设为首页收藏本站
切换到窄版

 找回密码
 立即注册
搜索
热搜: 活动 交友 discuz
Nmaps Club»论坛 › Pentests Wiki › Wiki › 护网 › [21647] 2021-02-04_浅谈攻击溯源的一些常见思路 ...
返回列表 发新帖
查看: 0|回复: 0

[21647] 2021-02-04_浅谈攻击溯源的一些常见思路

[复制链接]
s7ckTeam

6万

主题

-6万

回帖

-58

积分

管理员

积分
-58
发表于 5 天前 | 显示全部楼层 |阅读模式
2021-02-04_浅谈攻击溯源的一些常见思路 浅 谈 攻 击 溯 源 的 一 些 常 见 思 路 s i 1 e n c e _ w h i t e h a t   L e m o n S e c   2 0 2 1 - 0 2 - 0 4 0 x 0   背 景 背 景 攻 击 溯 源 作 为 安 全 事 故 中 事 后 响 应 的 重 要 组 成 部 分 ， 通 过 对 受 害 资 产 与 内 网 流 量 进 行 分 析 一 定 程 度 上 还 原 攻 击 者 的 攻 击 路 径 与 攻 击 手 法 ， 有 助 于 修 复 漏 洞 与 风 险 避 免 二 次 事 件 的 发 生 。 攻 击 知 识 可 转 换 成 防 御 优 势 , 如 果 能 够 做 到 积 极 主 动 且 有 预 见 性 ， 就 能 更 好 地 控 制 后 果 。 说 人 话 ： 被 黑 了 就 要 知 道 为 什 么 被 黑 了 怎 么 被 黑 的 ， 不 能 这 么 不 明 不 白 。   0 x 1   主 体 思 路 主 体 思 路 溯 源 的 过 程 当 中 的 时 候 除 开 相 关 的 技 术 手 段 之 外 ， 首 先 还 是 需 要 确 认 一 个 整 体 的 思 路 。 对 异 常 点 进 行 一 个 整 体 的 分 析 并 根 据 实 际 环 境 给 出 几 种 可 能 的 方 案 ， 这 样 处 理 起 问 题 相 对 就 可 以 游 刃 有 余 心 里 有 谱 ， 手 上 就 不 慌 了 。 常 规 出 现 的 、 容 易 被 用 户 感 知 的 异 常 点 举 例 如 下 ： 1 .   网 页 被 篡 改 、 被 挂 上 了 黑 链 、 w e b 文 件 丢 失 等 2 .   数 据 库 被 篡 改 、 w e b 系 统 运 行 异 常 影 响 可 用 性 、 w e b 用 户 密 码 被 篡 改 等 3 .   主 机 出 现 运 行 异 常 反 应 卡 顿 、 文 件 被 加 密 、 主 机 系 统 出 现 其 他 用 户 等 4 .   主 机 流 量 层 出 现 大 量 异 常 流 量 根 据 用 户 现 场 的 情 况 往 往 还 需 要 做 一 些 信 息 收 集 的 工 作 比 如 ， 出 现 异 常 的 时 间 点 ( 非 常 重 要 ) 、 异 常 服 务 器 的 主 要 业 务 情 况 、 大 致 的 一 个 网 络 拓 扑 是 不 是 在 D M Z 区 、 是 否 可 以 公 网 访 问 、 开 放 了 那 些 端 口 、 是 否 有 打 补 丁 、 使 用 了 怎 么 样 的 一 个 w e b 技 术 、 最 近 是 否 做 过 什 么 变 更 、 有 没 有 什 么 安 全 设 备 之 类 的 。 根 据 收 集 到 的 信 息 ， 往 往 可 以 得 出 了 几 种 可 能 。 一 个 w e b 服 务 器 公 网 可 以 访 问 出 现 了 被 挂 黑 链 的 事 件 使 用 了 s 2 框 架 ， 那 么 初 步 可 以 怀 疑 是 s 2 - 0 4 5     s 2 - 0 4 6 之 类 的 命 令 执 行 漏 洞 了 ； 如 果 一 台 公 网 服 务 器 没 有 安 装 补 丁 又 没 有 防 火 墙 防 护 ， a d m i n i s t r a t o r 的 密 码 为 P @ s s w r o d 那 么 有 很 大 的 可 能 性 是 被 暴 力 破 解 成 功 ； 后 面 的 工 作 主 要 就 是 收 集 各 种 资 料 证 明 这 一 猜 想 即 可 。
0 x 2   w e b 系 统 系 统 上 次 自 己 部 署 了 一 个 w e b 系 统 在 V P S 上 面 ， 后 面 看 了 一 下 a c c e s s 日 志 基 本 上 每 天 都 有 好 多 的 w e b 系 统 扫 描 事 件 ， 路 径 探 测 的 、 E X P 扫 描 的 、 文 件 遍 历 的 什 么 都 有 筛 选 起 来 特 别 头 疼 。 一 般 w e b 类 的 安 全 事 件 在 w e b 日 志 当 中 一 般 都 能 发 现 一 些 端 倪 ， 清 除 日 志 这 种 事 情 毕 竟 不 是 每 个 黑 客 都 会 干 。 常 见 几 个 中 间 件 的 日 志 如 下 ： 1 .   a p a c h e 的 日 志 路 径 一 般 配 置 在 h t t p d . c o n f 的 目 录 下 或 者 位 于 / v a r / l o g / h t t p 2 .   I I S 的 日 志 默 认 在 系 统 目 录 下 的 L o g f i l e s 下 的 目 录 当 中 3 .   t o m c a t   一 般 位 于 t o m c a t 安 装 目 录 下 的 一 个 l o g s 文 件 夹 下 面 4 .   N g i n x 日 志 一 般 配 置 在 n g i n x . c o n f 或 者 v h o s t 的 c o n f 文 件 中 日 志 一 般 以 日 期 命 名 ， 方 便 后 续 审 计 与 安 全 人 员 进 行 分 析 。 工 欲 善 其 事 必 先 利 其 器 ， 一 般 日 志 量 都 比 较 大 。 互 联 网 上 还 是 有 很 多 的 日 志 检 测 工 具 ， 个 人 不 是 很 喜 欢 用 主 要 工 具 还 是 n o t e p a d + +   和 S u b l i m e   T e x t 跟 进 收 集 的 信 息 比 如 时 间 点 这 种 情 况 ， 对 时 间 点 前 后 的 请 求 日 志 进 行 分 析 ， 一 般 都 都 能 发 现 一 些 异 常 。 为 了 方 便 的 识 别 一 些 日 志 ， g i t h u b 也 有 很 多 开 源 项 目 有 专 门 去 日 志 中 找 安 全 相 关 攻 击 的 、 或 者 是 统 计 的 。 因 为 现 在 很 多 扫 描 器 也 比 较 多 ， 一 检 查 往 往 也 会 发 现 很 多 无 效 的 攻 击 ， 筛 选 起 来 反 而 感 觉 更 麻 烦 。 推 荐 一 个 小 工 具 ： w e b - l o g - p a r s e r 为 开 源 的 分 析 w e b 日 志 工 具 ， 采 用 p y t h o n 语 言 开 发 ， 具 有 灵 活 的 日 志 格 式 配 置 。 优 秀 的 项 目 比 较 多 ， 萝 卜 青 菜 各 有 所 爱 自 己 喜 欢 较 好 ， 实 在 不 行 就 自 己 定 义 好 规 则 搞 一 个 。 连 接 如 下 ： h t t p s : / / g i t h u b . c o m / J e f f X u e / w e b - l o g - p a r s e r
在 处 理 一 些 访 问 访 问 、 网 页 更 改 的 时 候 、 上 传 路 径 、 源 I P 之 类 的 信 息 都 能 够 较 好 的 收 集 。 通 过 对 一 些 关 键 路 径 的 识 别 ， 结 合 一 定 的 信 息 往 往 都 能 定 位 到 入 口 点 。 常 见 的 一 些 入 口 点 举 例 如 下 ： 1 .   一 些 C M S 的 E X P ， 比 如 D i s c u z   E m p i r e   S p r i n g   之 类 的 一 些 命 令 执 行 、 权 限 绕 过 逻 辑 漏 洞 等 因 为 比 较 通 用 ， 网 上 很 多 都 是 公 开 的 所 以 涉 及 面 相 对 较 广 。 2 .   编 辑 器 的 上 传 漏 洞 ， 比 如 知 名 的 F C K 编 辑 器 、 U E d i t o r 之 类 。 3 .   功 能 性 上 传 过 滤 不 严 格 ， 比 如 头 像 上 传 资 料 上 传 界 面 一 些 过 滤 严 格 导 致 的 上 传 漏 洞 。 4 .   W e b 系 统 的 弱 口 令 问 题   a d m i n 账 户 、 或 者 是 t o m c a t 的 m a n a g e r 用 户 弱 口 令   、 A x i s 2 弱 口 令 用 户 、 O p e n f i r e 弱 口 令 等 等 同 时 w e b 系 统 往 往 容 易 存 在 一 些 w e b s h e l l 的 情 况 ， 经 常 在 一 些 上 传 目 录 里 面 找 到 一 些 w e b s h e l l 、 明 明 是 个 J S P 的 网 页 还 出 现 了 一 个 p h p 的 一 句 话 。 一 般 需 要 重 点 关 注 一 下 。 推 荐 用 D 盾 对 w e b 系 统 的 目 录 进 行 扫 描 。
扫 描 出 来 的 w e b s h e l l 时 间 上 传 时 间 、 文 件 创 建 时 间 、 文 件 修 改 时 间 往 往 准 确 性 都 比 较 高 ， 一 般 不 会 去 更 改 这 个 时 间 ， 用 来 在 日 志 当 中 排 查 就 相 对 容 易 的 多 。   0 x 2   主 机 系 统 主 机 系 统 以 前 一 直 觉 得 一 些 蠕 虫 病 毒 都 挺 逗 的 很 多 传 播 方 法 居 然 只 是 依 靠 暴 力 破 解 和 M S 1 7 - 0 1 0 之 类 的 漏 洞 传 播 ， 感 觉 波 及 面 应 该 比 较 小 后 面 才 发 现 这 个 方 法 简 单 粗 暴 反 而 最 有 效 。 对 于 L i n u x 平 台 相 对 安 全 性 偏 高 一 些 ， 常 见 的 几 个 病 毒 如 X o r D D O S 、 D D G 、 X N o t e 系 列 的 普 遍 也 是 依 靠 暴 力 破 解 进 行 传 播 ， 溯 源 的 过 程 中 也 重 点 考 虑 暴 力 破 解 。
常 用 的 一 些 日 志 举 例 如 下 ： g r e p , s e d , s o r t , a w k 几 个 命 令 灵 活 运 用 、 关 注 A c c e p t e d 、 F a i l e d   p a s s w o r d   、 i n v a l i d 特 殊 关 键 字 一 般 也 能 轻 松 发 现 一 些 端 倪 如 下 ： 经 常 一 些 攻 击 者 忘 记 清 除 日 志 ， 就 很 方 便 能 查 看 详 细 了 。 一 个 h i s t o r y 命 令 ， 黑 客 的 操 作 就 一 目 了 然 。 当 然 了 一 些 脚 本 执 行 完 了 之 后 往 往 最 后 会 清 除 日 志 比 如 下 面 这 样 的 往 往 就 加 大 了 难 度 ， 日 志 被 清 除 了 往 往 就 更 显 得 异 常 了 。 可 以 重 点 看 一 下 还 剩 下 那 些 日 志 、 或 者 关 注 一 下 网 络 层 面 是 不 是 还 有 其 他 的 安 全 设 备 可 以 在 流 量 层 进 行 溯 源 分 析 的 。 / v a r / l o g / a u t h . l o g   包 含 系 统 授 权 信 息 ， 包 括 用 户 登 录 和 使 用 的 权 限 机 制 等 信 息 / v a r / l o g / l a s t l o g         记 录 登 录 的 用 户 ， 可 以 使 用 命 令 l a s t l o g 查 看 / v a r / l o g / s e c u r e         记 录 大 多 数 应 用 输 入 的 账 号 与 密 码 ， 登 录 成 功 与 否 / v a r / l o g / c r o n             记 录 c r o n t a b 命 令 是 否 被 正 确 的 执 行
源 于 L i n u x 一 切 皆 文 件 与 开 源 的 特 性 ， 在 溯 源 的 过 程 中 也 有 好 处 也 有 坏 处 ， r o o t k i t 就 是 最 麻 烦 的 一 件 事 情 了 。 由 于 系 统 一 些 常 用 的 命 令 明 文 都 已 经 被 更 改 和 替 换 ， 此 系 统 已 经 变 得 完 全 不 可 信 ， 在 排 查 溯 源 的 过 程 中 往 往 不 容 易 发 觉 对 安 全 服 务 的 人 员 就 有 较 高 的 技 术 要 求 了 。 W i n d o w s 平 台 下 面 的 溯 源 就 相 对 容 易 一 些 当 然 主 要 还 是 依 靠 w i n d o w s 的 日 志 一 般 用   e v e n t v w r 命 令 打 开 事 件 查 看 器 。 默 认 分 为 三 类 ： l 应 用 程 序 、 安 全 、 性 统   以 e v t 文 件 形 式 存 储 在 % s y s t e m r o o t % s y s t e m 3 2 c o n f i g 目 录 合 理 使 用 筛 选 器 往 往 可 以 帮 助 我 们 更 好 的 排 查 日 志 ， 比 如 怀 疑 是 暴 力 破 解 入 侵 的 筛 选 事 件 I D   = =   4 6 2 5 审 核 失 败 的 日 志 ， 后 续 通 过 对 时 间 的 排 查 、 以 及 源 I P 地 址 、 类 型 与 请 求 的 频 率 进 行 分 析 来 判 断 是 否 是 来 源 于 内 网 的 暴 力 破 解
通 过 系 统 内 部 的 日 志 来 判 断 是 否 是 恶 意 进 程 的 运 行 状 态 通 过 对 l o g o n t y p e 的 数 值 确 认 就 可 以 确 认 到 底 是 通 过 什 么 协 议 进 行 暴 力 破 解 成 功 的 。 相 对 的 数 值 关 系 如 下 ： l o c a l   W I N D O W S _ R D P _ I N T E R A C T I V E   =   " 2 " l o c a l   W I N D O W S _ R D P _ U N L O C K   =   " 7 " l o c a l   W I N D O W S _ R D P _ R E M O T E I N T E R A C T I V E   =   " 1 0 " l o c a l   W I N D O W S _ S M B _ N E T W O R K   =   " 3 "
如 下 图 就 是 一 个 典 型 的 S M B 的 认 证 失 败 情 况 ： W i n d o w s 系 统 的 补 丁 相 对 重 要 一 些 ， 一 些 关 键 的 补 丁 没 有 打 很 容 易 遭 受 到 攻 击 成 功 的 事 件 。 重 点 就 关 注 一 些 常 见 的 比 如 m s 1 7 - 0 1 0     m s 0 8 - 0 6 7     m s 1 6 - 0 3 2 等 安 全 补 丁 都 是 内 网 渗 透 常 用 的 攻 击 包 。 可 以 通 过 s y s i n t e m f o 可 以 查 看 到 当 前 系 统 当 中 已 经 安 装 的 补 丁 。 此 外 w i n d o w s 下 面 还 包 括 很 多 域 控 的 安 全 日 志 ， 因 为 内 容 太 多 就 不 再 展 开 叙 述 ， 溯 源 主 要 还 是 想 还 原 攻 击 路 径 ， 通 过 w i n d o w s 日 志 搞 明 白 访 问 关 系 攻 击 者 的 攻 击 链 条 ， 给 用 户 一 个 交 代 就 好 。   0 x 3   其 他 常 用 系 统 其 他 常 用 系 统 数 据 库 系 统 也 是 攻 击 者 入 口 点 的 一 些 重 灾 区 ， 常 见 的 比 如 m s s s q l   s e r v e r 由 于 数 据 往 往 在 w i n d o w 环 境 下 安 装 后 具 有 较 高 的 权 限 ， 一 些 用 户 经 常 安 装 完 成 之 后 也 不 会 怎 么 去 加 固 数 据 库 ， 基 于 库 站 分 离 的 原 则 很 多 m s s q l 公 网 直 接 就 可 以 访 问 访 问 控 制 策 略 比 较 弱 ， 弱 口 令 的 问 题 尤 为 突 出 。
比 如 下 对 于 m s s q l 的 s a 用 户 暴 力 破 解 日 志 ， 里 面 也 记 录 着 客 户 端 的 I P 地 址 如 果 没 有 配 置 相 关 的 锁 定 策 略 在 密 码 不 够 严 格 的 情 况 下 容 易 被 攻 陷 。 攻 击 者 爆 破 成 功 之 后 启 动 x p _ s h e l l 往 往 就 可 以 以 高 权 限 执 行 系 统 命 令 ， 拿 到 了 一 个 w i n d o w s 的 s h e l l 岂 不 是 为 所 欲 为 。 L i n u x 平 台 下 面 还 有 一 个 r e d i s 也 很 热 门 ， 就 一 个 几 年 的 默 认 安 装 后 的 未 授 权 访 问 的 问 题 却 流 传 的 相 对 广 泛 。 比 如 最 近 一 段 事 件 相 对 比 较 热 门 的 D D G 挖 矿 、 W a t c h D o g 挖 矿 等 病 毒 都 主 要 利 用 r e d i s 未 授 权 访 问 执 行 命 令 ， 从 互 联 网 拉 取 挖 矿 程 序 写 入 s s h 的 公 钥 等 功 能 。 看 见 本 地 开 放 了 6 3 7 9 端 口 的 时 候 还 是 需 要 重 点 关 注 这 个 问 题 ， 多 向 用 户 咨 询 一 下 使 用 情 况 查 看 一 下 默 认 配 置 。
还 有 一 些 常 用 的 系 统 比 如 m y s q l 数 据 库 暴 力 破 解 提 权 一 套 装 、 h a d o o p 未 授 权 访 问 漏 洞 、 钓 鱼 邮 件 、 破 解 软 件 后 门 、 恶 意 的 o f f i c e 宏 、 o f f i c e 的 代 码 执 行 漏 洞 、 邮 箱 缺 陷 、 V P N 配 置 缺 陷 等 情 况 都 可 能 是 攻 击 者 的 入 口 点 具 体 情 况 需 要 结 合 用 户 当 前 的 情 况 具 体 进 行 排 查 。 0 x 4   总 结 总 结 都 说 安 全 本 质 到 最 后 就 是 人 与 人 之 间 的 一 个 较 量 ， 对 于 很 多 定 向 攻 击 的 安 全 事 件 排 查 起 来 估 计 就 比 较 有 意 思 ， 主 机 端 的 日 志 被 清 除 掉 流 量 层 面 全 程 隧 道 通 信 就 呵 呵 了 。 站 在 攻 防 的 角 度 从 攻 击 者 的 思 维 模 型 去 做 应 急 ， 思 考 更 多 的 攻 击 者 可 能 的 途 径 ， 经 常 利 用 的 姿 势 、 漏 洞 与 常 用 的 攻 击 手 法 再 用 数 据 去 加 以 验 证 ， 不 局 限 在 已 知 漏 洞 中 而 放 过 其 他 的 问 题 ， 如 果 能 够 做 到 积 极 主 动 且 有 预 见 性 ， 就 能 更 好 地 控 制 后 果 ， 说 不 过 在 过 程 中 还 能 发 现 几 个 0 d a y 也 算 是 意 外 之 喜 了 。 原 文 链 接 ： h t t p s : / / b l o g . c s d n . n e t / m o m o _ s l e e t / a r t i c l e / d e t a i l s / 9 5 7 3 7 2 8 8 一 如 既 往 的 学 习 ， 一 如 既 往 的 整 理 ， 一 如 即 往 的 分 享 。 感 谢 支 持 “ 如 侵 权 请 私 聊 公 众 号 删 文 ” 扫 描 关 注 扫 描 关 注 L e m o n S e c
回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver|手机版|小黑屋|Nmaps Club

GMT+8, 2025-1-23 10:23 , Processed in 0.625315 second(s), 31 queries .

Powered by Discuz! X3.5

© 2001-2025 Discuz! Team.

快速回复 返回顶部 返回列表