设为首页收藏本站
切换到窄版

 找回密码
 立即注册
搜索
热搜: 活动 交友 discuz
Nmaps Club»论坛 › Pentests Wiki › Wiki › 护网 › [22046] 2021-06-07_通过服务器日志溯源web应用攻击路径 ...
返回列表 发新帖
查看: 3|回复: 0

[22046] 2021-06-07_通过服务器日志溯源web应用攻击路径

[复制链接]
s7ckTeam

6万

主题

-6万

回帖

-58

积分

管理员

积分
-58
发表于 5 天前 | 显示全部楼层 |阅读模式
2021-06-07_通过服务器日志溯源web应用攻击路径 通 过 服 务 器 日 志 溯 源 w e b 应 用 攻 击 路 径 L e m o n S e c   2 0 2 1 - 0 6 - 0 7 无 论 是 我 们 使 用 的 个 人 计 算 机 还 是 服 务 器 都 为 我 们 提 供 了 强 大 的 日 志 记 录 功 能 。 例 如 系 统 日 志 ， 可 以 为 我 们 记 录 系 统 硬 件 、 软 件 和 系 统 问 题 的 信 息 ， 用 户 可 以 通 过 它 来 检 查 错 误 发 生 的 原 因 ， 或 者 寻 找 受 到 攻 击 时 攻 击 者 留 下 的 痕 迹 。 而 服 务 器 日 志 ， 则 主 要 包 括 访 问 日 志 和 错 误 日 志 。 访 问 日 志 记 录 了 该 服 务 器 所 有 的 请 求 的 过 程 ， 主 要 记 录 的 是 客 户 的 而 服 务 器 日 志 ， 则 主 要 包 括 访 问 日 志 和 错 误 日 志 。 访 问 日 志 记 录 了 该 服 务 器 所 有 的 请 求 的 过 程 ， 主 要 记 录 的 是 客 户 的 各 项 信 息 ， 如 访 问 时 间 、 内 容 、 地 址 等 。 错 误 日 志 则 记 录 服 务 器 出 错 的 细 节 等 数 据 。 同 时 ， 这 些 日 志 记 录 信 息 也 为 安 全 事 各 项 信 息 ， 如 访 问 时 间 、 内 容 、 地 址 等 。 错 误 日 志 则 记 录 服 务 器 出 错 的 细 节 等 数 据 。 同 时 ， 这 些 日 志 记 录 信 息 也 为 安 全 事 件 的 取 证 分 析 提 供 了 强 有 力 的 证 据 和 溯 源 的 渠 道 。 件 的 取 证 分 析 提 供 了 强 有 力 的 证 据 和 溯 源 的 渠 道 。 我 们 以 W e b 服 务 器 为 例 。 最 常 见 的 A p a c h e   H T T P   S e r v e r 一 般 会 为 我 们 提 供 两 个 主 要 的 日 志 文 件   –   a c c e s s . l o g 和 e r r o r . l o g 。 a c c e s s . l o g 记 录 所 有 文 件 请 求 。 如 果 访 问 者 请 求 w w w . e x a m p l e . c o m / m a i n . p h p ， 则 日 志 文 件 中 将 添 加 以 下 条 目 。 从 以 上 日 志 可 以 看 出 ， 一 个 访 问 者 在 2 0 1 6 年 4 月 1 6 日 的 0 7 : 4 4 分 成 功 请 求 了 m a i n . p h p 文 件 。 试 想 该 访 问 者 请 求 的 不 是 一 个 普 通 文 件 ， 而 是 一 个 转 储 数 据 库 的 文 件 例 如 d u m p _ d a t a b a s e . p h p 。 如 果 没 有 日 志 文 件 ， 那 么 我 们 可 能 永 远 不 会 发 现 有 人 或 许 已 经 将 我 们 的 重 要 数 据 窃 取 了 。 下 面 让 我 通 过 一 个 简 单 的 示 例 来 为 大 家 演 示 下 ， 如 何 通 过 一 个 日 志 文 件 溯 源 w e b 应 用 的 攻 击 者 。 调 查 调 查 我 们 假 设 我 们 运 行 的 一 个 最 新 的 W o r d P r e s s 站 点 受 到 了 黑 客 的 攻 击 ， 并 且 该 站 点 运 行 在 没 有 任 何 补 丁 问 题 的 U b u n t u 服 务 器 上 。 在 接 到 任 务 后 ， 为 了 防 止 系 统 及 其 当 前 的 日 志 状 态 发 生 改 变 ， 以 及 阻 止 攻 击 者 可 能 的 远 程 访 问 和 与 其 他 机 器 的 网 络 交 互 ， 我 们 的 分 析 取 证 小 组 首 先 对 服 务 器 进 行 了 “ 离 线 ” 操 作 。 注 ： 注 ： 按 照 正 常 流 程 我 们 需 要 创 建 一 个 当 前 系 统 的 副 本 ， 但 由 于 我 们 是 以 演 示 为 目 的 故 跳 过 该 步 骤 的 操 作 ， 我 们 将 直 接 以 原 始 数 据 为 演 示 对 象 。 寻 找 蛛 丝 马 迹 寻 找 蛛 丝 马 迹
在 调 查 取 证 之 前 ， 我 们 首 先 要 知 道 哪 些 证 据 是 我 们 所 需 要 的 。 通 常 攻 击 者 都 会 直 接 访 问 一 些 “ 隐 藏 ” 或 特 殊 的 文 件 ， 或 需 要 身 份 验 证 的 管 理 区 域 ， 远 程 执 行 代 码 ， S Q L 注 入 ， 文 件 包 含 ， 跨 站 点 脚 本 （ X S S ） 等 异 常 行 为 ， 这 就 表 明 有 攻 击 者 可 能 利 用 了 漏 扫 工 具 或 手 工 对 我 们 的 站 点 进 行 了 探 测 。           这 里 我 们 假 设 我 们 的 a c c e s s . l o g 日 志 文 件 保 存 完 好 并 且 可 用 。 a c c e s s . l o g 往 往 是 一 个 相 当 大 的 文 件 ， 通 常 包 含 了 数 千 条 的 请 求 记 录 。 面 对 数 量 如 此 庞 大 的 记 录 信 息 ， 如 果 我 们 每 一 行 都 去 仔 细 查 看 显 然 不 是 个 明 智 的 选 择 。 因 此 ， 我 们 可 以 将 一 些 没 有 什 么 太 大 价 值 的 数 据 给 去 除 掉 ， 例 如 图 像 、 C S S 、 J a v a S c r i p t 这 类 文 件 。 由 于 我 们 的 演 示 站 点 为 W o r d P r e s s ， 所 以 我 们 可 以 通 过 筛 选 的 方 式 找 出 所 有 具 有 W o r d P r e s s 特 征 的 a c c e s s . l o g 记 录 。 以 上 命 令 将 过 滤 a c c e s s . l o g ， 并 只 显 示 包 含 w p - a d m i n 的 字 符 串 的 记 录 ， w p - a d m i n 是 W o r d P r e s s 的 默 认 后 台 管 理 文 件 夹 ， w p - l o g i n 则 是 W o r d P r e s s （ w p - l o g i n . p h p ） 登 录 文 件 的 一 部 分 。 最 后 的 P O S T 将 筛 选 出 所 有 通 过 P O S T 方 法 发 送 的 H T T P 请 求 ， 这 些 请 求 很 可 能 是 在 提 交 登 录 表 单 。 筛 选 完 成 后 以 下 的 日 志 记 录 引 起 了 我 们 的 注 意 ： 我 们 看 到 I P 为 8 4 . 5 5 . 4 1 . 5 7 的 访 问 者 ， 成 功 访 问 了 W o r d P r e s s 的 管 理 后 台 。 针 对 该 I P 我 们 继 续 筛 选 有 关 它 的 信 息 ：   我 们 得 到 了 以 下 过 滤 内 容 ：
让 我 们 来 分 析 一 下 这 些 记 录 。 攻 击 者 访 问 登 录 界 面 。 攻 击 者 提 交 了 登 录 表 单 （ 使 用 P O S T 方 法 的 H T T P 请 求 ） ， 并 被 重 定 向 （ 3 0 2   H T T P 状 态 代 码 ） 。 攻 击 者 被 成 功 重 定 向 到 了 w p - a d m i n （ W o r d P r e s s 仪 表 盘 ） ， 这 意 味 着 攻 击 者 成 功 进 行 了 身 份 验 证 。 攻 击 者 导 航 到 了 主 题 编 辑 器 。 攻 击 者 试 图 通 过 编 辑 4 0 4 文 件 将 恶 意 代 码 插 入 到 该 页 面 ， 但 由 于 缺 乏 写 入 权 限 最 终 没 能 成 功 。 攻 击 者 访 问 了 插 件 安 装 程 序 。 攻 击 者 安 装 并 激 活 了 文 件 管 理 器 插 件 。 攻 击 者 使 用 文 件 管 理 器 插 件 上 传 了 一 个 名 为 r 5 7 . p h p 的 文 件 ， 这 很 可 能 是 一 个 P H P   w e b s h e l l 脚 本 。 日 志 表 明 攻 击 者 运 行 r 5 7   s h e l l 脚 本 。 查 询 字 符 串 ？ 1 （ 攻 击 者 运 行 了 p h p i n f o ( ) ; ） 和 ？ 2 8 （ 攻 击 者 获 取 到 了 服 务 列 表 ） 可 以 看 出 攻 击 者 并 没 有 发 现 什 么 感 兴 趣 的 东 西 。 8 4 . 5 5 . 4 1 . 5 7   -   G E T   / w o r d p r e s s / w p - l o g i n . p h p   2 0 0 8 4 . 5 5 . 4 1 . 5 7   -   P O S T   / w o r d p r e s s / w p - l o g i n . p h p   3 0 2 8 4 . 5 5 . 4 1 . 5 7   -   G E T   / w o r d p r e s s / w p - a d m i n /   2 0 0 8 4 . 5 5 . 4 1 . 5 7   -   G E T   / w o r d p r e s s / w p - a d m i n / t h e m e - e d i t o r . p h p   2 0 0 8 4 . 5 5 . 4 1 . 5 7   -   G E T   / w o r d p r e s s / w p - a d m i n / t h e m e - e d i t o r . p h p ? f i l e = 4 0 4 . p h p & t h e m e =   t w e n t y s i x t e e n   2 0 0 8 4 . 5 5 . 4 1 . 5 7   -   G E T   / w o r d p r e s s / w p - a d m i n / p l u g i n - i n s t a l l . p h p   2 0 0
攻 击 者 的 最 后 一 个 动 作 是 通 过 文 件 管 理 器 插 件 编 辑 主 题 的 索 引 文 件 ， 并 用 “ H A C K E D ！ ” 替 换 了 其 中 的 内 容 。 基 于 上 述 信 息 ， 我 们 可 以 大 致 判 断 攻 击 者 对 我 们 的 站 点 做 了 什 么 操 作 。 但 这 里 有 个 非 常 重 要 的 点 绝 对 不 能 忽 略 ， 那 就 是 假 设 我 们 的 管 理 员 密 码 并 没 有 泄 露 ， 攻 击 者 也 没 有 尝 试 过 暴 破 ， 那 么 攻 击 者 又 是 如 何 获 取 到 我 们 的 登 录 凭 证 的 呢 ？ 当 前 的 a c c e s s . l o g 文 件 并 没 有 为 我 们 提 供 任 何 线 索 。 不 过 ， 我 们 分 析 的 对 象 不 仅 限 于 这 一 个 a c c e s s . l o g 文 件 。 A p a c h e   H T T P   S e r v e r 为 我 们 循 环 归 档 了 旧 的 日 志 文 件 。 打 开 / v a r / l o g / a p a c h e 2 / 目 录 我 们 可 以 看 到 4 个 额 外 的 日 志 文 件 。 首 先 ， 我 们 筛 选 出 所 有 I P 为 8 4 . 5 5 . 4 1 . 5 7 的 日 志 记 录 。 可 以 看 到 ， 其 中 几 条 记 录 显 示 我 们 的 自 定 义 插 件 遭 到 了 S Q L 注 入 攻 击 。 假 设 该 插 件 是 站 点 管 理 员 在 网 上 随 意 复 制 粘 贴 创 建 的 。 该 脚 本 旨 在 根 据 给 定 的 I D 检 查 用 户 的 有 效 性 。 该 插 件 在 网 站 的 主 页 上 暴 露 了 一 个 表 单 ， 该 表 单 向 / w o r d p r e s s / w p - c o n t e n t / p l u g i n s / c u s t o m _ p l u g i n / c h e c k _ u s e r . p h p 发 送 了 一 个 A J A X   G E T 请 求 。 通 过 对 c h e c k _ u s e r . p h p 脚 本 的 分 析 发 现 ， 脚 本 写 得 并 不 严 谨 且 存 在 S Q L 注 入 漏 洞 。 从 a c c e s s . l o g 中 的 记 录 数 量 和 注 入 语 句 判 断 ， 攻 击 者 很 可 能 是 借 助 了 某 类 S Q L 注 入 工 具 来 利 用 该 S Q L 注 入 漏 洞 。 在 本 文 我 们 将 不 会 深 入 探 讨 S Q L 注 入 攻 击 ， 以 及 如 何 修 复 S Q L 注 入 漏 洞 ， 想 要 了 解 更 多 内 容 可 以 点 击 该 链 接 。 以 下 是 我 们 在 当 前 日 志 中 发 现 的 记 录 ： 以 上 的 这 些 信 息 表 明 了 ， 我 们 的 数 据 库 已 经 受 到 了 严 重 的 威 胁 并 且 我 们 的 重 要 数 据 可 能 也 已 经 被 攻 击 者 所 窃 取 。 分 析 分 析 通 过 以 上 的 日 志 分 析 ， 我 们 已 经 可 以 大 致 的 还 原 攻 击 者 的 攻 击 路 径 了 。 如 下 ：
但 还 有 一 些 问 题 我 们 仍 没 有 答 案 ， 比 如 背 后 攻 击 者 的 真 实 身 份 是 什 么 。 在 这 一 点 上 我 们 只 获 取 到 了 攻 击 者 的 I P 地 址 ， 但 该 I P 地 址 极 有 可 能 是 攻 击 者 使 用 的 一 个 代 理 / 匿 名 I P （ 如 T o r ） 。 在 本 文 的 示 例 中 攻 击 者 为 我 们 留 下 了 大 量 的 证 据 和 记 录 ， 而 在 实 际 环 境 中 攻 击 者 可 能 会 清 除 所 有 的 关 键 信 息 ， 这 势 必 会 加 大 调 查 人 员 的 取 证 难 度 。 总 的 来 说 导 致 这 次 S Q L 注 入 攻 击 ， 归 根 于 自 定 义 W o r d P r e s s 插 件 中 不 安 全 的 代 码 编 写 。 其 次 ， 如 果 网 站 管 理 员 能 够 定 期 对 网 站 进 行 安 全 检 查 ， 那 么 也 能 在 一 定 程 度 上 避 免 此 类 事 件 的 发 生 。 转 载 自 ： h t t p s : / / w w w . f r e e b u f . c o m / a r t i c l e s / w e b / 1 3 8 8 6 7 . h t m l 一 如 既 往 的 学 习 ， 一 如 既 往 的 整 理 ， 一 如 即 往 的 分 享 。 感 谢 支 持 “ 如 侵 权 请 私 聊 公 众 号 删 文 ” 关 注 关 注 L e m o n S e c 觉 得 不 错 点 个 觉 得 不 错 点 个 “ 赞 赞 ” 、 、 “ 在 看 在 看 ” 哦 哦
回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver|手机版|小黑屋|Nmaps Club

GMT+8, 2025-1-23 10:43 , Processed in 0.193258 second(s), 29 queries .

Powered by Discuz! X3.5

© 2001-2025 Discuz! Team.

快速回复 返回顶部 返回列表