搜索

[21648] 2021-02-04_通过进程监控检测SSH活动

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2021-02-04_通过进程监控检测SSH活动 通 过 进 程 监 控 检 测 S S H 活 动 嘶 吼 专 业 版   L e m o n S e c   2 0 2 1 - 0 2 - 0 4 在 进 行 的 许 多 渗 透 测 试 活 动 中 ， 我 注 意 到 有 许 多 攻 击 都 是 通 过 使 用 合 法 凭 据 的 S S H 访 问 开 始 的 。 现 在 你 可 能 会 想 ， 用 户 究 竟 为 什 么 要 在 m a c O S 上 启 用 S S H 服 务 。 这 对 普 通 用 户 来 说 真 的 有 必 要 吗 ? 当 然 ， 对 于 普 通 用 户 来 说 ， 答 案 是 否 定 的 。 这 完 全 没 有 必 要 ， 但 我 认 为 基 于 m a c O S 的 构 建 服 务 器 、 测 试 服 务 器 和 开 发 人 员 系 统 经 常 启 用 S S H 的 可 能 性 很 大 。 不 仅 如 此 ， 一 旦 攻 击 者 通 过 任 何 方 式 获 得 了 对 系 统 的 访 问 权 ， S S H 就 成 了 一 种 奇 妙 的 “ l i v e   o f   t h e   l a n d ” 技 术 ， 用 于 在 受 到 攻 击 的 网 络 上 进 行 横 向 移 动 。 要 理 解 如 何 最 好 地 跟 踪 不 同 的 S S H 行 为 ， 我 们 首 先 必 须 熟 悉 在 创 建 S S H 会 话 中 发 挥 作 用 的 不 同 二 进 制 文 件 。 / u s r / l i b e x e c / s m d s m d 二 进 制 文 件 ( 可 能 是 服 务 管 理 守 护 进 程 ) 实 际 上 控 制 S S H 是 启 用 还 是 禁 用 。 随 着 时 间 的 推 移 ， 苹 果 将 更 多 的 责 任 转 移 到 了 这 个 守 护 进 程 中 。 / u s r / s b i n / s s h d 这 是 主 要 的 S S H 服 务 可 执 行 文 件 ， 当 你 尝 试 登 录 到 一 个 系 统 时 ， 会 启 动 多 个 s s h d 实 例 ， 以 便 处 理 登 录 过 程 和 用 户 会 话 ， 这 可 能 是 在 处 理 S S H 时 想 到 的 最 常 见 的 服 务 。 / u s r / l i b e x e c / s s h d - k e y g e n - w r a p p e r 这 个 s s h d 帮 助 进 程 在 尝 试 登 录 时 启 动 ， 它 通 常 立 即 执 行 s s h d 服 务 。 在 一 些 用 例 中 ， S S H   - k e y g e n - w r a p p e r 会 执 行 一 些 不 同 的 操 作 ， 但 是 在 大 多 数 S S H 设 置 中 ， 该 进 程 的 操 作 行 为 与 名 称 完 全 一 致 。 / u s r / b i n / s s h - a g e n t   ( -   l ) 不 管 它 的 名 字 是 什 么 ， S S H   - a g e n t 实 际 上 并 不 是 侦 听 S S H 连 接 的 服 务 。 事 实 上 ， 即 使 禁 用 了 S S H ， 该 进 程 也 可 能 在 你 的 系 统 上 运 行 ， 它 最 以 S S H 密 钥 的 管 理 而 闻 名 。 实 际 上 ， 用 户 不 需 要 通 过 用 户 名 和 密 码 登 录 即 可 。 可 以 在 / S y s t e m / L i b r a r y / L a u n c h A g e n t s / c o m . o p e n s s h . s s h - a g e n t . p l i s t 中 找 到 启 动 程 序 ， 并 在 启 动 时 使 用 未 记 录 的 - l 参 数 加 载 该 启 动 程 序 。 s h e l l 身 份 验 证 过 程 结 束 后 ， 在 系 统 上 生 成 一 个 交 互 式 s h e l l ， 它 将 根 据 用 户 的 请 求 执 行 命 令 。 这 个 s h e l l 是 用 户 设 置 为 默 认 的 s h e l l 。 对 我 来 说 ， 它 是 z s h 。 一 般 的 行 为 一 般 的 行 为
为 了 更 好 地 理 解 这 些 进 程 是 如 何 连 接 的 ， 让 我 们 看 看 通 过 S S H 登 录 时 使 用 的 具 体 步 骤 。 在 m a c O S 上 ， 可 以 通 过 系 统 首 选 项 > 共 享 > 远 程 登 录 来 启 用 S S H 登 录 。 注 意 ， 启 用 这 个 特 性 实 际 上 不 会 创 建 任 何 类 型 的 任 何 新 的 s s h d 进 程 。 这 有 点 令 人 失 望 ， 因 为 这 意 味 着 我 们 不 能 进 行 简 单 的 进 程 监 视 来 确 定 S S H 是 启 用 了 还 是 禁 用 了 ， 但 是 如 果 你 使 用 S S H 登 录 并 保 持 会 话 处 于 打 开 状 态 ， 你 现 在 应 该 拥 有 如 下 进 程 树 。 如 果 你 查 看 标 准 p s 输 出 ， 你 会 注 意 到 这 个 树 看 起 来 有 点 不 同 。 事 实 上 ， 使 用 T r u e T r e e 是 我 意 识 到 s m d 在 S S H 管 理 中 发 挥 作 用 的 唯 一 途 径 。 这 也 是 为 什 么 在 尝 试 登 录 之 前 ， 你 的 p s 输 出 中 没 有 任 何 S S H 服 务 侦 听 器 的 迹 象 。 s m d 服 务 处 理 多 个 不 同 的 远 程 登 录 服 务 以 及 通 过 系 统 首 选 项 启 用 或 禁 用 的 其 他 项 ， 上 面 截 图 中 s m d 下 面 的 所 有 进 程 在 登 录 尝 试 发 生 后 都 将 存 在 ， 但 是 z s h   s h e l l 在 登 录 成 功 后 出 现 。 首 先 ， 我 们 看 到 创 建 了 s s h d - k e y g e n - w r a p p e r 。 这 个 小 小 的 二 进 制 文 件 在 执 行 到 s s h d 之 前 会 快 速 处 理 一 些 检 查 ， 是 的 ， 当 登 录 发 生 时 将 创 建 两 个 s s h d 进 程 。 但 是 请 注 意 ， 如 果 在 此 登 录 过 程 中 发 生 另 一 个 登 录 ， 将 再 次 创 建 上 面 看 到 的 所 有 相 同 进 程 。 我 的 意 思 是 说 ， 上 面 看 到 的 两 个 s s h d 服 务 都 不 会 充 当 额 外 登 录 的 “ 主 服 务 器 ” 。 最 后 ， 第 二 个 s s h d 实 例 将 派 生 一 个 s h e l l ， 用 户 今 后 输 入 的 所 有 命 令 都 将 通 过 该 s h e l l 派 生 。 在 继 续 之 前 ， 请 务 必 注 意 ， 还 有 其 他 方 法 可 以 启 用 S S H D 服 务 。 实 际 上 ， 我 认 为 通 过 系 统 首 选 项 启 用 远 程 登 录 要 比 通 过 命 令 行 启 用 更 值 得 关 注 。 用 户 可 以 使 用 s y s t e m s e t u p 命 令 从 命 令 行 启 用 远 程 登 录 ， 而 不 是 加 载 L a u n c h D a e m o n 。 s u d o   s y s t e m s e t u p   - s e t r e m o t e l o g i n   o n 为 了 使 此 命 令 起 作 用 ， 需 要 r o o t 权 限 ， 好 消 息 是 ， 你 应 该 能 够 在 执 行 此 类 命 令 时 监 视 任 何 类 型 的 E D R 。 尝 试 登 录 尝 试 登 录 有 了 上 面 讨 论 的 流 程 树 ， 你 可 能 已 经 知 道 我 将 在 本 节 中 进 行 的 工 作 。 如 上 所 述 ， 我 们 最 终 通 过 S S H 登 录 尝 试 生 成 了 三 个 进 程 ： 一 个 是 s s h d - k e y g e n - w r a p p e r ， 另 一 个 是 s s h d 。 我 们 知 道 s s h d - k e y g e n - w r a p p e r 只 存 在 一 秒 钟 ， 然 后 才 执 行 s s h d ， 这 是 系 统 上 可 能 进 行 的 三 次 登 录 尝 试 。
请 注 意 ， 在 上 图 中 ， 我 们 使 用 非 T r u e T r e e 进 程 视 图 ， 因 为 这 是 E D R 所 提 供 的 。 这 就 是 为 什 么 将 l a u n c h d 显 示 为 父 级 而 不 是 s m d 的 原 因 。 在 上 图 中 ， 你 看 到 了 三 个 尝 试 的 S S H 登 录 。 有 两 个 失 败 ， 因 此 从 未 生 成 s h e l l ( 红 色 ) ， 另 一 个 成 功 ( 绿 色 ) 。 不 管 登 录 是 否 成 功 ， s s h d - k e y g e n - w r a p p e r 总 是 按 登 录 尝 试 的 比 例 生 成 ， 这 意 味 着 我 们 可 以 通 过 跟 踪 登 录 执 行 来 跟 踪 登 录 尝 试 。 获 取 字 典 攻 击 尝 试 获 取 字 典 攻 击 尝 试 非 常 奇 怪 的 是 ， 现 在 还 有 人 用 字 典 攻 击 S S H 。 通 常 情 况 下 ， 这 是 由 L i n u x 僵 尸 网 络 发 送 大 量 的 凭 证 ， 试 图 以 他 们 的 方 式 进 入 公 共 的 S S H 服 务 器 。 在 m a c O S 上 面 向 公 众 的 S S H 服 务 器 也 很 少 见 ， 具 体 原 因 是 什 么 ? 显 然 ， 我 无 法 说 明 你 的 具 体 设 置 和 工 具 ， 因 此 我 只 使 用 一 些 通 用 的 S p l u n k 术 语 ， 因 为 它 往 往 是 事 件 监 视 的 标 准 。 在 这 里 ， 你 最 好 遵 循 上 面 的 逻 辑 ， 寻 找 s s h d - k e y g e n - w r a p p e r 的 大 型 分 组 尝 试 。 我 发 现 使 用 S p l u n k 的 “ b i n ” 功 能 ( 也 称 为 b u c k e t ) 最 容 易 做 到 这 一 点 。 让 我 们 分 解 一 下 具 体 的 流 程 ： e v e n t = p r o c e s s _ c r e a t e   p a t h = / u s r / l i b e x e c / s s h d - k e y g e n - w r a p p e r 查 找 执 行 s s h d - k e y g e n - w r a p p e r 的 所 有 时 间 。 b u c k e t   _ t i m e   s p a n = 5 m 将 找 到 的 s s h d - k e y g e n - w r a p p e r 进 程 分 组 到 两 分 钟 的 时 间 窗 口 中 。 e v e n t s t a t s   d c ( h o s t _ n a m e )   a s   a t t e m p t s   b y   _ t i m e
以 现 在 进 行 分 类 的 进 程 为 例 ， 并 按 主 机 进 行 不 同 的 计 数 以 获 取 发 生 了 多 少 次 尝 试 ， 将 这 个 新 统 计 的 字 段 命 名 为 “ a t t e m p t s ” 。 w h e r e   a t t e m p t s   >   2 0 查 找 在 一 个 两 分 钟 的 桶 内 发 生 了 超 过 2 0 次 尝 试 的 位 置 。 s t a t s   v a l u e s ( h o s t _ n a m e ) 返 回 与 上 述 条 件 匹 配 的 主 机 名 。 如 果 你 的 S p l u n k 实 例 能 够 访 问 这 种 类 型 的 数 据 ， 那 么 它 将 返 回 在 两 分 钟 内 发 生 2 0 次 登 录 尝 试 的 实 例 。 你 可 以 随 心 所 欲 地 设 置 时 间 ， 但 我 怀 疑 两 分 钟 内 进 行 2 0 次 登 录 尝 试 可 能 表 明 存 在 恶 意 攻 击 。 进 行 单 次 登 录 进 行 单 次 登 录 捕 获 成 功 的 登 录 也 不 会 太 复 杂 ， 实 际 上 ， 我 将 使 用 与 以 前 相 同 的 图 像 。 只 要 你 的 工 具 允 许 你 通 过 父 子 关 系 建 立 连 接 ， 你 需 要 做 的 就 是 在 创 建 s h e l l 的 任 何 时 候 都 使 用 s s h d 作 为 该 s h e l l 的 父 对 象 。 请 注 意 ， 在 m a c O S 上 ， 默 认 的 内 置 s h e l l （ 如 /   e t c   /   s h e l l s 中 所 示 ） 为 /   b i n   /   b a s h ， /   b i n   /   c s h ， /   b i n   /   d a s h ， /   b i n   /   k s h ， /   b i n   /   s h ， /   b i n   /   t c s h 和 /   b i n   / z s h 。 从 S p l u n k 的 角 度 来 看 ， 这 里 不 应 该 有 任 何 太 复 杂 的 东 西 。 只 要 在 s h e l l 运 行 时 查 找 p p i d 路 径 为 “ / u s r / s b i n / s s h d ” 的 位 置 即 可 。 请 注 意 ， 在 某 些 情 况 下 ， 如 果 有 人 选 择 通 过 S S H 运 行 单 个 命 令 而 不 创 建 交 互 式 登 录 ， 这 也 会 引 起 注 意 。 例 如 ： s s h   u s e r @ i p _ a d d r e s s   w h o a m i 上 面 的 命 令 不 是 创 建 交 互 式 会 话 ， 而 是 通 过 S S H 登 录 ， 执 行 w h o a m i 命 令 并 将 输 出 返 回 给 运 行 它 的 客 户 端 。 s s h d 可 执 行 文 件 通 过 将 - c 参 数 和 发 送 方 指 定 的 命 令 一 起 传 递 给 它 创 建 的 s h e l l 来 执 行 此 操 作 。
如 果 你 要 查 找 交 互 式 S S H 登 录 名 ， 请 查 找 在 S S H 下 创 建 s h e l l 且 命 令 行 不 包 含 其 他 参 数 （ 或 C o m m a n d L i n e   = =   P a t h ） 的 时 间 。 如 果 你 只 想 通 过 S S H 运 行 一 次 性 命 令 ， 请 查 找 命 令 行 包 含 多 个 参 数 的 时 间 。 获 取 根 登 录 获 取 根 登 录 通 过 S S H 进 行 的 登 录 显 然 不 能 保 证 发 生 了 恶 意 事 件 ， 许 多 技 术 和 开 发 人 员 都 依 靠 S S H 来 激 活 它 ， 以 完 成 不 同 的 任 务 。 但 是 ， 这 些 技 术 和 开 发 人 员 应 以 正 常 权 限 登 录 系 统 ， 然 后 通 过 s u d o 升 级 。 以 超 级 用 户 身 份 直 接 登 录 到 S S H 服 务 器 并 不 被 视 为 最 佳 实 践 。 许 多 进 程 跟 踪 技 术 提 供 了 已 执 行 进 程 的 用 户 I D ， 通 常 将 其 称 为 u i d 。 U n i x 系 统 上 的 每 个 用 户 都 被 分 配 了 一 个 u i d 。 在 m a c O S 上 ， 第 一 个 用 户 的 u i d 为 5 0 1 ， 根 用 户 为 0 。 通 过 查 看 创 建 的 s h e l l 进 程 的 u i d ， 我 们 可 以 确 定 哪 个 用 户 已 登 录 。 这 是 使 用 基 本 权 限 登 录 的 用 户 的 树 形 示 例 。 在 上 图 中 ， 我 们 看 到 派 生 的 s s h d 子 对 象 和 s h e l l 的 u i d 与 基 本 用 户 5 0 1 的 u i d 匹 配 ， 因 此 我 们 知 道 登 录 系 统 的 用 户 不 具 有 r o o t 权 限 。 同 时 ， 我 们 看 到 登 录 之 前 的 所 有 进 程 都 由 r o o t 用 户 拥 有 ， 这 很 有 意 义 ， 因 为 s s h d 在 系 统 上 以 r o o t 用 户 身 份 运 行 ， 并 且 在 用 户 登 录 时 根 据 用 户 权 限 移 交 。 当 然 ， 如 果 有 人 以 r o o t 身 份 登 录 ， 所 创 建 的 s h e l l 将 继 续 为 u i d   0 。 因 此 ， 要 检 测 S S H 上 的 r o o t 登 录 ， 只 需 使 用 与 上 一 节 相 同 的 方 法 ， 但 是 指 定 只 关 心 在 S S H 下 创 建 的 s h e l l 的 u i d 何 时 为 0 。 最 后 ， 我 想 简 单 地 谈 谈 一 个 经 常 被 忽 略 的 项 目 ， 这 个 项 目 是 t t y 。 每 当 有 人 打 开 真 正 的 交 互 式 s h e l l 时 ， t t y 或 t e l e t y p e 终 端 就 会 被 分 配 。 也 就 是 说 ， 用 户 可 以 输 入 命 令 ， s h e l l 可 以 返 回 提 示 。 如 果 没 有 t t y ， 当 s u d o 命 令 要 求 你 输 入 密 码 时 ， 你 将 无 法 与 它 进 行 交 互 。 你 只 需 要 在 无 效 区 域 上 操 作 ， t t y 就 会 被 分 配 给 创 建 的 S h e l l 进 程 ， 并 将 继 续 用 于 该 S S H 会 话 期 间 创 建 的 所 有 子 进 程 。
此 时 ， 你 可 以 看 到 在 登 录 时 s h e l l 上 的 t t y 是 / d e v / t t y s 0 0 1 。 同 样 ， 这 将 取 决 于 你 的 工 具 以 及 你 的 输 入 是 实 时 检 测 到 的 还 是 可 追 溯 的 ， 但 这 意 味 着 如 果 你 发 现 恶 意 的 S S H 登 录 并 能 够 查 看 t t y 字 段 ， 则 只 需 将 所 有 内 容 撤 回 即 可 ， 通 过 查 找 共 享 相 同 t t y 的 进 程 来 在 该 S S H 会 话 中 执 行 的 命 令 。 唯 一 的 问 题 是 ， 当 用 户 关 闭 t t y 时 ， 它 将 在 下 一 次 需 要 时 被 重 用 。 换 句 话 说 ， 如 果 该 系 统 上 的 用 户 经 常 打 开 终 端 ， 则 搜 索 使 用 /   d e v   / t t y s 0 0 1 的 所 有 进 程 可 能 还 会 为 你 提 供 由 用 户 执 行 的 一 些 较 旧 但 合 法 的 操 作 。 如 果 发 生 这 种 情 况 ， 你 可 能 还 必 须 依 靠 一 些 时 间 表 （ 或 完 全 不 同 的 方 法 ） 来 撤 回 所 有 恶 意 S S H 命 令 。 总 结 总 结 正 如 本 文 中 多 次 提 到 的 ， 上 面 看 到 的 很 多 查 询 都 取 决 于 你 的 技 术 和 工 具 ， 但 是 最 重 要 的 是 了 解 你 的 环 境 并 了 解 哪 些 系 统 应 实 际 使 用 S S H 。 对 于 在 小 型 公 司 工 作 的 人 来 说 ， 这 很 容 易 ， 他 们 可 以 轻 松 掌 握 谁 在 哪 里 登 录 ， 但 是 对 于 大 公 司 来 说 ， 监 视 这 些 项 目 也 很 重 要 。 对 于 需 要 登 录 系 统 以 执 行 操 作 的 管 理 员 来 说 ， 远 程 登 录 是 一 个 非 常 棒 的 工 具 ， 但 是 从 安 全 角 度 来 看 ， 但 是 从 安 全 的 角 度 来 看 ， 它 们 会 带 来 三 重 威 胁 。 1 . 它 们 是 内 置 的 ； 2 . 它 们 可 以 用 于 初 始 输 入 ； 3 . 它 们 可 以 用 于 横 向 运 动 和 攻 击 。 本 文 我 们 仅 谈 到 了 与 S S H 相 关 的 流 程 活 动 是 什 么 样 的 ， 在 锁 定 S S H 以 及 攻 击 者 如 何 利 用 S S H 方 面 ， 仍 然 有 大 量 的 内 容 需 要 探 索 。 参 考 及 来 源 ： h t t p s : / / t h e m i t t e n m a c . c o m / d e t e c t i n g - s s h - a c t i v i t y - v i a - p r o c e s s - m o n i t o r i n g /
一 如 既 往 的 学 习 ， 一 如 既 往 的 整 理 ， 一 如 即 往 的 分 享 。 感 谢 支 持 “ 如 侵 权 请 私 聊 公 众 号 删 文 ” 扫 描 关 注 扫 描 关 注 L e m o n S e c 觉 得 不 错 点 个 觉 得 不 错 点 个 “ 赞 赞 ” 、 、 “ 在 看 在 看 ” 哦 哦
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理