设为首页收藏本站
切换到窄版

 找回密码
 立即注册
搜索
热搜: 活动 交友 discuz
Nmaps Club»论坛 › Pentests Wiki › Wiki › 护网 › [21747] 2021-03-08_【HW前知识库储备】2020HW攻防演练 ...
返回列表 发新帖
查看: 0|回复: 0

[21747] 2021-03-08_【HW前知识库储备】2020HW攻防演练总结：安全数据分析

[复制链接]
s7ckTeam

6万

主题

-6万

回帖

-58

积分

管理员

积分
-58
发表于 5 天前 | 显示全部楼层 |阅读模式
2021-03-08_【HW前知识库储备】2020HW攻防演练总结：安全数据分析 【 H W 前 知 识 库 储 备 】 2 0 2 0 H W 攻 防 演 练 总 结 ： 安 全 数 据 分 析 L e m o n S e c   2 0 2 1 - 0 3 - 0 8 以 下 转 自 信 安 客 持 续 2 周 的 H W 工 作 结 束 有 一 段 时 间 了 ， H W 行 动 中 红 蓝 双 方 使 出 浑 身 解 数 ， 开 展 攻 击 与 反 攻 击 的 终 极 大 战 。 有 幸 作 为 防 守 方 全 程 参 与 此 次 网 络 攻 防 演 练 ， 下 面 是 关 于 此 次 H W 日 常 工 作 的 一 些 总 结 ： 0 1     数 据 包 判 断 数 据 包 判 断 在 H W 期 间 从 数 据 分 析 系 统 当 中 威 胁 告 警 网 页 漏 洞 利 用 查 看 详 情 里 面 ， 可 以 看 到 请 求 头 及 响 应 头 ， 请 求 体 和 响 应 体 ， 判 断 这 条 告 警 是 否 是 攻 击 行 为 ， 因 为 很 多 时 候 内 网 I P 相 互 访 问 会 存 在 一 定 程 度 的 误 报 ， 这 时 候 就 需 要 手 工 判 断 是 否 是 误 报 ， 平 常 工 作 为 ： 对 数 据 分 析 系 统 进 行 系 统 运 行 状 态 、 性 能 检 查 ， 并 对 目 标 系 统 前 一 天 到 当 天 W e b 日 志 进 行 失 陷 检 测 ， 对 数 据 分 析 系 统 、 流 量 日 志 进 行 分 析 、 验 证 ， 及 时 发 现 安 全 漏 洞 隐 患 ， 撰 写 防 守 成 果 报 告 ， 对 主 机 加 固 、 蜜 罐 等 产 品 进 行 巡 检 和 前 一 天 到 当 天 告 警 、 日 志 进 行 分 析 ， 及 时 发 现 安 全 漏 洞 隐 患 ， 通 知 分 析 人 员 进 行 安 全 分 析 。 对 现 场 监 测 、 分 析 、 处 置 、 上 报 等 工 作 进 行 过 程 和 质 量 控 制 ， 对 各 方 形 成 的 文 档 、 报 告 进 行 审 核 每 日 收 集 统 计 我 方 人 员 使 用 的 I P 地 址 每 天 下 班 前 将 防 守 成 果 报 告 审 核 并 上 报 攻 防 演 练 平 台 撰 写 工 作 日 报 ， 总 结 当 天 工 作 情 况 ， 进 行 调 整 ， 对 数 据 分 析 系 统 告 警 、 流 量 日 志 进 行 分 析 、 验 证 ， 及 时 发 现 安 全 漏 洞 隐 患 ， 撰 写 防 守 成 果 报 告 。 0 2       应 急 响 应 应 急 响 应 在 发 现 疑 似 攻 击 行 为 时 ， 不 管 是 否 已 经 攻 击 成 功 ， 直 接 协 调 F W 或 W A F 维 护 人 员 ， 进 行 I P （ 端 口 ） 封 堵 处 理 ， 避 免 进 一 步
攻 击 行 为 发 生 ； ( 发 现 攻 击 I P 及 时 群 里 发 出 ， 验 证 后 就 “ 先 封 禁 ” 再 上 报 给 G N 。 如 果 G N 确 认 该 I P 为 攻 击 队 I P ， 要 求 不 允 许 封 I P ， 安 全 拦 截 措 施 转 为 通 过 W A F   建 立 特 殊 I P 组 建 立 高 防 护 策 略 并 按 照 攻 击 情 况 进 行 人 工 添 加 策 略 如 特 定 路 径 禁 止 访 问 策 略 。 ) 0 3       攻 击 行 为 反 查 攻 击 行 为 反 查 在 初 步 处 置 的 同 时 ， 我 方 人 员 利 用 数 据 分 析 系 统 对 攻 击 行 为 进 行 反 查 ， 确 认 攻 击 事 件 及 影 响 范 围 ， 以 协 调 进 一 步 处 理 线 索 ， 并 协 调 人 员 将 事 件 上 报 网 安 。 0 4       应 用 及 主 机 处 置 应 用 及 主 机 处 置 如 通 过 反 查 确 认 有 主 机 或 应 用 被 攻 击 ， 第 一 时 间 应 用 和 主 机 下 线 ， 通 采 用 人 员 分 析 或 失 陷 监 测 工 具 分 析 的 方 式 确 认 系 统 被 攻 击 的 情 况 ， 协 调 相 关 责 任 人 进 行 进 一 步 处 置 ； 以 上 是 主 要 负 责 的 主 要 工 作 内 容 。 H W 常 见 攻 击 行 为 及 采 取 的 操 作 常 见 攻 击 行 为 及 采 取 的 操 作 在 H W 期 间 ， 每 天 有 大 量 的 攻 击 者 扫 描 行 为 ， 及 少 部 分 的 攻 击 行 为 ， 这 时 就 需 要 对 大 量 的 数 据 包 进 行 分 析 、 排 查 ， 并 对 攻 击 行 为 进 行 溯 源 ， 查 看 受 害 资 产 范 围 ， 并 联 合 其 他 防 守 方 对 I P 进 行 封 堵 。 1 . 目 录 列 表 功 能 和 通 用 命 令 执 行 漏 洞 目 录 列 表 功 能 和 通 用 命 令 执 行 漏 洞 发 现 较 多 的 是 一 个 目 录 列 表 功 能 和 通 用 命 令 执 行 漏 洞 ， 甚 至 有 的 已 经 已 成 功 获 取 系 统 / e t c / p a s s w d 文 件 ， 给 到 的 修 复 建 议 一 般 是 I P 进 行 封 堵 ， 对 输 入 的 数 据 中 特 殊 字 符 进 行 转 义 处 理 ， 或 编 码 转 换 ， 对 当 前 w e b 中 间 件 权 限 降 权 处 理 ， 而 目 录 列 表 功 能 危 害 为 任 何 人 都 可 以 浏 览 该 目 录 下 的 所 有 文 件 列 表 。 如 果 该 目 录 不 存 在 默 认 的 主 页 面 文 件 ， 并 且 该 目 录 包 含 了 敏 感 的 文 件 内 容 （ 如 应 用 程 序 源 码 文 件 或 其 它 的 重 要 文 件 内 容 ） ， 那 么 将 导 致 敏 感 文 件 内 容 外 泄 ， 从 而 对 企 业 造 成 直 接 的 经 济 损 失 或 为 恶 意 攻 击 者 提 供 进 一 步 攻 击 的 有 效 信 息 。 进 行 的 操 作 为 ， 如 果 必 须 开 启 该 目 录 的 目 录 列 表 功 能 ， 则 应 对 该 目 录 下 的 文 件 进 行 详 细 检 查 ， 确 保 不 包 含 敏 感 文 件 。 如 非 必 要 ， 请 重 新 配 置 W E B 服 务 器 ， 禁 止 该 目 录 的 自 动 目 录 列 表 功 能 。 2 . J a v a 框 架 通 用 及 代 码 执 行 攻 击 框 架 通 用 及 代 码 执 行 攻 击 J a v a 框 架 通 用 及 代 码 执 行 攻 击 ， 当 然 也 是 扫 描 行 为 ， 我 们 可 以 采 取 的 操 作 ， 解 决 远 程 代 码 执 行 问 题 的 关 键 是 对 所 有 可 能 来 自 用 户 输 入 的 数 据 进 行 严 格 的 检 查 、 对 服 务 器 的 安 全 配 置 使 用 最 小 权 限 原 则 通 常 使 用 的 方 案 有 ： 对 输 入 的 数 据 中 特 殊 字 符 进 行 转 义 处 理 ， 或 编 码 转 换 ， 对 当 前 w e b 中 间 件 权 限 降 权 处 理 ， 若 应 用 程 序 使 用 第 三 方 开 源 框 架 ， 将 框 架 版 本 升 级 至 最 新 版 ； 最 常 用 的 是 升 级 规 则 库 版 本 ， 软 件 版 本 和 进 行 I P 封 堵 ， I P 封 堵 需 要 根 据 客 户 现 场 实 际 环 境 操 作 ， 不 能 影 响 客 户 的 正 常 业 务 。 3 . N m a p 扫 描 行 为 扫 描 行 为 如 ： （ / n i c e   p o r t s , / T r i n i t y . t x t . b a k ） ， 建 议 检 查 自 身 应 用 服 务 器 是 否 有 高 危 端 口 对 外 开 放 ， 并 根 据 实 际 情 况 应 用 防 火 墙 测 略 进
行 I P 封 堵 。 4 . 尝 试 请 求 尝 试 请 求 L i n u x 下 敏 感 文 件 下 敏 感 文 件 如 ： （ / . . / e t c / p a s s w d ） ， / w l s - w s a t / C o o r d i n a t o r P o r t T y p e 1 1 ， 对 此 类 敏 感 请 求 进 行 拦 截 。 5 . M a s s c a n 扫 描 行 为 扫 描 行 为 通 过 M a s s c a n 快 速 获 悉 目 标 端 口 的 状 态 ， 并 针 对 开 启 的 端 口 进 行 攻 击 。 建 议 检 查 自 身 应 用 服 务 器 是 否 有 高 危 端 口 对 外 开 放 ， 并 根 据 实 际 情 况 应 用 防 火 墙 测 略 进 行 I P 封 堵 。   6 . P U T 方 式 写 入 方 式 写 入 如 ： P U T 方 式 写 入 了 一 个 c h k v u l n _ c p . t x t 文 件 ， 被 流 量 分 析 系 统 获 取 ， 攻 击 者 称 系 统 内 有 很 多 漏 洞 建 议 修 复 ， 以 及 该 I P 地 址 的 其 他 攻 击 行 为 ， 但 都 没 有 写 入 成 功 。 对 此 类 敏 感 请 求 进 行 拦 截 。 建 议 禁 止 采 用 P U T 方 式 ， 或 对 P U T 方 式 上 传 的 文 件 做 严 格 的 检 查 ， 防 止 攻 击 者 通 过 此 种 方 式 上 传 木 马 。 1 . 禁 掉 一 些 不 用 的 系 统 命 令 执 行 函 数 。 2 . 权 限 控 制 严 格 。 1 . 检 查 所 使 用 的 底 层 x m l 解 析 库 ， 默 认 禁 止 外 部 实 体 的 解 析 2 . 使 用 第 三 方 应 用 代 码 及 时 升 级 补 丁 3 . 同 时 增 强 对 系 统 的 监 控 ， 防 止 此 问 题 被 人 利 用 。 7 . P H P 代 码 执 行 攻 击 代 码 执 行 攻 击 如 ： 攻 击 i p 为 外 网 ， 在 流 量 日 志 中 发 现 U R L 地 址 中 包 含 ： 包 含 敏 感 目 录 ， s y s t e m 系 统 命 令 执 行 函 数 ， 但 只 是 试 探 行 为 ， 判 断 是 为 攻 击 ， 并 对 I P 进 行 封 堵 。 8 . T o m c a t 远 程 代 码 执 行 远 程 代 码 执 行   如 ： 发 现 攻 击 者 （ 外 网 i p ） 访 问 一 个 u r l 地 址 F x C o d e S h e l l . j s p % 2 0 ， 百 度 一 下 发 现 是 一 个 t o m c a t 漏 洞 ， 如 果 上 传 成 功 它 可 以 下 载 和 执 行 文 件 ， 但 响 应 头 是 4 0 4 ， 一 般 没 有 执 行 成 功 ， 但 保 险 起 见 还 是 把 I P 封 了 。 9 . 敏 感 目 录 探 测 行 为 敏 感 目 录 探 测 行 为 探 测 比 较 多 的 敏 感 目 录   / m a n a g e r / h t m l 和 / w l s - w s a t / C o o r d i n a t o r P o r t T y p e 1 1 ， 如 果 这 些 名 称 敏 感 的 目 录 中 包 含 了 危 险 的 功 能 或 信 息 ， 恶 意 攻 击 者 有 可 能 利 用 这 些 脚 本 或 信 息 直 接 获 取 目 标 服 务 器 的 控 制 权 或 基 于 这 些 信 息 实 施 进 一 步 的 攻 击 ， 但 都 是 4 0 4 的 探 测 行 为 ， 也 进 行 了 I P 封 堵 处 理 。 1 0 . 恶 意 恶 意 p o w e r s h e l l 代 码 和 代 码 和 T h i n k P H P   5 . x 远 程 代 码 执 行 远 程 代 码 执 行 虽 然 返 回 结 果 都 是 4 0 4 ， 但 响 应 体 中 暴 露 出 客 户 的 t o m c a t 等 容 器 版 本 ， 所 以 才 去 的 方 式 也 是 封 堵 I P ， 并 建 议 客 户 可 以 制 作 专 门 的 4 0 4 界 面 。 给 防 守 方 的 建 给 防 守 方 的 建 议 议 1 .   边 界 部 署 防 御 设 备 边 界 部 署 防 御 设 备 / p u b l i c / i n d e x . p h p ? s = / i n d e x / t h i n k a p p / i n v o k e f u n c t i o n & f u n c t i o n = c a l l _ u s e r _ f u n c _ a r r a y & v a r s [ 0 ] = s y s t e m & v a r s [ 1 ] [ ] = e c h o % 2 0 ^ < ? p h p % 2 0 $ a c t i o n % 2 0 = % 2 0 $ _ G E T [ ' x c m d ' ] ; s y s t e m ( $ a c t i o n ) ; ? ^ > > h y d r a . p h p
这 个 目 前 各 大 公 司 都 已 经 上 了 各 类 W A F 、 流 量 检 测 设 备 以 及 防 火 墙 ， 所 以 算 是 老 生 常 谈 ， 不 做 过 多 解 释 。 2 .   终 端 检 测 和 防 御 终 端 检 测 和 防 御 ① 安 全 软 件 ① 安 全 软 件 目 前 国 内 企 业 对 于 终 端 防 御 主 要 依 赖 安 全 软 件 ， 大 多 使 用 的 是 某 数 字 的 产 品 ， 但 实 际 效 果 只 能 算 差 强 人 意 ， 可 以 拦 截 一 部 分 攻 击 者 ， 对 于 高 水 平 的 红 队 并 没 有 什 么 作 用 。 同 时 装 两 个 效 果 会 更 好 点 ， 我 们 这 次 遇 见 的 目 标 就 有 数 字 卫 士 + 国 外 杀 毒 软 件 ， 对 我 们 还 是 造 成 了 一 定 的 影 响 ( 然 并 卵 ) 。 另 外 有 一 点 就 是 对 于 安 全 软 件 的 主 控 端 要 注 意 防 护 ， 国 内 某 安 全 软 件 的 推 送 功 能 对 推 送 文 件 没 有 任 何 检 验 ， 可 以 直 接 推 送 恶 意 软 件 ， 使 用 这 个 功 能 可 以 直 接 打 穿 内 网 。 之 前 也 爆 出 过 赛 门 铁 克 管 理 端 远 程 代 码 执 行 之 类 的 漏 洞 ， 一 定 要 多 加 注 意 ， 不 要 因 为 安 全 软 件 自 身 导 致 内 网 被 渗 透 。 ② 横 向 移 动 检 测 与 阻 止 ② 横 向 移 动 检 测 与 阻 止 这 个 目 前 安 全 软 件 能 检 测 和 阻 止 一 部 分 ， 但 是 不 全 面 ， 而 且 新 的 攻 击 方 法 总 在 不 停 出 现 。 总 体 而 言 需 要 重 点 关 注 危 险 端 口 的 访 问 ， 以 及 新 启 动 进 程 的 父 子 关 系 。 横 向 移 动 就 那 几 个 主 要 的 方 法 ， 新 进 程 的 父 进 程 都 会 特 属 于 某 几 个 进 程 ， 重 点 关 注 是 能 检 测 出 来 绝 大 部 分 的 ， 不 过 这 需 要 蓝 队 对 攻 击 方 法 有 一 定 的 了 解 。 P S ： 红 队 很 多 使 用 c s 做 内 网 渗 透 ， 而 c s 里 面 大 量 依 赖 p o w e r s h e l l 做 横 向 移 动 ， 对 于 确 定 不 用 p o w e r s h e l l 的 服 务 器 或 个 人 机 ， 可 以 禁 止 p o w e r s h e l l 运 行 。 ③ 安 全 日 志 分 析 ③ 安 全 日 志 分 析 这 个 前 提 是 企 业 内 部 已 经 有 S I E M 系 统 ， 要 重 点 分 析 一 些 红 队 所 使 用 的 横 向 移 动 技 术 会 触 发 的 安 全 日 志 或 应 用 日 志 ， 另 外 还 要 关 注 敏 感 账 户 的 登 录 和 变 更 日 志 ， 敏 感 用 户 的 任 何 异 常 行 为 都 不 要 放 过 。 ④ 进 程 白 名 单 ④ 进 程 白 名 单 这 个 需 要 对 业 务 系 统 非 常 熟 悉 ， 才 能 确 定 业 务 服 务 器 上 的 白 名 单 程 序 列 表 ， 稍 有 不 慎 会 导 致 业 务 系 统 不 可 用 。 不 过 这 招 对 红 队 杀 伤 力 很 大 ， 如 果 红 队 贸 然 在 服 务 器 上 运 行 了 白 名 单 之 外 的 程 序 ， 蓝 队 利 用 日 志 分 析 系 统 能 很 快 定 位 出 被 攻 破 的 服 务 器 。 ⑤ 双 因 素 认 证 ⑤ 双 因 素 认 证 双 因 素 认 证 能 够 有 效 的 防 御 密 码 暴 力 破 解 ， 同 时 就 算 员 工 的 密 码 是 弱 口 令 或 者 被 撞 库 成 功 ， 红 队 也 无 法 成 功 登 录 ， 这 能 在 很 大 程 度 上 影 响 红 队 的 进 攻 脚 步 。 重 要 的 业 务 系 统 、 远 程 办 公 系 统 ( v p n 、 远 程 桌 面 、 O A 等 ) 、 堡 垒 机 、 单 点 登 录 认 证 系 统 等 都 应 该 加 上 双 因 素 认 证 。
最 后 从 结 果 来 看 ， 攻 击 队 伍 主 要 可 以 分 为 两 类 ： 最 后 从 结 果 来 看 ， 攻 击 队 伍 主 要 可 以 分 为 两 类 ： 一 类 是 大 量 攻 击 一 类 是 大 量 攻 击 w e b 服 务 得 分 的 服 务 得 分 的 ， 这 类 队 伍 有 很 强 的 w e b 攻 击 能 力 ， 能 够 绕 过 各 大 厂 商 的 W A F 攻 击 开 放 在 互 联 网 上 的 w e b 服 务 ， 进 入 内 网 后 也 会 从 内 网 w e b 服 务 入 手 进 行 攻 击 ， 这 类 队 伍 有 可 能 会 被 蜜 罐 系 统 捕 捉 ， 队 伍 成 员 一 般 多 从 事 渗 透 测 试 类 工 作 ； 另 一 类 则 是 精 于 内 网 隐 蔽 渗 透 的 ， 另 一 类 则 是 精 于 内 网 隐 蔽 渗 透 的 ， 这 类 队 伍 会 抓 住 每 一 个 进 入 内 网 的 机 会 ， 在 内 网 进 行 非 常 谨 慎 而 隐 蔽 的 横 向 移 动 ， 很 难 被 流 量 检 测 设 备 或 态 势 感 知 系 统 检 测 到 ， 至 于 蜜 罐 之 类 的 系 统 对 这 类 队 伍 几 乎 无 用 ， 队 伍 成 员 多 从 事 红 队 测 试 之 类 的 工 作 。 要 从 根 本 上 提 高 安 全 防 护 的 能 力 ， 还 得 平 时 多 下 功 夫 。 在 业 务 系 统 开 发 时 就 引 入 S D L ， 系 统 上 线 后 需 要 进 行 渗 透 测 试 ， 同 时 最 好 引 入 白 盒 代 码 审 计 ， 从 以 往 经 验 来 看 ， 白 盒 测 试 能 够 发 现 很 多 黑 盒 测 试 不 能 涉 及 到 的 安 全 隐 患 和 漏 洞 。 除 了 对 业 务 系 统 的 单 点 安 全 建 设 ， 对 于 整 个 企 业 也 需 要 建 立 完 善 的 检 测 和 响 应 体 系 ， 引 入 S I E M 之 类 系 统 ， 对 所 有 安 全 相 关 的 行 为 与 事 件 做 到 可 查 看 、 可 溯 源 。 最 后 ， 对 于 企 业 整 体 安 全 体 系 评 估 则 需 要 引 入 红 队 测 试 ， 来 具 体 测 试 整 个 安 全 体 系 的 检 测 能 力 和 响 应 能 力 。 一 如 既 往 的 学 习 ， 一 如 既 往 的 整 理 ， 一 如 即 往 的 分 享 。 感 谢 支 持 “ 如 侵 权 请 私 聊 公 众 号 删 文 ” 扫 描 关 注 扫 描 关 注 L e m o n S e c 觉 得 不 错 点 个 觉 得 不 错 点 个 “ 赞 赞 ” 、 、 “ 在 看 在 看 ” 哦 哦
回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver|手机版|小黑屋|Nmaps Club

GMT+8, 2025-1-23 10:30 , Processed in 0.186636 second(s), 31 queries .

Powered by Discuz! X3.5

© 2001-2025 Discuz! Team.

快速回复 返回顶部 返回列表