设为首页收藏本站
切换到窄版

 找回密码
 立即注册
搜索
热搜: 活动 交友 discuz
Nmaps Club»论坛 › Pentests Wiki › Wiki › 护网 › [22238] 2021-08-09_蓝队攻防｜如何在没有日志的情况下 ...
返回列表 发新帖
查看: 1|回复: 0

[22238] 2021-08-09_蓝队攻防｜如何在没有日志的情况下跟踪事件？

[复制链接]
s7ckTeam

6万

主题

-6万

回帖

-58

积分

管理员

积分
-58
发表于 5 天前 | 显示全部楼层 |阅读模式
2021-08-09_蓝队攻防｜如何在没有日志的情况下跟踪事件？ 蓝 队 攻 防 ｜ 如 何 在 没 有 日 志 的 情 况 下 跟 踪 事 件 ？ 转 自 白 帽 子 左 一   L e m o n S e c   2 0 2 1 - 0 8 - 0 9 前 置 知 识 前 置 知 识 本 文 w i n d o w s   v i s t a   以 前 系 统   日 志 信 息 日 志 扩 展 名 ： . e v t x 三 个 主 要 日 志 ： 安 全 事 件   应 用 事 件   系 统 事 件 位 置 ： C : W i n d o w s S y s t e m 3 2 c o n f i g w i n d o w s   v i s t a +   及 以 后 系 统   日 志 文 件 与 类 型 分 类 更 多 。 主 要 日 志 变 成 数 十 个 ， 甚 至 上 百 个 。 w i n d o w s 日 志 （ 三 个 主 要 日 志 依 旧 存 在 ） ， 应 用 与 服 务 日 志 ， 第 三 方 应 用 日 志 等 位 置 ： C : W i n d o w s S y s t e m 3 2 w i n e v t l o g s 注 意 不 同 环 境 位 置 的 差 异 性 事 件 日 志 生 成 的 数 据 流 事 件 日 志 生 成 的 数 据 流 控 制 面 板 所 有 控 制 面 板 项 管 理 工 具 服 务   查 看   或 者   进 程 右 键   -   属 性   查 看 注 意 不 同 环 境 中 命 名 的 差 异 性 可 以 发 现 ， 不 同 环 境 中 的 服 务 名 称 的 差 异 性 命 名 任 务 管 理 器 中 的 服 务 P I D 与 进 程 s v c h o s t . e x e   P I D 一 致
事 件 日 志 服 务 （ 属 性 中 ） ， 实 际 上 是 一 个 s v c h o s t . e x e 镜 像 实 例 。 以 帮 助 和 管 理 日 志 服 务 。
s v c h o t s . e x e   元 数 据 中 的 日 志 服 务 项 会 加 载 w e c s v c . d l l 文 件 （ 其 他 很 多 第 三 方 工 具 也 都 可 查 看 ）
w e c s v c . d l l 文 件 有 很 多 模 块 ， 任 何 人 都 可 以 利 用 它 篡 改 结 果 字 符 串 。 命 令 行 是 s v c h o s t . e x e 的 路 径 ， 如 下 图 。 但 请 记 住 ， 一 切 都 是 通 过 w e c s v c . d l l 加 载 得 来 的 。
因 此 ， 这 上 面 的 字 符 串 看 上 去 可 能 不 是 真 实 的 。 这 将 引 入 内 存 取 证 的 知 识 。 比 如 用 V o l a t i l i t y ， 查 A P I   h o o k 地 址 范 围 的 合 法 性 ， 内 存 中 加 载 的 D L L 等 。 关 注 更 多 的 第 三 方 工 具 ， 体 验 它 并 观 察 更 多 颗 粒 度 的 细 节 。 P I D 关 联 线 程 功 能 从 内 核 的 角 度 来 运 行 这 个 进 程 时 ， 会 展 现 出 更 多 线 程 的 颗 粒 度 。 进 程 之 后 有 线 程 ， 线 程 做 实 事 。
注 意 数 据 流 与 缘 由 ， 从 表 层 到 里 层 e v e n t   - - >   s v c h o s t . e x e   - - >   加 载   w e c s v c . d l l e v e n t 服 务 属 性 命 令 行   - - >   第 三 方 工 具 关 联 同 一 个 P I D   s v c h o s t . e x e 实 例 发 现 一 堆 读 写 文 件 与 路 径 文 件   - - >   最 后 展 现 内 核 角 度 的 线 程 如 果 事 情 很 复 杂 ， 引 入 脑 图 已 发 现 详 细 颗 粒 度 信 息 之 间 的 威 胁 气 味 。 颗 粒 度 抽 象 思 维 是 红 队 成 功 利 用 的 关 键 方 式 之 一 。 颗 粒 度 抽 象 思 维 是 红 队 成 功 利 用 的 关 键 方 式 之 一 。 我 将 上 面 的 原 理 ， 步 骤 ， 数 据 流 处 理 抽 象 表 示 为   1   - - >   2   - - >   3   - - > 4 。 攻 击 者 可 以 从 1 2 3 4 ， 这 四 种 角 度 分 别 入 手 已 进 行 利 用 该 原 理 链 。 只 需 片 刻 即 可 利 用 ， 因 此 请 确 保 您 已 知 晓 上 述 的 整 个 步 骤 ， 过 程 与 数 据 流 间 的 关 联 。 红 队 在 关 注 g i t h u b 上 最 新 的 项 目 。 一 旦 有 方 式 ， 方 法 出 现 在 g i t h u b 上 。 他 们 非 常 迅 速 的 将 它 武 器 化 还 更 新 自 己 的 武 器 库 。 让 我 们 看 看 红 队 的 T T P s 。 攻 击 者 使 用 的 攻 击 者 使 用 的 T T P s 清 除 日 志 清 除 日 志
具 有 管 理 员 权 限 ， 可 以 使 用   C L I （ 命 令 行 ）   和 / 或   G U I （ 图 形 化 界 面 ）   清 除 事 件 日 志 。 在 整 个 攻 击 者 生 命 周 期 中 ， 某 些 组 织 会 间 歇 性 地 清 除 。 这 种 组 织 计 划 周 详 ， 非 常 擅 长 清 除 日 志 。 他 们 有 一 个 非 常 好 的 清 理 计 划 ： 毁 掉 他 们 所 有 的 恶 意 软 件 ， 输 出 的 文 件 ， 安 全 的 删 除 一 切 ， 最 后 在 撤 退 时 清 除 掉 日 志 文 件 。 下 图 为 捕 获 到 的 清 除 日 志 痕 迹 。 您 可 以 关 注 G i t H u b 上 各 种 蓝 队 工 具 并 进 行 测 试 来 呈 现 更 多 的 细 节 部 分 。
比 如 这 里 的 工 具 ： h t t p s : / / d o c s . m i c r o s o f t . c o m / e n - u s / s y s i n t e r n a l s / 如 果 没 有 一 种 机 制 可 以 捕 获 这 种 清 除 日 志 的 痕 迹 ， 会 非 常 的 痛 苦 。 日 志 都 没 了 ， 去 查 谁 。 。 他 们 进 行 特 权 提 升 ， 清 除 部 署 的 恶 意 软 件 的 所 有 事 件 日 志 。 清 除 事 件 日 志 的 动 作 会 创 建 一 个 事 件 日 志 ， 审 计 日 志 已 被 清 除 。 它 会 被 S I E M 平 台 捕 捉 到 并 告 警 。 【 注 意 】 攻 击 者 会 利 用 这 个 告 警 ， 在 晚 上 疯 狂 告 警 已 试 图 在 时 间 线 上 欺 骗 您 ， 但 它 们 真 实 的 攻 击 过 程 没 有 发 生 在 告 警 的 时 间 线 里 。 有 点 像 计 中 计 。 将 日 志 转 发 到 S I E M 平 台 或 者 其 他 存 储 库 必 须 要 有 这 种 平 台 来 保 护 日 志 ， 这 应 该 在 组 织 中 标 准 化 。 不 要 说 承 担 不 起 这 个 费 用 。 可 以 买 几 块 硬 盘 来 拷 贝 。 监 控   “ A u d i t   L o g   w a s   C l e a r e d "   事 件 ， S e c u r i t y   E I D 为   1 1 0 2 。 干 预 事 件 日 志 和 设 置 干 预 事 件 日 志 和 设 置 禁 用 事 件 日 志 服 务 禁 用 事 件 日 志 服 务 停 止 服 务 会 产 生 很 多 的 其 他 信 息 ， 它 阻 止 日 志 存 储 。 可 以 将 这 些 信 息 与 您 知 道 的 事 件 日 志 清 除 的 信 息 结 合 起 来 。 攻 击 者 不 会 过 分 的 关 注 停 止 服 务 对 于 取 证 方 面 有 什 么 含 义 。 他 们 只 会 学 习 停 止 服 务 这 种 技 巧 的 手 法 。
注 册 表 中 关 于 修 改 事 件 日 志 设 置 的 变 量 位 置 。 注 意 此 处 是 否 被 红 队 光 临 与 篡 改 过 。 H K L M S Y S T E M C u r r e n t C o n t r o l S e t S e r v i c e s E v e n t L o g 保 存 这 些 基 线 值 在 日 后 进 行 核 查 。 【 注 意 ， 不 同 环 境 的 机 器 ， 基 线 值 和 键 值 的 差 异 性 】 有 不 同 的 攻 击 组 织 甚 至 会 在 日 志 大 小 的 细 节 上 做 文 章 ， 他 们 篡 改 大 小 值 让 它 很 小 ， 呈 现 很 多 文 件 与 事 件 ， 然 后 用 噪 声 淹 没 它 。 在 S I M E 平 台 上 编 写 规 则 来 检 测 这 种 服 务 停 止 攻 击 ， 因 为 S I E M 平 台 没 有 预 期 收 到 该 机 器 的 日 志 转 发 的 数 据 后 ， 可 以 判 定 为 异 常 。 检 查 注 册 表 或 内 存 以 获 取 事 件 日 志 服 务 的 证 据 。 它 应 该 一 直 运 行 。 注 意 s e r v i c e   s t a t e ： 该 日 志 服 务 是 运 行 态 的 。
增 减 日 志 增 减 日 志 攻 击 者 通 常 会 清 除 一 个 ， 而 不 是 全 部 m i m i k a t z 干 涉 日 志 m i m i k a t z 的 事 件 日 志 编 辑 p r i v i l e g e : : d e b u g   提 权 。 没 有 权 限 ， 怎 么 操 控 日 志 。 d r o p 功 能 ： p a t c h   e v e n t s   s e r v i c e   抓 住 这 个 事 件 服 务 防 止 它 生 成 新 的 事 件 c l e a r ： 清 除 这 个 事 件 日 志
回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver|手机版|小黑屋|Nmaps Club

GMT+8, 2025-1-23 10:31 , Processed in 0.689575 second(s), 29 queries .

Powered by Discuz! X3.5

© 2001-2025 Discuz! Team.

快速回复 返回顶部 返回列表