搜索

[871] 2018-07-24_Window应急响应（一）：FTP暴力破解

文档创建者：s7ckTeam
浏览次数：8
最后更新：2025-01-16
2018-07-24_Window应急响应（一）：FTP暴力破解 W i n d o w 应 急 响 应 （ 一 ） ： F T P 暴 力 破 解 原 创   B y p a s s   B y p a s s   2 0 1 8 - 0 7 - 2 4 收 录 于 话 题   # 应 急 响 应 实 战 笔 记   , 1 5 个 0 x 0 0   前 言 前 言                   F T P 是 一 个 文 件 传 输 协 议 ， 用 户 通 过 F T P 可 从 客 户 机 程 序 向 远 程 主 机 上 传 或 下 载 文 件 ， 常 用 于 网 站 代 码 维 护 、 日 常 源 码 备 份 等 。 如 果 攻 击 者 通 过 F T P 匿 名 访 问 或 者 弱 口 令 获 取 F T P 权 限 ， 可 直 接 上 传 w e b s h e l l ， 进 一 步 渗 透 提 权 ， 直 至 控 制 整 个 网 站 服 务 器 。 0 x 0 1   应 急 场 景 应 急 场 景                   从 昨 天 开 始 ， 网 站 响 应 速 度 变 得 缓 慢 ， 网 站 服 务 器 登 录 上 去 非 常 卡 ， 重 启 服 务 器 就 能 保 证 一 段 时 间 的 正 常 访 问 ， 网 站 响 应 状 态 时 而 飞 快 时 而 缓 慢 ， 多 数 时 间 是 缓 慢 的 。 针 对 网 站 服 务 器 异 常 ， 系 统 日 志 和 网 站 日 志 ， 是 我 们 排 查 处 理 的 重 点 。 查 看 W i n d o w 安 全 日 志 ， 发 现 大 量 的 登 录 失 败 记 录 ： 0 x 0 2   日 志 分 析 日 志 分 析 安 全 日 志 分 析 ： 安 全 日 志 分 析 ： 安 全 日 志 记 录 着 事 件 审 计 信 息 ， 包 括 用 户 验 证 （ 登 录 、 远 程 访 问 等 ） 和 特 定 用 户 在 认 证 后 对 系 统 做 了 什 么 。 打 开 安 全 日 志 ， 在 右 边 点 击 筛 选 当 前 日 志 ，   在 事 件 I D 填 入 4 6 2 5 ， 查 询 到 事 件 I D 4 6 2 5 ， 事 件 数 1 7 7 0 0 7 ， 从 这 个 数 据 可 以 看 出 ， 服 务 器 正 则 遭 受 暴 力 破 解 ：
进 一 步 使 用 L o g   P a r s e r 对 日 志 提 取 数 据 分 析 ， 发 现 攻 击 者 使 用 了 大 量 的 用 户 名 进 行 爆 破 ， 例 如 用 户 名 ： f x x x ， 共 计 进 行 了 1 7 8 2 6 次 口 令 尝 试 ， 攻 击 者 基 于 “ f x x x ” 这 样 一 个 域 名 信 息 ， 构 造 了 一 系 列 的 用 户 名 字 典 进 行 有 针 对 性 进 行 爆 破 ， 如 下 图 ： 这 里 我 们 留 意 到 登 录 类 型 为 8 ， 来 了 解 一 下 登 录 类 型 8 是 什 么 意 思 呢 ？ 登 录 类 型 登 录 类 型 8 ： 网 络 明 文 （ ： 网 络 明 文 （ N e t w o r k C l e a r t e x t ） ） 这 种 登 录 表 明 这 是 一 个 像 类 型 3 一 样 的 网 络 登 录 ， 但 是 这 种 登 录 的 密 码 在 网 络 上 是 通 过 明 文 传 输 的 ， W i n d o w s S e r v e r 服 务 是 不 允 许 通 过 明 文 验 证 连 接 到 共 享 文 件 夹 或 打 印 机 的 ， 据 我 所 知 只 有 当 从 一 个 使 用 A d v a p i 的 A S P 脚 本 登 录 或 者 一 个 用 户 使 用 基 本 验 证 方 式 登 录 I I S 才 会 是 这 种 登 录 类 型 。 “ 登 录 过 程 ” 栏 都 将 列 出 A d v a p i 。 我 们 推 测 可 能 是 F T P 服 务 ， 通 过 查 看 端 口 服 务 及 管 理 员 访 谈 ， 确 认 服 务 器 确 实 对 公 网 开 放 了 F T P 服 务 。
另 外 ， 日 志 并 未 记 录 暴 力 破 解 的 I P 地 址 ， 我 们 可 以 使 用 W i r e s h a r k 对 捕 获 到 的 流 量 进 行 分 析 ， 获 取 到 正 在 进 行 爆 破 的 I P ： 通 过 对 近 段 时 间 的 管 理 员 登 录 日 志 进 行 分 析 ， 如 下 ：
管 理 员 登 录 正 常 ， 并 未 发 现 异 常 登 录 时 间 和 异 常 登 录 i p ， 这 里 的 登 录 类 型 1 0 ， 代 表 远 程 管 理 桌 面 登 录 。 另 外 ， 通 过 查 看 F T P 站 点 ， 发 现 只 有 一 个 测 试 文 件 ， 与 站 点 目 录 并 不 在 同 一 个 目 录 下 面 ， 进 一 步 验 证 了 F T P 暴 力 破 解 并 未 成 功 。 应 急 处 理 ： 1 、 关 闭 外 网 F T P 端 口 映 射                       2 、 删 除 本 地 服 务 器 F T P 测 试 服 务 0 x 0 3   预 防 处 理 措 施 预 防 处 理 措 施   F T P 暴 力 破 解 依 然 十 分 普 遍 ， 如 何 保 护 服 务 器 不 受 暴 力 破 解 攻 击 ， 总 结 了 几 种 措 施 ： 1 、 禁 止 使 用 F T P 传 输 文 件 ， 若 必 须 开 放 应 限 定 管 理 I P 地 址 并 加 强 口 令 安 全 审 计 （ 口 令 长 度 不 低 于 8 位 ， 由 数 字 、 大 小 写 字 母 、 特 殊 字 符 等 至 少 两 种 以 上 组 合 构 成 ） 。
2 、 更 改 服 务 器 F T P 默 认 端 口 。 3 、 部 署 入 侵 检 测 设 备 ， 增 强 安 全 防 护 。 本 文 由 B y p a s s 原 创 发 布 ， 转 载 请 保 留 出 处 。 欢 迎 关 注 我 的 个 人 微 信 公 众 号 ： B y p a s s - - ， 浏 览 更 多 精 彩 文 章 。 B y p a s s A b o u t   M e 一 个 网 络 安 全 爱 好 者 ， 对 技 术 有 着 偏 执 狂 一 样 的 追 求 。 致 力 于 分 享 原 创 高 质 量 干 货 ， 包 括 但 不 限 于 ： 渗 透 测 试 、 W A F 绕 过 、 代 码 审 计 、 安 全 运 维 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理