Web攻防之应急响应(一)

news2024/9/25 21:25:47

目录

1. 前言

2. 靶场准备

3. 应急场景

4. 应急实战

4.1 查看服务器开放端口

4.2 通过远程链接工具连接服务器 

4.3 寻找中间件日志

 4.4. 查看并下载日志

 4.5 初步分析日志

 4.6 查看安全分析报告

4.6 从被篡改的页面开始

4.6 通过修改的文件时间进一步分析日志信息

 4.7 通过D盾进行后门查杀并进行分析

5. 报告编写


1. 前言

        本篇是对自己学过的应急响应的知识的一个回顾,主要包含入侵后门检测,日志分析,暗链检测,在弱鸡师傅的基础上结合我个人的学习和实战经验写的靶机应急博文.

实战web入侵后门检测,日志分析,暗链检测icon-default.png?t=N7T8https://flowus.cn/share/a0846006-88f5-4f6a-b8a1-a30fd4cbaba8?code=BE2FT6
 

2. 靶场准备

        注意经过我的测试,使用靶机时最好打开桥接模式,不然无法无法方便的查看ip地址,进行进一步的连接.

应急实战靶场:

Ubuntu14.04.6

        通过网盘分享的文件:wbt64yjxyserver.zip 链接: 百度网盘 请输入提取码 提取码: dvx9 --来自百度网盘超级会员v3的分享

账号: root

密码: admin!@#45

3. 应急场景

已知本次应急的中间件为tomcat,服务器为Linux

本次的应急响应场景,以及具体要求

管理员发现发现网站从百度点击进去后,跳转到菠菜页面。

1、查杀webshell并判断马子类型   

2、判断暗链

3、查到木马

4、找到攻击者的ip地址并进行溯源

5、分析日志 总结本次攻击者的攻击手法与入口

        

4. 应急实战

4.1 查看服务器开放端口

确认服务器开放了22端口

netstat -anpt # 查看开放服务以及端口

ifconfig # 查看服务器的ip地址

4.2 通过远程链接工具连接服务器 

        这里根据个人喜好吧,我比较喜欢finalShell,需要了解这个工具的师傅可以看我这篇博文

Win下相较于Xshell功能更齐全的FinalShell SSH安装使用教程-CSDN博客文章浏览阅读711次,点赞14次,收藏8次。FinalShell是一款集成SSH工具、服务器管理、远程桌面加速等功能的软件,支持Windows、macOS、Linux多平台。它不仅具有SSH客户端的功能,还提供了服务器网络和性能实时监控、内存和CPU性能监控、进程管理器、快捷命令面板等强大的开发和运维工具,充分满足用户需求。与Xshell相比,FinalShell的优势在于提供了更多的实用功能,且完全免费,而Xshell是一款专业权威的SSH客户端,界面美观,但需要付费使用,且不支持图形显示,免费版有功能限制。https://blog.csdn.net/weixin_72543266/article/details/141531170

4.3 寻找中间件日志

        如果有日志的话分析起来就会方便很多,优先寻找日志,根据已知中间件及系统,因为我使用的是finalShell所以文件是一目了然的,并且因为常用中间件,所以日志目录也记得比较熟,不熟的师傅可以搜一下,或是记录一下,当然也可以看我整理的里面有常见的中间件日志目录位置.

熟练的话直接输入下面的命令即可

cd /usr/local/tomcat8/logs

        当然如果不确认tomcat版本以及目录有没有改变的话,可以依次输入命令进行查看,这里我因为使用的finalShell,可以实时查看目录,所以就不需要每次去查看当下目录的文件了

cd ls -la # 每次到一个目录下使用
cd /usr # 第一个进入目录需要加/ 后面不需要
cd local
cd tomcat8
cd logs 

 4.4. 查看并下载日志

        注意,一个中间件的日志信息很多,而我们需要找的日志是访问日志,作用是存储外界人员访问,请求资源等日志信息,在tomcat中localhost_access_log.YYYY-MM-DD.txt  格式的日志是我们需要注意的日志,不知道日志分类的可以看这篇文章

Tomcat 日志分类以及详解_tomcat日志级别-CSDN博客icon-default.png?t=N7T8https://blog.csdn.net/qq_34556414/article/details/108444580#:~:text=%EE%80%80tomcat%EE%80%81%20%EE%80%80%E5%AF%B9%E5%BA%94%E6%97%A5%E5%BF%97%E7%9A%84%E9%85%8D%E7%BD%AE%E6%96%87%E4%BB%B6%EE%80%81%EF%BC%9Atomcat%E7%9B%AE%E5%BD%95%E4%B8%8B%E7%9A%84/conf/logging.properties%E3%80%82通过命令查看日志信息或是直接使用finalShell查看日志信息

cat localhost_access_log.2023-03-15.txt

通过finalShell工具进行下载日志到本地,这样就更好分析了

 4.5 初步分析日志

        这里使用360星图进行初步分析日志,依次进行下面的操作

可以将日志文件放在工具的默认路径下,可以将日志文件路径按照如图所示的操作

日志存放路径示例

 最后点击start.bat即可

分析完后,会出现一个result的文件夹,并出现如图所示的三个文件示例

 4.6 查看安全分析报告

        虽然使用了工具,但是工具只是方便快捷的快速梳理,肯定还是存在误报的.打开日志的安全分析报告进行初步分析,通过对安全报告的初步分析,通过对其中初步检测出的信息,进行手动分析

         通过手动分析访问日志,以及通过报告其实初步只能判断进行了敏感目录扫描,因为网站被挂了暗链,所以网站被进行篡改的话,需要上传文件,并且tomcat8其实是有文件上传这个洞的,如果不知道的话,也没关系就按照正常思路,扫描目录,是要找敏感文件或是后台位置,到这里我们的思路基本断了

4.6 从被篡改的页面开始

        虽然基本上简单通过工具进行分析后,想要近一步分析的话,还是需要知道黑客都做了什么,首先我们知道黑客进行篡改了页面,拿就从篡改的页面开始进行分析,找到webapps/ROOT目录下面的index.jsp页面,根据经验找到存放index.jsp文件夹

cd /usr/local/tomcat8/webapps/ROOT

查看index.jsp页面的最后一次的修改时间 

ls -l # 查看目录下的文件
ls -l --full-time index.jsp # 查看文件的修改时间

         打开篡改的页面,发现恶意代码,这里的baidu.com代表篡改跳转的页面,这段代码的作用是,只要是通过白名单的搜索来的访问index.jsp页面就会跳转到百度.

4.6 通过修改的文件时间进一步分析日志信息

         通过修改时间搜索日志信息,在日志中全局搜索 13:   这里注意要带:,不然无法找到,因为13这个数字的话太多了无法找到.通过发现日志路径和请求方式 POST /manager/html/upload 

        这里一看就是上传了马子,并且分析一下前面很多重复的路径的401路径,打过中间件tomcat的话,这个是很典型的在进行弱口令爆破.

        上传马子后,肯定回去访问进行连接的,这里访问了1.jsp, 1.jsp疑似为马子.

 4.7 通过D盾进行后门查杀并进行分析

        确定了马子,这种事情交给工具就ok了

        通过finalShell将D盾-32位的tgz文件直接拖入

cd /usr/local/tomcat8 
tar zxvf hm-linux-386.tgz -C ./ # 解压到当前目录下

给hm加上管理员权限,并查看工具的帮助目录,加不加-h都可以

chmod +x hm
./hm -h # 查看工具基本功能

./hm scan /usr/local/tomcat8/webapps # 进行扫描

命中了三个后门 

查看扫描结果 

 cat result.csv

        发现三个疑似后门文件,通过手动确认以及根据扫描确认为哥斯拉后门.

        学过java的师傅和打过站点或是进行过漏洞复现的师傅的话知道,1.jsp是通过war包上传后,然后解压得到的 

 其中使用./index.jsp是进行了隐藏后门

分别进入目录进行查看文件的时间

通过ls查看是看不到隐藏的后门的,但是通过ls -la 却可以看到

当我分析到这里的时候发现有点不对劲,于是重新打开日志进行分析 

         重新搜索了13:16,想到了,查看文件的是最后一次的修改时间,因此还是需要看日志,才能分析出整个攻击流程,差点被误导了

5. 报告编写

        攻击者的流程: 首先通过Tomcat弱口令拿到网站权限,上传1.war,解压访问/1/1.jsp,修改index.jsp页面,上传.index.jsp后门

修复:修改为强口令、实施访问控制和文件上传验证、增强监控和日志记录、进行应用安全审计、移除后门文件、定期更新和打补丁、制定应急响应计划、部署Web应用防火墙,并定期进行代码审计和安全测试,以提高系统安全性和响应能力。

本文来自互联网用户投稿,该文观点仅代表作者本人,不代表本站立场。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如若转载,请注明出处:http://www.coloradmin.cn/o/2077622.html

如若内容造成侵权/违法违规/事实不符,请联系多彩编程网进行投诉反馈,一经查实,立即删除!

相关文章

零基础学PLC的指令-位逻辑指令(1)

1、常开触点: 它是一个逻辑开关,可以理解为是电气控制图中的常开按钮,这个逻辑开关是否接通是受寻址的结果而决定的,若I0.0(按位寻址)的寻址结果为“1”,这个逻辑开关就会导通,若寻…

2.2.2 Posix API与网络协议栈 3

3 断开连接 四次挥手 不分客户端,服务器,只分主动方和被动方 主:tcp包里fin这一位 置1被:回,ack这一位 置1被: fin1主:ack1 与posix api关系,调用了close() ,不是网络…

数据库mysql集群主从、高可用MGR、MHA技术详解

一、安装数据库mysql步骤 环境:红帽7.9系统 安装依赖 yum install cmake gcc-c openssl-devel ncurses-devel.x86_64 libtirpc-devel-1.3.3-8.el9_4.x86_64.rpm rpcgen.x86_64 -y 将下载的MySQL软件包解压并cd到mysql的目录下 [rootmysql-node10 ~]# tar zxf mysq…

新手小白Ubuntu18.04超详细安装教程

1、Ubuntu18.04系统下载地址 Ubuntu18.04下载地址 直接下载桌面版 2、Ubuntu18.04安装 (1)打开VMware虚拟机 文件—>新建虚拟机—>选择典型 (2)选择稍后安装系统 (3)选择linux系统,…

Linux常用应急排查命令(持续更新)

1、history (1)使用history查看历史命令,分析攻击者使用过何命令 history(2)但攻击者也能回使用history -c 清除掉历史命令 history -c(3)使用cat查看cat /root/.bash_history 文件也可以查看…

C++入门基础知识35——【关于C++ 存储类之mutable 存储类thread_local 存储类】

成长路上不孤单😊【14后,C爱好者,持续分享所学,如有需要欢迎收藏转发😊😊😊😊😊😊😊!!!!&#xff…

CentOS安装使用教程与集群环境搭建

文章目录 一、下载CentOS镜像1. 下载 二、创建虚拟机三、CentOS安装、克隆与配置1. 安装CentOS2. CentOS虚拟机克隆2.1 介绍2.1.1 完全克隆 (Full Clone)2.1.2 链接克隆 (Linked Clone) 2.2 克隆虚拟机 3. CentOS虚拟机配置3.1 修改主机名3.2 配置虚拟机网络3.3 配置网络参数3.…

C:回调函数的介绍-学习笔记

前言: 本篇文章我们将继续指针相关知识:回调函数 希望大家在看完后能够有所收获! 回调函数 定义与概念 回调函数是一个通过指针调用的函数。 如果把函数指针作为参数传递给另一个函数,当这个指针被用来调用其所指向的函数时&…

ARM32开发——(十四)GD32F4_DMA功能查询

GD32F4系列微控制器支持DMA(Direct Memory Access)功能,该功能允许外设通过DMA控制器直接访问内存,从而减轻CPU的负担。GD32F4系列微控制器的DMA功能如下: 支持最多8个DMA通道,每个通道都可以对应一个外设…

MySQL集群技术2——MySQL的主从复制

MySQL主从复制 MySQL 主从复制是一种常用的数据复制机制,它允许在一个或多个从属服务器上复制来自主服务器的数据更改。这种机制对于实现数据备份、负载均衡、读写分离等多种应用场景都非常有用。下面是关于 MySQL 主从复制的详细说明: MySQL 主从复制…

Linux平台下UE的代码启动流程

文章目录 概述main(主函数)CommonUnixMain(unix平台通用函数)GuardedMain(引擎主函数)AppExitCallback(退出调用) 小结 概述 本篇主要写下Linux下UE的启动流程,主要还是代码流程。从最开始的main函数,到最后的引擎层的启动退出,至于中间加载…

显示器熄屏待机时,音响持续发出USB插入和拔出的声音的解决方法!

电脑电源计划设置经过一段时间自动关闭显示屏,当显示屏关闭的时候,连接电脑主机的音响会每隔大约5秒左右持续播放USB插入和拔出的提示声,非常烦人。 网上搜索的解决方法是在显示器的设置中将输入源的【自动输入】关闭即可。原因是显示器信号被…

从汇编层看64位程序运行——C++的Copy Elision(复制省略)技术的实现

大纲 Copy Elision的应用场景返回值优化(Return Value Optimization, RVO)命名返回值优化(Named Return Value Optimization, NRVO)C11及以后的移动语义 禁用Copy Elision(复制省略)Copy Elision&#xff0…

Redis 的 主从复制

目录 1 Redis 主从复制介绍 2 Redis主从复制原理 2.1 主从同步过程 3 Redis实现主从复制 3.1 环境配置 3.2 修改各节点的配置文件 3.2.1 MASTER 3.2.2 SLAVE 3.3.3 重启Redis 3.3 查看是否实现了主从复制 3.3.1 MASTER 3.3.2 SLAVE 3.3.3 Redis 常用操作 3.3.4 数据添加查看…

AD9162数据链路lanes与FPGA高速BANK引脚交叉相连导致vivado编译失败

问题概述 对AD9162芯片进行功能开发时,发现AD9162的链路lanes与FPGA的高速BANK引脚存在交叉相连的情况,按照实际的引脚连接关系进行约束后,vivado编译失败。 问题阐述及原因分析 问题详情阐述 板卡对AD9162芯片进行功能开发时,发…

高并发业务下的库存扣减技术方案设计

扣减库存需要查询库存是否足够: 足够就占用库存不够则返回库存不足(这里不区分库存可用、占用、已消耗等状态,统一成扣减库存数量,简化场景) 并发场景,若 查询库存和扣减库存不具备原子性,就可能超卖&…

node.js使用express框架实现api接口开发(从零开始,超简单可直接复制)

目录 一、效果图 二、实现 1、引入express框架依赖 2、 新建启动文件(/server/index.js) 3、新建接口函数文件(/server/router.js) 一、效果图 二、实现 1、引入express框架依赖 在项目文件夹根目录下,打开控制台…

ShenNiusModularity:一款基于 .NET Core 框架研发的自媒体内容管理系统

项目介绍 ShenNiusModularity是一款基于 .NET Core 框架研发的、开源、免费的自媒体内容管理系统。项目秉承大道至简的原则开发,坚持业务模块最低复杂度复用,代码方面追求简单、高效、实用。适合小白入门进阶,同样适用老手上路干活。 项目包…

Python青少年简明教程:字符串

Python青少年简明教程:字符串 字符串(string)是用于表示文本的数据类型。它是不可变的序列类型,即一旦创建,字符串中的字符就无法改变。 下面对Python中字符串的详细介绍,包括字符串的创建、操作和常见方法…

MySQL 集群技术全攻略:从搭建到优化(下)

目录 四.mysql高可用之组复制 (MGR) 1.组复制流程 2.组复制单主和多主模式 3.实现mysql组复制 五.mysql-router(mysql路由) 1.Mysql route的部署方式 六.mysql高可用之MHA 1.MHA架构图 2.为什么要用MHA? 3.MHA 的组成 4.什么是 MH…