W A R D   - m   s t a t e   - - s t a t e   N E W   - p   t c p   - - s y n   - j   D R O P
如 果 我 们 怀 疑 某 个 进 程 正 在 是 受 到 溢 出 攻 击 后 创 建 的 s h e l l 进 程 ， 我 们 可 以 分 析 这 个 进 程 是 否 有 s o c k e t 连 接 ， l i n u x 中 查 看 指 定 进 程 s o c k e t 连 接 数 的 命 令 为 ： 比 如 我 们 查 看 s s h 进 程 的 s o c k e t 连 接 。 如 果 我 们 检 测 的 程 序 有 s o c k e t 连 接 ， 说 明 它 正 在 进 行 网 络 通 信 ， 我 们 就 需 要 进 行 进 一 步 判 断 。 我 们 还 可 以 检 测 可 疑 进 程 开 启 的 管 道 。 l i n u x 下 查 看 进 程 管 道 数 的 命 令 类 似 ： 典 型 的 一 个 例 子 是 ： A p a c h e 模 块 后 门 m o d _ r o o t m e ， 它 复 用 了 w e b s e r v e r 的 8 0 端 口 ， m o d _ r o o t m e 通 过 管 道 和 b a s h 交 互 数 据 ， 但 是 由 于 开 启 了 额 外 的 管 道 ， 我 们 从 这 个 变 化 上 便 能 察 觉 到 。 详 细 内 容 可 以 参 考 ： h t t p : / / t . q q . c o m / p / t / 3 3 0 5 7 3 1 1 6 0 8 2 4 6 4 。 总 体 来 说 ， 我 们 主 要 可 以 关 注 进 程 情 况 和 网 络 连 接 情 况 ， 综 合 分 析 进 程 ， 阻 断 溢 出 攻 击 创 建 的 s h e l 的 。 6 .   漏 洞 修 复 简 单 粗 暴 C T F 比 赛 中 修 复 漏 洞 主 要 就 是 为 了 防 止 其 他 队 伍 的 入 侵 了 。 l s   / p r o c / < 进 程 p i d > / f d   - l   |   g r e p   s o c k e t :   |   w c   - l l s   / p r o c / < 进 程 p i d > / f d   - l   |   g r e p   p i p e :   |   w c   - l
1 .   删 站 ： 如 果 赛 组 没 有 明 确 禁 止 ， 这 是 最 粗 暴 的 姿 势 ， 只 留 自 己 的 w e b s h e l l ， 参 加 过 几 场 比 赛 确 实 遇 到 了 这 种 尴 尬 的 事 情 ， w e b 攻 防 最 后 都 演 变 成 了 拼 手 速 的 “ G e t S h e l l + 留 后 门 + 删 站 ” 。 2 .   删 漏 洞 页 面 ： 大 部 分 举 办 方 还 是 会 明 确 禁 止 删 除 网 站 的 ， 通 常 赛 组 会 定 期 访 问 网 站 主 页 （ 一 般 来 说 ） ， 从 而 确 定 网 站 是 否 正 常 运 行 。 其 实 我 们 没 必 要 删 除 整 个 网 站 ， 只 要 删 掉 有 漏 洞 的 页 面 就 行 了 ， 比 如 删 后 台 登 录 页 面 、 注 册 页 面 、 上 传 页 面 等 等 。 3 .   破 坏 正 常 功 能 ： 如 果 明 确 不 能 删 除 任 何 页 面 ， 可 以 选 择 让 这 些 漏 洞 点 的 功 能 函 数 （ 或 者 其 依 赖 的 功 能 函 数 ） 失 效 。 比 如 上 传 点 ， 如 果 考 虑 过 滤 挺 麻 烦 ， 又 不 能 删 页 面 ， 那 么 我 们 可 以 找 到 这 个 漏 洞 网 页 ， 改 掉 或 者 删 掉 文 件 里 对 应 的 类 似 u p l o a d 等 这 种 功 能 调 用 函 数 。 上 面 这 三 种 其 实 都 算 不 上 修 补 漏 洞 了 ， 真 实 环 境 下 哪 能 这 么 干 。 4 .   采 用 正 常 修 补 手 段 ： 规 则 限 定 很 严 的 情 况 下 ， 我 们 还 是 采 用 正 常 手 法 吧 ， 修 改 服 务 配 置 、 安 装 补 丁 、 下 载 更 新 的 软 件 版 本 、 加 过 滤 等 等 。 > > > > > _ < < < < < < 谈 到 那 个 删 站 ， 我 忍 不 住 想 吐 槽 几 句 ， 我 个 人 是 不 赞 成 这 种 做 法 的 ， 因 为 这 种 操 作 在 比 赛 中 很 容 易 拉 仇 恨 并 且 产 生 连 锁 反 应 ， 也 不 利 于 个 人 的 进 步 。 有 些 人 认 为 ： 我 先 拿 下 这 台 服 务 器 说 明 我 有 能 力 ， 你 没 进 去 就 说 明 你 没 本 事 ， 所 以 我 先 进 去 删 了 站 不 让 其 他 人 进 也 无 可 厚 非 ， 有 能 耐 你 就 先 拿 下 它 ， 那 你 删 了 我 也 没 意 见 。 也 有 人 说 ， 真 正 的 对 抗 里 ， 敌 人 不 会 对 你 仁 慈 ～ ～ 没 错 ， 挺 有 道 理 的 ， 而 且 强 者 也 应 该 拥 有 发 言 权 。 但 是 我 们 不 能 只 从 一 个 角 度 考 虑 问 题 ， 换 个 角 度 去 考 虑 ， C T F 竞 赛 虽 然 是 向 着 真 实 的 网 络 环 境 靠 拢 ， 但 是 它 的 根 本 目 的 是 提 高 竞 技 者 的 安 全 技 能 和 知 识 水 平 。 对 于 大 部 分 切 磋 竞 技 的 玩 家 来 说 ， 参 加 比 赛 也 都 是 为 了 让 自 己 获 得 提 高 ， 大 家 在 同 一 个 平 台 上 进 行 进 行 切 磋 对 抗 ， 认 识 到 自 己 和 对 手 身 上 的 优 点 与 不 足 ， 这 才 是 竞 技 。 但 是 这 种 行 为 其 实 从 某 种 意 义 上 来 说 已 经 破 坏 了 比 赛 的 公 平 性 ， 毕 竟 如 果 是 因 为 技 术 不 到 位 ， 那 当 然 没 什 么 话 说 ， 但 是 如 果 网 站 删 了 ， 让 别 人 发 挥 的 地 方 都 没 有 ， 这 种 切 磋 也 没 有 意 义 。 举 个 不 太 恰 当 的 例 子 ， 这 就 像 两 个 人 打 架 ， 你 说 你 比 我 强 ， 咱 们 比 比 再 说 ， 但 是 你 都 不 让 我 跟 你 打 ， 这 算 什 么 。 再 换 个 角 度 ， 其 实 我 一 直 坚 信 真 正 具 有 强 者 姿 态 的 人 ， 不 畏 惧 挑 战 、 不 怕 被 人 超 越 ， 不 屑 于 通 过 这 种 手 段 巩 固 自 己 的 地 位 。 相 反 ， 我 们 只 有 将 自 己 至 于 狂 风 大 浪 中 ， 才 能 成 长 和 蜕 变 ， 最 终 成 为 一 个 强 者 。 无 论 从 什 么 角 度 考 虑 ， 我 们 应 该 敢 于 挑 战 自 身 、 挑 战 别 人 ， 不 断 强 大 自 己 ， 不 断 去 征 服 ， 无 畏 无 惧 、 步 履 铿 锵 ！ 7 .   安 全 软 件 锦 上 添 花 可 以 使 用 第 三 方 软 件 的 话 ， 装 个 W A F ， 安 全 狗 之 类 的 吧 。 这 个 我 没 什 么 话 要 说 ， 附 个 l i n u x 安 全 狗 的 链 接 吧 ： 安 全 狗 l i n u x 版 ： h t t p : / / w w w . s a f e d o g . c n / w e b s i t e _ s a f e d o g . h t m l 我 们 平 时 也 可 以 搜 集 或 者 自 己 实 现 一 些 脚 本 或 者 工 具 备 用 。 这 里 有 w a f 一 枚 ： h t t p : / / h a c k b l o g . c n / p o s t / 7 5 . h t m l   如 果 我 们 想 给 w e b 目 录 文 件 添 加 自 定 义 w a f 脚 本 ， 其 实 可 以 用 一 条 命 令 解 决 , 以 p h p 为 例 ： 命 令 的 意 思 就 是 查 找 / v a r / w w w / h t m l 目 录 下 所 有 p h p 文 件 ， 在 头 部 添 加 一 句 ， 用 r e q u i r e 函 数 引 入 / t m p / w a f . p h p 文 件 。 因 为 s e d 命 令 利 用   /   区 分 文 件 中 的 原 字 符 串 和 修 改 的 字 符 串 ， 所 以 我 们 要 对   /   进 行 转 义 。 类 似 于 在 单 引 号 中 再 次 使 用 单 引 号 时 我 们 也 要 用 反 斜 杠 转 义 ： ' ， 命 令 转 换 过 来 就 是 这 样 ： 这 样 ， 再 次 打 开 时 我 们 就 会 发 现 已 经 引 入 了 自 定 义 w a f 文 件 。 f i n d   / v a r / w w w / h t m l   - t y p e   f   - p a t h   " * . p h p "   |   x a r g s   s e d   - i   " s / < ? p h p / < ? p h p n r e q u i r e _ o n c e ( ' / t m p / w a f . p h p ' ) ; n / g " f i n d   / v a r / w w w / h t m l   - t y p e   f   - p a t h   " * . p h p "   |   x a r g s   s e d   - i   " s / < ? p h p / < ? p h p n r e q u i r e _ o n c e ( ' / t m p / w a f . p h p ' ) ; n / g "
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理