搜索

[619] 2018-04-20_一次对Webshell的大规模分析

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-16
2018-04-20_一次对Webshell的大规模分析 一 次 对 W e b s h e l l 的 大 规 模 分 析 A r k T e a m   2 0 1 8 - 0 4 - 2 0 作 者 ： { F r 4 n k } @ A r k T e a m 原 文 作 者 ： O l e k s i i   S t a r o v ,   J o h a n n e s   D a h s e ,   S y e d   S h a r i q u e   A h m a d ,   T h o r s t e n   H o l z   a n d   N i c k   N i k i f o r a k i s 原 文 标 题 ： N o   H o n o r   A m o n g   T h i e v e s :   A   L a r g e - S c a l e   A n a l y s i s   o f   M a l i c i o u s   W e b   S h e l l s 原 文 会 议 ： 2 0 1 6   I n t e r n a t i o n a l   C o n f e r e n c e   o f   W o r l d   W i d e   W e b 近 年 来 ， W e b 应 用 程 序 是 攻 击 者 利 用 安 全 漏 洞 进 行 攻 击 的 最 常 见 目 标 之 一 。 在 成 功 渗 透 进 W e b 站 点 后 ， 攻 击 者 会 使 用 W e b s h e l l 维 持 对 目 标 长 久 的 访 问 权 限 。 尽 管 W e b s h e l l 在 实 践 中 普 遍 存 在 ， 并 且 严 重 涉 及 W e b 安 全 问 题 ， 但 它 从 未 成 为 任 何 研 究 的 直 接 主 题 。 相 反 ， W e b s h e l l 经 常 被 视 为 需 要 检 测 和 删 除 的 恶 意 " 软 件 " ， 而 不 是 需 要 分 析 和 详 细 了 解 的 恶 意 代 码 。 原 文 中 ， 通 过 部 署 蜜 罐 系 统 并 结 合 不 同 的 静 态 和 动 态 分 析 方 法 ， 发 现 并 量 化 了 被 广 泛 使 用 W e b s h e l l 的 可 见 和 不 可 见 特 性 ， 讨 论 了 攻 击 者 如 何 利 用 W e b s h e l l 实 现 站 点 的 接 管 。 在 完 成 样 本 预 处 理 过 程 后 ， 作 者 使 用 静 态 污 点 分 析 技 术 对 W e b s h e l l 功 能 进 行 统 计 ， 其 中 最 突 出 的 功 能 特 性 是 对 系 统 信 息 的 收 集 和 与 文 件 系 统 的 交 互 ， 结 果 如 图 1 所 示 。 图 1   W e b s h e l l 功 能 分 布 作 者 在 对 通 信 过 程 中 的 分 析 发 现 ， 攻 击 者 使 用 W e b 浏 览 器 与 服 务 器 进 行 连 接 时 ， 可 能 会 从 浏 览 器 端 或 服 务 器 端 泄 露 当 前 访 问 U R L 或 其 他 类 型 信 息 ， 并 与 第 三 方 通 信 。 其 中 浏 览 器 在 加 载 页 面 时 ， J a v a S c r i p t 代 码 会 与 外 界 进 行 通 信 ， 可 以 泄 露 当 前 页 面 d o c u m e n t . l o c a t i o n . h r e f 属 性 值 从 而 泄 露 当 前 U R L 到 G o o g l e 等 第 三 方 。 服 务 端 同 样 可 能 因 为 使 用 的 框 架 、 底 层 语 言 A P I 泄 露 部 分 访 问 信 息 。 通 过 建 立 一 个 蜜 罐 系 统 来 量 化 通 信 过 程 中 的 泄 露 程 度 ， 作 者 在 O p e n W P M 平 台 [ 1 ] 上 捕 获 了 客 户 端 日 志 和 第 三 方 请 求 ， 发 现 有 2 9 . 2 % 的 P H P   W e b s h e l l 接 触 了 第 三 方 域 。 尽 管 一 些 向 远 程 主 机 发 送 的 第 三 方 请 求 是 良 性 的 ， 但 这 些 偶 然 的 请 求 却 会 泄 露 W e b s h e l l 的 位 置 到 远 程 主 机 。
图 2   测 试 W e b s h e l l   H o m e p h o n i n g 的 蜜 罐 架 构 最 后 ， 作 者 在 实 验 基 础 上 描 述 了 第 三 方 攻 击 者 和 安 全 公 司 是 如 何 使 用 过 期 的 域 名 来 接 管 W e b s h e l l ， 并 通 过 此 次 对 W e b s h e l l 的 全 面 研 究 提 出 了 能 够 更 好 地 设 计 W e b s h e l l 检 测 方 法 的 观 点 。 参 考 文 献 ： [ 1 ]   S .   E n g l e h a r d t ,   C .   E u b a n k ,   P .   Z i m m e r m a n , D .   R e i s m a n ,   a n d   A .   N a r a y a n a n .   O p e n W P M :   A n   A u t o m a t e d P l a t f o r m   f o r   W e b   P r i v a c y   M e a s u r e m e n t . M a n u s c r i p t ,   2 0 1 5 . 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理