5.5 后门检测与查杀-webshell
1、关于webshell
概念：存在于web服务器端的脚本后门，以asp、php、jsp等网页文件形式存在的一种命令执行环境
特性：与服务端正常脚本运行原理相同。可以绕过防火墙对主机进行操作。可进行文件上传、下载、命令执行等。webshell操作权限取决于解析器运行权限
2、一句话木马
概念：通过向服务端提交一句简短代码，配合本地客户端来实现webshell功能
示例：
<%eval request("cmd")%>
# eval函数用于执行客户端命令。request()接收客户端提交的数据。cmd为客户端提交命令的参数值
特性：变形多，易隐藏、难发现
基于交换数据流（alternate data streams）的一句话木马
NTFS文件系统中文件可以存在多个数据流，其他文件流可以寄宿在主文件流中(流寄托于宿主)。使用资源派生来维持与文件相关的信息，无法通过资源管理器(explorer)及命令行(cmd)查看。流文件与宿主文件的修改不相互影响，删除宿主文件即可删除流文件。
创建流文件方法：
宿主文件:与宿主文件关联的数据流文件。如：echo “test” >test.txt:ads.txt
查看ADS木马：工具LADS
lads.exe 目标目录 /S
notepad test.txt:ads.txt #如此也可以打开数据流文件ads.txt
清除ADS木马：工具Streams
streams.exe –s –d 目标目录
清除宿主文件test.txt后，数据流文件也会随之清除 #宿主文件可清除的情况下
3、webshell检测
1、基于webshell属性
根据文件创建日期进行搜索。指定时间段内文件修改时间。通过文件指纹，定期进行对比。对比文件目录结构
2、基于webshell日志
部分webshell通过get方式提交相关参数：Rename、Delete、Rename、Edit、EXecute
统计指定文件类型访问量并排序：访问量异常的文件即可能为后门
开启日志POST记录，记录指定大小的数据包：eval、base64_decode
3、基于webshell特征(Linux)
关键字查找：
grep –RPn “(passthru|shell_exec|system|phpinfo|base64_decode|chmod|mk dir|fopen|fclose|readfile|php_uname|eval|tcpflood|udpflood|edoced_46esab) *\(” /var/www
find /www -name“*.php”|xargs grep“shell_exec”|more
自动化脚本查找：findWebshell、Scan_webshell.py
文件内容搜索工具：grepWin(支持正则表达式)
自动化工具查找：WebShellKill、WebScan、HwsKill
5.6 日志分析与溯源-windows/linux
1、windows系统日志
依赖的服务：Eventlog(如果该服务被禁用就不会产生任何日志)
查看日志：通过事件查看器(eventvwr)管理。支持查看、筛选、另存、清除。文件类型为Evt。该文件格式不支持编辑，所以无法对日志内容进行修改
默认路径：%SystemRoot%\system32\config\。达到大小上限时将进行覆盖
日志类型：应用程序(AppEvent.Evt)、安全性(SecEvent.Evt)、系统(SysEvent.Evt)
1、应用程序日志
来源：系统组件和第三方应用程序（安全软件）
类型：信息、警告、错误
2、系统日志
来源：系统组件
类型：信息、警告、错误日志。大部分事件均有固定的事件ID
3、安全性日志
来源：Security
应急响应过程中重要参考对象：用户名、登录类型、源网络地址
默认只有登陆成功的审核日志
审计日志内容可配置：成功与失败。策略更改、登陆、目录访问、账户管理等事件均可记录。可以将日志配置为能记录多方面信息。更改后使用组策略刷新：gpupdate /force
2、日志中的登录类型
| 登录类型号 | 登录类型对应的名称 | 登录类型细节 |
|---|---|---|
| 登录类型2 | 交互式登录(Interactive) | 在控制台上通过本地键盘进行的登录(KVM) |
| 登录类型3 | 网络(Network) | 连接到共享文件夹或打印机的用户认证(IIS) |
| 登录类型4 | 批处理(Batch) | 任务计划启动时其中配置的运行账户创建的会话 |
| 登录类型5 | 服务(Service) | 服务启动时其中配置的运行账户创建的登陆会话 |
| 登录类型7 | 解锁(Unlock) | 计算机锁定后输入口令的解锁过程 |
| 登录类型8 | 网络明文(NetworkCleartext) | 通过明文传输口令的网络登录(HTTP Basic登录IIS—Advapi) |
| 登录类型9 | 新凭证(NewCredentials) | 使用RUNAS/Netonly运行程序时，连接网络上其它计算机登陆 |
| 登录类型10 | 远程交互(RemoteInteractive) | 通过终端服务、远程桌面或远程协助登陆计算机时 |
| 登录类型11 | 缓存交互(CachedInteractive) | 当域控制器不可用时，域用户登录时将使用缓存的凭证HASH来验证(最近10次) |
3、常见的残留痕迹(基于Windows10操作系统)
| 痕迹 | 默认位置 |
|---|---|
| 用户目录(rd /s /q) | X:\Users |
| 桌面目录(习惯性操作) | X:\Users\用户\Desktop |
| IE临时文件(访问网页缓存) | X:\Users\用户\AppData\Local\Microsoft\Windows\INetCache |
| 历史文件访问记录 | X:\Users\用户\AppData\Local\Microsoft\Windows\History |
| 临时文件(自解压释放) | X:\Users\用户\AppData\Local\Temp |
4、账户相关记录
1、当前账户信息(隐藏、克隆账户)
注册表：HKLM\SAM\SAM\Domains\Account\Users
2.登陆用户记录(已删除账户)
注册表：HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList
3.相关记录扫描工具：
index.dat
比如由浏览器(IE&Explorer)创建的数据库文件。包含最近的URL访问、搜索字符串、文件打开等记录。非文本文件，可用Index.dat Analyzer等工具读取。
5、其他记录
1、回收站目录
--根目录下的RECYCLER目录，以SID命名用户目录
--INFO2文件保存被删文件的文件名、时间、日期及原文件映射关系
2、运行历史记录
--Win+R命令执行记录
3、默认下载路径
--Windows NT 6.0(Vista)及以后：C:\Users\Account\Downloads
4、其他应用软件记录
--Office、Firefox、WinRAR
6、Linux系统日志
依赖的服务：rsyslog(旧版本syslog)。如果停止就不会产生任何日志
--/etc/init.d/rsyslog status
默认配置文件:
/etc/syslog.conf
/etc/rsyslog.conf(centos6以后)
配置文件默认路径：
/var/log(/var/tmp)
文件类型为文本：
查看文本命令：cat、more、tail
在root权限下删除IP为这个的记录：sed -i ‘/172.0.1.2/d’ access_log*
将按一定规则自动拆分：
cron-20140926、btmp.1、dpkg.log.2.gz
默认只有root用户对日志文件有修改权限
7、默认启用的一些日志
1、/var/log/secure：安全认证相关信息(ssh，ftp)
2、/var/log/cron：定时任务相关信息(脚本执行监控)
3、/var/log/message：系统应用信息和错误(服务启动排错)
4、/var/log/boot.log：开关机过程进程信息(磁盘挂载)
5、/var/log/maillog：邮件相关信息(存取与往来）
6、/var/log/spooler：uucp和news设备相关信息
8、用户登录相关
| 相关命令 | 功能 | 具体实现 |
|---|---|---|
| wtmp | 用户登陆及系统启停(last) | who -u /var/log/wtmp |
| lastlog | 最近成功登陆时间(lastlog) | lastlog -f /var/log/lastlog |
| btmp | 登陆认证失败记录(lastb) | last -f /var/log/btmp |
| utmp | 当前在线用户(w、who、users) | who -u /var/run/utmp |
9、其他记录
1、命令执行历史记录
--.bash_history
--默认为1000条(HISTSIZE)
--export HISTFILE=/dev/null export HISTSIZE=0
2、使用vim操作记录：
.viminfo
3、SSH连接记录：
.ssh/known_hosts
4、账户相关记录
--stat /etc/passwd /etc/shadow #查看这两个文件的Modify时间
--ls -la /home/test(test是用户) #查看主目录。它不随账户一起删除
--userdel –r test #彻底删除账户。连同主目录一起删除
5.7 日志分析与溯源-中间件
1、web中间件日志-IIS
默认路径：%systemroot%\system32\LogFiles(可以自定义)
日志文件名：exYYMMDD.log(ex年月日)
默认时区：GMT+0(实际时间需+8)
默认格式：c-xxx(客户端相关字段)。s-xxx(服务端相关字段)
2、web中间件日志-Apache
默认配置文件：httpd.conf(这个是主要的)
默认文件名：access_log
常见路径：/var/log/httpd(这个是不一定的)
默认格式：(日志详细程度不一样)
--CustomLog logs/access_log combined
--LogFormat "%h %l %u %t \"%r\" %>s %b" common
注释：%h客户端IP、%l远端登录名、%u远程用户名、%t访问时间、%r请求的第一行、%>s最后请求状态、%b传送字节数
3、web中间件日志-Tomcat
默认未开启访问日志：
${catalina}/conf/server.xml
配置示例：
<Valve className="org.apache.catalina.valves.AccessLogValve" directory="logs" prefix="localhost_access_log." suffix=".txt" pattern="common" resolveHosts="false"/>
默认为标准日志输出格式
注释：%h访问IP 、%l逻辑用户名 、%u验证用名 、%t访问时间 、%r请求内容 、%>s返回HTTP状态、 %bHTTP响应头大小
4、web中间件日志-Jboss
默认未开启用户访问日志:
${JBOSS_HOME}/server/defaul/deploy/jboss-web.deployer/server.xml
配置示例:
<Valve className="org.apache.catalina.valves.AccessLogValve" prefix="localhost_access_log." suffix=".log" pattern="%h %l %u %t %r %s %b" timestamp="true" directory="${jboss.server.log.dir}" resolveHosts="false"/>
日志格式：%h %l %u %t %r %s %b
5.8 日志分析与溯源
1、日志分析工具
LogView：快速打开大体积文件，不占用内存。可以通过正则匹配建立筛选日志。
EmEditor：全球最快的编辑器—快速、轻巧、可扩展。支持插件安装—正则表达式和宏功能。支持分隔、选择列、文件夹查找。
2、日志中的攻击特征
SQL注入：select、where、order、union、substring
XSS漏洞：iframe、src、img、onerror
目录穿越：../../、%c0%ae、..%5c..%5c
Struts2漏洞：memberAccess、getRuntime、println、java.lang
暴力破解：302、401、404、同一来源IP
3、常规溯源
木马样本分析：静态逆向分析—IDA、OllyDbg。动态分析—抓包、DNS嗅探、内存截取
日志分析：web访问—webshell首次访问IP。登录记录—windows&linux认证记录
确认是否为跳板：nmap -sV -PN -sT -T4 -p- 10.1.2.3。如果是跳板，可以通过反入侵追踪等手段溯源。如果遇到困难，建议通过相关司法程序解决。
4、邮件溯源
邮件路由信息从下往上(Received)进行传送
网页版可能不带原始客户端IP(X-Originating-IP)
邮件头会包含邮件客户端信息(X-Mailer)
5、其他溯源方式
社工个人信息、通过付费黑产渠道深入挖掘个人信息、IP地址定位(www.hao7188.com)、利用百度谷歌等溯源。
5.9 样本分析流程
1、分析过程
基本信息（文件信息、类型、漏洞、文件保护）
分析环境（虚拟机、沙箱、使用软件）
分析平台（TAC、翠鸟、火眼、hybrid、哈勃、文件B超）
分析工具（编辑工具、监视工具、调试器、脱壳工具、）
分析重点（Where、What、How、Do、Do-detect）
恶意软件
2、分析工具
| 分类 | 举例 |
|---|---|
| 编辑工具 | 010 editor，WinHex，UltraEdit，Hex Workshop |
| 调试器 | Windbg，gdb，ollydbg，Immunity Debugger，Ida，c32asm，vb decompiler，dededark，dnspy，ILspy，易逆工程师 |
| 脱壳工具 | upx，ASPack，PECompact |
| 监视工具 | Wireshark，windump，tcpdump，procmon， Pchunter，PowerTools，filemon，regmon， procexp(SysinternalsSuite) |
| API调用监控 | API Monitor |