摘自：作者/PgHook，属FreeBuf原创奖励计划文章，未经许可禁止转载
3 B4 Y! u# w* f# y! l6 C6 [ T; X' ?- S/ ?4 N
0×01、前言‍‍
! L' G4 l* k/ U‍‍习惯性的讲点废话，笔者是一名菜鸟安全工程师。有幸参与过两次安全方面的比赛，有些个人的体会，所以就有了这篇文章了。（自知技术还很菜，望各位大牛不喜勿喷，也欢迎对这方面感兴趣的同学来和我一起交流探讨。）‍‍
% s7 ^0 Z$ I5 C0 {1 R) E0×02、攻击者会怎么做？‍‍‍在做这几次防护的过程中，我一直在思考。我如果是攻击者，我会怎么来攻击？我会怎么去做？‍‍
5 F/ I/ m5 r; Q0 b7 I, {‍‍A、第一步，针对目标做信息收集（扩大目标）‍‍6 C+ _: g, I/ j/ n, t0 m
‍‍子域信息、Whois信息、Ip信息、端口信息、公司人员的信息、公司邮箱信息等等,一切与目标相关的信息。‍‍6 ~% ?) s6 j! y m* c% D
‍‍B、针对拿到的信息，进行漏洞扫描及挖掘‍‍
% p& a- g! |' t( I* L‍‍针对子域，我们可以去尝试获取其ip，及对其域名进行漏洞扫描。‍‍
: `: B% q: i! f% C8 p3 I6 m* G) m1 O‍‍针对whois信息，我们可以去尝试，获取其注册邮箱，进一步进行社工拿到密码进行域名劫持。‍‍
2 _4 N- t' m& r7 `7 J* H‍‍针对ip信息，我们可以去获取ip对应的端口及服务，对相应的服务进行漏洞扫描及挖掘。（对于踢场子的来说，直接进行ddos，直接让你玩不下去。）‍‍
, R- Q& u. X- `5 |% M0 j‍‍针对公司人员信息及公司邮箱信息，可以进行社工弱口令之类。看能否拿到某位员工的公司邮箱，通过敏感信息进一步深入。（如果碰到某位关键人物）‍‍8 C4 `' ?0 i0 F& m
‍‍看我写起来貌似很简单似的，但实际上确是一个苦逼而漫长的过程。‍‍
7 P0 F4 `/ s* m# m) `+ b9 o‍‍除了攻击者的技术水平、人的毅力及对事物的专注程度外，还与运气有点关系。（看你碰到的是sb管理还是nb管理）‍‍" o" }! x9 }9 T* C
‍‍做为防护者，这个时候你该怎么做了？？对方已经出招，得接住呀！不然这个看场子的任务就将失败了。‍‍5 D3 N0 L% K6 R. M) ]+ m; [/ ~
‍‍0×03、我是这样来做防护的‍‍‍‍A、Find and fix（这个其实是很关键的）‍‍‍‍‍‍从字面上理解就是”发现并修复“，简单的来说就是通过一些手段，去发现系统中的安全问题，然后解决问题。（医生的最高境界不是去治疗疾病，而是在疾病没有来，就拔除了，根源在代码）‍‍
0 B) m& z3 o5 z‍‍带领团队成员对站点进行安全测试，发现安全问题，尽量减少外部安全隐患。（这里只能说是减少隐患，一个人的力量是有限的，一个团队的力量也是有限的，并且侧重点都不一样。）' [' ]: M: z) ?7 c
‍
9 y- o1 V/ m: v! ^/ X3 W‍‍上面也说了，只能是减少安全隐患，当漏了安全问题的时候，该怎么办了？？这就有了下面的了。‍‍) H5 x' n% X* j. I
‍‍‍‍B、Defend and Defer‍‍‍‍‍‍从字面上来说是“捍卫和推迟”（这是谷歌翻译的啊！和我没关系），这里的防护难道仅仅是弄一些安全设备(防火墙、入侵检测系统、web应用防火墙)么？？？当然这些也是不可少的，但不是全部。合理的事物，放在合理的位置，才能产生好的效果。‍‍! G0 ^; V" G3 q) Z# c0 b% E. L3 ]
' y2 K$ P. P7 j4 b5 n<img src="http://image.3001.net/images/20150323/1427081527226.png!small" title="111.png"/></p>1 c5 ^: L1 k; P* _ _
‍‍纵深防护‍‍
6 k+ A. P$ L- ^$ Q# z‍‍‍‍‍‍这里主要涉及到，防火墙的HA，入侵检测系统、白名单的使用，CDN及云防护。‍‍‍‍‍‍
' ^; M5 W& U k% O# N u‍‍‍‍流量从外面到里面需要经过如下几层：‍‍‍‍$ U1 `# m, ]+ w/ W" c- t9 U& g1 m
‍‍- 第一层必须经过CDN云防护的过滤及隐藏真实ip；‍‍‍‍第二层必须经过防火墙白名单过滤，只允许cdn过来的流量；‍‍‍‍第三层必须经过IDS或者IPS的过滤或者记录风险行为。
' l, W# P) S. c4 W<img src="http://image.3001.net/images/20150322/14269949999924.png!small" title="2.png"/></strong></span></p>
3 v" g" E: j' {2 F# |9 [‍‍MASTER防火墙‍‍8 E# I+ J; a2 Q9 u6 L' }
# d: R" j' D0 G& d( ~<img src="http://image.3001.net/images/20150322/14269950239745.png!small" title="3.png"/></strong></span></p>% P) P w3 l7 B4 y% c6 n% G3 E$ R* d
‍‍BACKUP防火墙‍‍
: K- B* t1 ~8 y' m4 x‍‍这里防火墙的HA,主要是为了防止单点故障或者说是流量攻击时而设。‍‍关于这个防火墙的HA，这里有文章介绍：‍‍‍‍( g6 M1 w! q7 D
http://drops.wooyun.org/%E8%BF%90%E7%BB%B4%E5%AE%89%E5%85%A8/4010
0 G7 s( r# g) l+ }( t5 h‍‍难道安全防护做到这里就完成了？如果有人绕过了你的种种过滤（或者说你的某一层过滤失效了），你还能高枕无忧么？不能想当然，你做不到，并不代表别人也做不到。一切皆有可能，做好最坏的打算。‍‍4 X1 f# ?* ^/ N1 [
‍‍‍‍‍‍‍‍当黑客绕过了重重过滤后，对服务器进行攻击的时候，你是否能在第一时间发现？‍‍‍‍‍‍
4 ^8 J% l) R3 F6 G/ A: P( U‍‍当黑客找到服务器漏洞，绕过了各种防护，拿到了shell，你是否能在第一时间了解到，并能分析出漏洞所在地？‍‍‍‍
5 `1 k% T5 ^8 j‍‍这个时候就有了第四层的监控（应该算是比较失败的），基于主机的ids（可以理解成一个文件监控系统，自然也可以成为一个日志分析系统），从理论上讲，我们可以使用这个东西，对网站目录进行监控及日志文件进行监控。一但网站文件发生变化，就立刻报警。但通过实战，通过经验告诉我，不要理想化，任何东西，都不可能横空出世，都是有他的机制的。‍‍
% o' I. B. I7 L9 N) F6 W! M5 y1 Q‍‍这里第四层，使用的是ossec这个软件，它对文件的监控，上面也说了比较失败的。比较失败的原因是，之前只是知道怎么去使用它，并不明白它是采用的什么机制，导致差点出大大问题。‍‍
0 K5 a0 j* g5 o0 G4 j- e% N‍‍第五层，做最坏的打算，当攻击者上传拿到shell后，绕过了前面三层的防护，而在第四层失效的情况下，攻击者不就可以在你的网络里面漫游了么？这种情况是不能容忍的，这个时候第五层防护就出现了。用专业词汇来说叫“风险控制”，风险控制的目的是，减少风险事件发生时造成的损失。打好各个补丁（防止提权），降低服务运行权限，取消上传目录的执行权限。就算攻击者通过某0day拿到服务器的shell，他也不能干啥，因为权限很低嘛！‍‍" E) T; y$ ]" X$ \3 R# P
‍‍你现在能拿到子域信息、Whois信息、公司人员的信息、公司邮箱信息。对于公司人员的信息、公司邮箱信息这里暂时不考虑，这个只能通过提高员工的安全意识来进行。这里还存在子域信息，和whois信息。关于这个域名信息上面B主要就是针对这个的，这里就不提了。‍‍
8 n" l1 u3 m! }‍‍往往被大家忽略的是whois信息，通过whois信息我们可以看到有可能看到注册者的邮箱（这里是可以隐藏的）就可以对邮箱(一般是个人邮箱，才好弄)进行社工（现在满大街的库），如果侥幸能拿下，就happy了。还能看到域名使用的ns服务器，即而得知使用的那家的cdn，如果说在注册域名的地方不行，那就去cdn呗，效果差不多。‍‍# W! h- v2 `0 ]' A
8 v7 s2 I% Q, d H<img src="http://image.3001.net/images/20150322/14269950973848.png!small" title="4.png"/></strong></span></p>* i$ x! W: M6 S6 V
‍‍Cdn就一定靠得住么？就算它靠的住，难保他自己会不存在问题。一不小心，发现了一个隐患，只能说是个可能性吧！你想想如果，cdn上面的邮箱和密码被泄漏出去了，别人给你改改，你的站点就死活打不开了，前面的一切就白费了。‍‍
, o, p+ k J0 G! A' N1 N3 p, M( k1 ~, K7 p; I& k/ X
<img src="http://image.3001.net/images/20150322/14269951439800.png!small" title="5.png"/></strong></span></p>
* g7 n( r2 o1 r8 Y' O4 q& x. m5 p‍‍看到没，qq邮箱，是不是可以对这个邮箱进行社工啊？手气好说不定就搞定了这个密码。‍‍
4 `! f; o& T# s% ]2 j# [3 C: {, G2 N/ _- A0 m ^
<img src="http://image.3001.net/images/20150322/14269951747543.png!small" title="6.png"/></strong></span></p>
: M+ A' U6 D. l. N) b. R |$ C6 m‍‍这个是咱们的，已经改了个昵称了，默认是显示邮箱的。‍‍
. c* G2 N3 I4 v/ o: h& W‍‍‍‍C、Secure at the Source‍‍‍‍‍‍‍‍个人理解这句话的意思应该是“源代码里面的安全”，这个就要从代码的书写者身上去找答案了。也就是上面所提高到高明的医生，不会让疾病产生，在源头就给干掉了。很多大公司都有他们的一套“安全开发流程”，应该就是在这个层面的。‍‍‍‍
8 ]7 k0 E V- I9 W5 g" X' y‍‍在这里做好了，可以减少很多问题，及bug，但往往得不到很好的解决。从代码的的书写者，角度来说，肯定是怎么方便怎么来。压根不会去考虑安全问题，或许也不了解。再者，书写者的水平也参差不齐，就造就了不安全的代码。‍‍‍‍3 u# y1 L$ X' }8 z' M1 _
‍‍0×04、迟早都是要还的‍‍‍‍曾经的不谙世事，曾经的无知无畏。现在终于要还了，以前经常去挖掘别人系统的漏洞，没日没夜的去扫别人的系统。甚至弄挂别人的服务器，都没想过有一天，我也会被晾在外面，被人虐。‍‍
- h" n! p' S' _% t5 y‍‍由于业务需要的原因，某重要子域需要关闭CDN上的云防护。即第一层的防护，这其实是很危险的，但业务的需要也是没办法的，首先要保障的是可用，如果都不可用了，还谈什么安全了？第二层防护其实就是为了，最大限度的隐藏真实ip，防止ddos攻击。云防护已经没了，那么第三层就显的尤为重要了。这里就主要介绍下，在这个第三层发现的一些攻击行为吧！这里主要介绍下，几个典型的案例。‍‍! @6 c2 S& K& B8 ?4 {' A: ~% @
案例一：某攻击者使用sqlmap对站点进行注入攻击
! v: m- I3 L$ T0 C! w! ?. u& V, P: K! e
<img src="http://image.3001.net/images/20150322/14269952114964.png!small" title="7.png"/></strong></span></p>
, f% s; K+ s- J5 f r# O, e7 A‍‍Sqlmap（sql注入神器）‍‍
5 J( E; L5 D& K# r& a+ A
0 i" l6 o. l+ @- W5 k# J: r% n( E<img src="http://image.3001.net/images/20150322/1426995231941.png!small" title="8.png"/></strong></span></p>
7 h! F0 o; ]! H# x‍‍‍‍打开数据包，发现其实就是这个user-agent暴露了自己。因为使用了cdn，攻击者的真实ip放在x-forwarded-for，通过这个找到了攻击者所在的单位。‍‍‍‍
: ]1 v5 B: q9 l7 q! V! n" |& r) B7 g, d0 I" C
<img src="http://image.3001.net/images/20150322/14269952624613.png!small" title="9.png"/></strong></span></p>2 U) \* g) t1 \, |, V
案例二：某攻击者使用某神器对网站进行注入攻击5 s Q- X, s- b" f* L. s6 G! I
/ Z# L& ]8 n: \# i( [. z1 ~* V5 I<img src="http://image.3001.net/images/20150322/14269952829773.png!small" title="10.png"/></strong></span></p>
3 K6 ?6 R: |" j/ [‍‍查看Payload‍‍* A Z9 n; v7 o8 z" ^# G3 H
2 J; _% v& r( D% I; o9 j. K8 K
<img src="http://image.3001.net/images/20150322/14269953029090.png!small" title="11.png"/></strong></span></p> |: t6 B) Z" a# {
‍‍‍‍‍‍‍‍看来是一个高明的攻击者，对工具掌握的很好了，基本没暴露出来使用的什么工具，但从请求的时间请求的频率来看，可以判断肯定是工具提交的。‍‍‍‍
- h8 y. L. D: K; J$ J6 m案例三：某大侠在测试上传漏洞5 |/ K+ a& F5 S+ H& a6 C: I, E" y
( `0 h0 z" ^. z0 m$ Q8 f8 q. ~<img src="http://image.3001.net/images/20150322/14269954054641.png!small" title="12.png"/></strong><br/></h3>
3 {- S! E1 v) J/ Z7 v‍‍通过查看x-forwarded-for，大概判断应该是两个人（不能准确的说，因为别人还有可能使用vpn）。我‍‍们来看下它们的Payload吧！‍‍‍‍* y7 k! }$ \0 ~1 H& W
‍‍Payload 1.1:‍‍! K d1 M' u* d, `( ]" w
6 w! u; p% F/ z<img src="http://image.3001.net/images/20150322/14269954459811.png!small" title="13.png"/></strong></span></p>
. A+ s; ~. d& ^! Q‍‍这不是一句话木马么？
5 [8 @' z; \: I# c- Z) K‍‍‍‍Payload 1.1:‍‍‍‍
7 d; c" u7 S* b+ ?
* G! p" h# K4 q3 L4 ~<img src="http://image.3001.net/images/20150322/14269954779214.png!small" title="14.png"/></strong></span></p>( ?: D. k* u& G: @3 B! W8 F
‍‍小伙子不死心呀！‍‍0 [+ u7 g; R: O
‍‍‍‍‍‍这里也让我紧张了一把，虽然他们上传的是php，没关系，我们这边不是php的。所以解析不了，但还是有点怕怕的，立马登录到服务上，看了会这个上传文件的目录，才放下心来。‍‍‍‍ Q8 }6 K h/ B5 G$ w
‍‍Payload 2：‍‍3 e& c+ X4 A) u r5 L# C
% M2 V! z8 l( R
<img src="http://image.3001.net/images/20150322/14269955327276.png!small" title="15.png"/></strong></span></p>
8 e5 w( E z2 O- o- }1 H‍‍很好奇，这个哥们这个1.php里面写了什么玩意。通过http头部里‍‍面的X-Forwarder-For记录的ip，查到两位攻击者分别处于长沙和邵阳的。
8 f5 ]+ b c1 v4 R9 |8 ~案例四：意外的收获
1 g2 j. | @8 n; z; a$ P2 D‍‍一个意外的收获，发现老外们都在玩这个（friendly-scanner）。‍‍" w; U8 P7 b6 r
6 V! h* F- d5 j. {! X! d
<img src="http://image.3001.net/images/20150322/14269955716101.png!small" title="16.png"/></strong></span></p>
/ X2 V1 B# Q9 f) u‍‍查看Payload‍‍
/ l+ d" y# b" f1 k1 n1 a! _$ F" `& @( @$ P4 }; _
<img src="http://image.3001.net/images/20150322/14269955934602.png!small" title="17.png"/></strong></span></p>% p, }* Y$ l4 A/ i3 o' D# M6 X
‍‍‍‍friendly-scanner到底是一个什么扫描了？？百度一下‍‍‍‍
7 i" [2 Z% y8 E @/ y3 C9 o9 z+ F3 j0 u/ ?$ J W% B
<img src="http://image.3001.net/images/20150322/14269956335259.png!small" title="18.png"/></strong></span></p>
: M. {3 G% {$ J
: i; @ P1 g2 I" _- X. ~<img src="http://image.3001.net/images/20150322/14269956346626.png!small" title="19.png"/></strong></span></p> P% y0 Q7 U8 X* W% T) B' a; |
‍‍高大上啊！有时间研究下这款工具。这个VoIP攻击，国内确实很少有人去研究都没怎么听说过。‍‍
1 y7 O8 _. r& `: W% n案例五：这个是bash漏洞么？( u. f1 F3 a' m
% m5 A" ^1 X; A) X1 _
<img src="http://image.3001.net/images/20150322/14269956559891.png!small" title="20.png"/></strong></span></p>
" d) _3 j+ J C; Q, X4 [- l8 X‍‍查看Payload‍‍
3 M' @: H4 h K" g' ^4 O
% N7 R- P9 M5 x3 D+ |$ r<img src="http://image.3001.net/images/20150322/14269956881338.png!small" title="21.png"/></strong></span></p>
& y# u! n0 a$ ^‍‍顿时就明白是怎么回事了，但还是有点怕怕的，立马上服务器把bash漏洞的补丁打了。‍‍" V$ m; W$ x% M0 w3 _
‍‍（Yum update bash）& a; {& D: b0 O
案例六：一些七七八八的信息
% @$ h1 }) c1 y$ X) H2 b) U) r& Z1 `2 R/ d
<img src="http://image.3001.net/images/20150322/14269957166229.png!small" title="22.png"/></strong></span></p>( I7 @- F0 j, b* M2 P D$ T1 A
‍‍这个其实也挺恐怖的，看到了”shell”这个字。‍‍‍‍
/ [6 e" l t a1 z- _' n Q0 P‍‍通过查看Payload，发现其实就是上传了一个html文件，没啥。‍‍+ v# ^6 a$ e) R
; }2 ^& w; ?9 V<img src="http://image.3001.net/images/20150322/14269957537255.png!small" title="23.png"/></strong></span></p>2 c2 L! X6 p, l8 e
1 f: h$ c) o) @<img src="http://image.3001.net/images/20150322/1426995781808.png!small" title="24.png"/></p>0 s. C- o" c( c6 E" t, k' f
‍‍这应该是扫描器弄的，我们都没用jboss。‍‍; p- @- t% E. s& L1 g( L
‍‍0×05、一颗敬畏之心‍‍‍‍渗透测试，个人认为就是一种可能性的测试。没有什么不可能的，无论是做为防守者还是攻击者，都不能是想当然，要以理性的头脑去测试或者防护。如果要归根到底的话，问题的源头，都是人的问题。‍‍0 X$ Z6 D% G+ ?
‍‍个人认为做安全防护，还有一个原则就是“信任”。需要做的是，在不可信地方设防，到底那里不可信，外面不可信，里面就可信了么？同样你也不能完全信任，你需要明确谁可以访问谁，做好访问控制。‍‍+ ^- G, O& c. a% }
‍‍最后要感谢下乌云白帽“霍大然”及“北京-lion_00”两位大侠的指点。‍‍
; Y( ?- g8 A1 v9 j2 i0 `3 t‍‍编者注：笔者是南方人，因此“呢”“了”不分，改不下去了，大家明白就好~~~‍‍1 H6 Q2 P& t$ }
‍‍参考资料
/ y* g! \0 t. l1 c《白帽子讲web安全》
, W7 L! v: U B# ?http://drops.wooyun.org/tips/2821$ K7 K3 [" _- B9 b
http://drops.wooyun.org/%E8%BF%90%E7%BB%B4%E5%AE%89%E5%85%A8/4010# n7 ?8 d9 P; x/ m; @
http://drops.wooyun.org/%E8%BF%90%E7%BB%B4%E5%AE%89%E5%85%A8/3874 |
|
Ai优选商家寻找本地地推合作伙伴303求项目与合作
拥抱AI搜索新时代！GEO优化成为企业流量增909网络资讯
GEO优化如何让企业流量翻倍？808网络资讯
/ U( Q8 T5 q3 [( U H
! a* _ t, c* Y0 ?# o
% Q% T) O# }( r
$ {8 q; ~. J+ z( h
9 l1 {: I' L8 o6 V" C
P. d1 s$ L" M
" [! u" s+ S) G1 u3 `9 X
. K5 z5 ]. L6 Q9 e w3 q' z6 y; u
8 R/ z Q! s" ?$ I5 f7 i6 i) V
& x0 i* A& ~7 |0 _) \" N8 Z
6 T5 P4 E& F* Z+ E" F
: Q" q8 t, D( R
: S; ^4 d" K" h- u
/ @0 Y. g( u# \, _
% l9 Y e6 @, X' b8 [1 F# h
提升卡
置顶卡
沉默卡
喧嚣卡
变色卡
千斤顶
显身卡