小黑板 - 应急响应
type: channel
link: https://note.m0rk.top/index.php/category/%25e5%25ba%2594%25e6%2580%25a5%25e5%2593%258d%25e5%25ba%2594/
items: 《Wireshark抓包分析—Https数据解密》
items: 应急响应实战笔记
items: 第五章：web实战篇（账号篡改）
items: 第五章：web实战篇（网页篡改）
items: 第五章：web实战篇（搜索引擎劫持）
items: 第五章：web实战篇（移动端劫持）
items: 第五章：web实战篇（源劫持）
items: 第五章：web实战篇（挂黑页）
items: 第五章：web实战篇（门罗币挖矿）
items: 第五章：web实战篇（webshell）

《Wireshark抓包分析—Https数据解密》
type: item
date: 2023-09-11T18:57:53+08:00
description: 之前在做应急响应,看到 TLS 流量都是两眼一摸黑，今天突发奇想是不是也可以解密,查了下资料发现些好玩的东西(SSLKEYLOGFILE)，分享给大家。 以 CSDN为例,先看下https网站打开过程的抓包: DNS解析 TCP协议三次握手 在看看 TLS 协议的握手过程: 浏览器给出协议版本号、一个客户端生成的随机数，以及客户端支持的加密方法 服务器确认双方使用的加密方法，使用的tls版本号和一个随机数。 并给出数字证书、以及一个服务器运行Diffie-Hellman算法生成的参数，比如pubkey。 浏览器获取服务器发来的pubkey，计算出另一个pubkey，发给服务器。 服务器发给浏览器一个session ticket。 为什么第二部给两次,这个就不研究了. 这时候我们看到包里面内容都是加密的. 这时候我们这么操作: 新建C:\Users\M0rk\Downloads\sslkey.log 系统变量中加上 SSLKEYLOGFILE,变量值填入新建的文件路径. 在 wireshark首选项Protocols-TLS(老版本是 SSL)-(Pre)-Master-Secret log filename中,浏览到 sslkey.log 打开浏览器再次抓包,即刻解密. SSLKEYLOGFILE是一个环境变量，用于指定一个文件路径，以便将 SSL/TLS 密钥记录到该文件中。它通常用于调试和分析加密的网络流量。 当设置了 SSLKEYLOGFILE 环境变量时，与使用 SSL/TLS 加密的应用程序（如Web浏览器或HTTPS服务器）会将加密过程中生成的主密钥和会话密钥写入指定的文件中。这些密钥可以被安全性工具（例如Wireshark）使用，以便对网络流量进行解密和分析。 通过使用 SSLKEYLOGFILE 变量，网络管理员和开发人员能够更好地理解加密通信的细节，并帮助调试和排查问题。但需要注意的是，由于涉及敏感信息，确保只有授权的人员能够访问和处理这些记录文件。 第二种解密方式

应急响应实战笔记
type: item
date: 2020-06-15T17:46:28+08:00
description: 项目介绍 面对各种各样的安全事件，我们该怎么处理？ 这是一个关于安全事件应急响应的项目，从系统入侵到事件处理，收集和整理了一些案例进行分析。 我将持续更新这份笔记，希望能帮到有需要的人。 如果你看到好的案例，欢迎通过issue提交。 项目目录 [第一章：应急响应] 第1篇:Window入侵排查 第2篇:Linux入侵排查 [第二章:Windows实战篇] 第1篇：FTP暴力破解 第2篇：蠕虫病毒 第3篇：勒索病毒 第4篇：ARP病毒 第5篇：挖矿病毒（一） 第6篇：挖矿病毒（二） [第三章：Linux实战篇] 第1篇：SSH暴力破解 第2篇：捕捉短连接 第3篇：挖矿病毒 第4篇：盖茨木马 第5篇：DDOS病毒 第6篇：Shell病毒 [第四章：Web实战篇] 第1篇：网站被植入Webshell 第2篇：门罗币恶意挖矿 第3篇：批量挂黑页 第4篇：新闻源网站劫持 第5篇：移动端劫持 第6篇：搜索引擎劫持 第7篇：网站首页被篡改 第8篇：管理员账号被篡改 学习交流 更多精彩内容将发布在公众号Bypass--，公众号提供了该项目的PDF版本，关注后回复"应急响应" 即可领取下载。 第一章：应急响应 第1篇：window入侵排查 0x00 前言 当企业发生黑客入侵、系统崩溃或其它影响业务正常运行的安全事件时，急需第一时间进行处理，使企业的网络信息 系统在最短时间内恢复正常工作，进一步查找入侵来源，还原入侵事故过程，同时给出解决方案与防范措施，为企业 挽回或减少经济损失。 常见的应急响应事件分类： web入侵：网页挂马、主页篡改、Webshell 系统入侵：病毒木马、勒索软件、远控后门 网络攻击：DDOS攻击、DNS劫持、ARP欺骗 针对常见的攻击事件，结合工作中应急响应事件分析和解决的方法，总结了一些Window服务器入侵排查的思路。 0x01 入侵排查思路 一、检查系统账号安全 1、查看服务器是否有弱口令，远程管理端口是否对公网开放。 检查方法：据实际情况咨询相关服务器管理员。 2、查看服务器是否存在可疑账号、新增账号。 检查方法：打开 cmd 窗口，输入lusrmgr.msc命令，查看是否有新增/可疑的账号，如有管理 员群组的（Administrators）里的新增账户，如有，请立即禁用或删除掉。 3、查看服务器是否存在隐藏账号、克隆账号。 检查方法： a、打开注册表 ，查看管理员对应键值。 b、使用D盾_web查杀工具，集成了对克隆账号检测的功能。 4、结合日志，查看管理员登录时间、用户名是否存在异常。 检查方法： a、Win+R打开运行，输入“eventvwr.msc”，回车运行，打开“事件查看器”。 b、导出Windows日志--安全，利用Log Parser进行分析。 二、检查异常端口、进程 1、检查端口连接情况，是否有远程连接、可疑连接。 检查方法： a、netstat -ano 查看目前的网络连接，定位可疑的ESTABLISHED b、根据netstat 定位出的pid，再通过tasklist命令进行进程定位 tasklist | findstr “PID” 2、进程 检查方法： a、开始--运行--输入msinfo32，依次点击“软件环境→正在运行任务”就可以查看到进程的详细信 息，比如进程路径、进程ID、文件创建日期、启动时间等。 b、打开D盾_web查杀工具，进程查看，关注没有签名信息的进程。 c、通过微软官方提供的 Process Explorer 等工具进行排查 。 d、查看可疑的进程及其子进程。可以通过观察以下内容： 没有签名验证信息的进程 没有描述信息的进程 进程的属主 进程的路径是否合法 CPU或内存资源占用长时间过高的进程 3、小技巧： a、查看端口对应的PID： netstat -ano | findstr “port” b、查看进程对应的PID：任务管理器--查看--选择列--PID 或者 tasklist | findstr “PID” c、查看进程对应的程序位置： 任务管理器--选择对应进程--右键打开文件位置 运行输入 wmic，cmd界面 输入 process d、tasklist /svc 进程--PID--服务 e、查看Windows服务所对应的端口： %system%/system32/drivers/etc/services（一般%system%就 是C:\Windows） 三、检查启动项、计划任务、服务 1、检查服务器是否有异常的启动项。 检查方法： a、登录服务器，单击【开始】>【所有程序】>【启动】，默认情况下此目录在是一个空目录，确认是 否有非业务程序在该目录下。 b、单击开始菜单 >【运行】，输入 msconfig，查看是否存在命名异常的 启动项目，是则取消勾选命名异常的…

第五章：web实战篇（账号篡改）
type: item
date: 2019-09-29T17:54:48+08:00
description: 第8篇：管理员账号被篡改 ​ 你是某一个网站的管理员，有一天，你的管理员账号admin却登录不了，进入数据库查看，原来管理员账号用户名不存在了，却多了另外一个管理员用户名。不对，不是新增了管理员，而是你的管理员用户名被篡改了。 现象描述 前后端分离，后台只允许内网访问，管理员账号admin却依然被多次被篡改 问题处理 1、网站webshell 在针对网站根目录进行webshell扫描，发现存在脚本木马，创建时间为2018-06-13 04:30:30 2、 定位IP 通过木马创建时间， 查看网站访问日志，定位到IP为：180.xx.xx.3 3、关联分析 全局搜索与该IP有关的操作日志： 在脚本木马生成前，有两条比较可疑的访问日志吸引了我们的注意： 172.16.1.12 180.xx.xxx.3 - - [10/Jun/2018:08:41:43 +0800] "GET /plus/download.php?open=1&arrs1[]=99&arrs1[]=102&arrs1[]=103&arrs1[]=95&arrs1[]=100&arrs1[]=98&arrs1[]=112&arrs1[]=114&arrs1[]=101&arrs1[]=102&arrs1[]=105&arrs1[]=120&arrs2[]=109&arrs2[]=121&arrs2[]=97&arrs2[]=100&arrs2[]=96&arrs2[]=32&arrs2[]=83&arrs2[]=69&arrs2[]=84&arrs2[]=32&arrs2[]=96&arrs2[]=110&arrs2[]=111&arrs2[]=114&arrs2[]=109&arrs2[]=98&arrs2[]=111&arrs2[]=100&arrs2[]=121&arrs2[]=96&arrs2[]=32&arrs2[]=61&arrs2[]=32&arrs2[]=39&arrs2[]=60&arrs2[]=63&arrs2[]=112&arrs2[]=104&arrs2[]=112&arrs2[]=32&arrs2[]=102&arrs2[]=105&arrs2[]=108&arrs2[]=101&arrs2[]=95&arrs2[]=112&arrs2[]=117&arrs2[]=116&arrs2[]=95&arrs2[]=99&arrs2[]=111&arrs2[]=110&arrs2[]=116&arrs2[]=101&arrs2[]=110&arrs2[]=116&arrs2[]=115&arrs2[]=40&arrs2[]=39&arrs2[]=39&arrs2[]=114&arrs2[]=101&arrs2[]=97&arrs2[]=100&arrs2[]=46&arrs2[]=112&arrs2[]=104&arrs2[]=112&arrs2[]=39&arrs2[]=39&arrs2[]=44&arrs2[]=39&arrs2[]=39&arrs2[]=60&arrs2[]=63&arrs2[]=112&arrs2[]=104&arrs2[]=112&arrs2[]=32&arrs2[]=101&arrs2[]=118&arrs2[]=97&arrs2[]=108&arrs2[]=40&arrs2[]=36&arrs2[]=95&arrs2[]=80&arrs2[]=79&arrs2[]=83&arrs2[]=84&arrs2[]=91&arrs2[]=120&arrs2[]=93&arrs2[]=41&arrs2[]=59&arrs2[]=101&arrs2[]=99&arrs2[]=104&arrs2[]=111&arrs2[]=32&arrs2[]=109&arrs2[]=79&arrs2[]=111&arrs2[]=110&arrs2[]=59&arrs2[]=63&arrs2[]=62&arrs2[]=39&arrs2[]=39&arrs2[]=41&arrs2[]=59&arrs2[]=63&arrs2[]=62&arrs2[]=39&arrs2[]=32&arrs2[]=87&arrs2[]=72&arrs2[]=69&arrs2[]=82&arrs2[]=69&arrs2[]=32&arrs2[]=96&arrs2[]=97&arrs2[]=105&arrs2[]=100&arrs2[]=96&arrs2[]=32&arrs2[]=61&arrs2[]=49&arrs2[]=57&arrs2[]=32&arrs2[]=35 HTTP/1.1" 200 67 172.16.1.12 180.xx.xxx.3 - - [10/J…

第五章：web实战篇（网页篡改）
type: item
date: 2019-09-29T17:53:47+08:00
description: 第7篇：网站首页被篡改 ​ 网站首页被非法篡改，是的，就是你一打开网站就知道自己的网站出现了安全问题，网站程序存在严重的安全漏洞，攻击者通过上传脚本木马，从而对网站内容进行篡改。而这种篡改事件在某些场景下，会被无限放大。 现象描述 网站首页被恶意篡改，比如复制原来的图片，PS一下，然后替换上去。 问题处理 1、确认篡改时间 通过对被篡改的图片进行查看，确认图片篡改时间为2018年04月18日 19:24:07 。 2、访问日志溯源 通过图片修改的时间节点，发现可疑IP：113.xx.xx.24 （代理IP，无法追溯真实来源），访问image.jsp（脚本木马），并随后访问了被篡改的图片地址。 进一步审查所有的日志文件(日志保存时间从2017-04-20至2018-04-19)，发现一共只有两次访问image.jsp文件的记录，分别是2018-04-18和2017-09-21。 image.jsp在2017-09-21之前就已经上传到网站服务器，已经潜藏长达半年多甚至更久的时间。 3、寻找真相 我们在网站根目录找到了答案，发现站点目录下存在ROOT.rar全站源码备份文件，备份时间为2017-02-28 10:35。 通过对ROOT.rar解压缩，发现源码中存在的脚本木马与网站访问日志的可疑文件名一致（image.jsp）。 根据这几个时间节点，我们尝试去还原攻击者的攻击路径。 但是我们在访问日志并未找到ROOT.rar的访问下载记录，访问日志只保留了近一年的记录，而这个webshell可能已经存在了多年。 黑客是如何获取webshell的呢？ 可能是通过下载ROOT.rar全站源码备份文件获取到其中存在的木马信息，或者几年前入侵并潜藏了多年，又或者是从地下黑产购买了shell，我们不得而知。 本文的示例中攻击者为我们留下了大量的证据和记录，而更多时候，攻击者可能会清除所有的关键信息，这势必会加大调查人员的取证难度。 摘自：gitbook_bypass

第五章：web实战篇（搜索引擎劫持）
type: item
date: 2019-09-29T17:52:29+08:00
description: 第6篇：搜索引擎劫持 ​ 当你直接打开网址访问网站，是正常的，可是当你在搜索引擎结果页中打开网站时，会跳转到一些其他网站，比如博彩，虚假广告，淘宝搜索页面等。是的，你可能了遇到搜索引擎劫持。 现象描述 从搜索引擎来的流量自动跳转到指定的网页 问题处理 通过对index.php文件进行代码分析，发现该文件代码 对来自搜狗和好搜的访问进行流量劫持。 进一步跟着include函数包含的文件，index,php包含/tmp/.ICE-unix/.. /c.jpg。 进入/tmp目录进行查看，发现该目录下，如c.jpg等文件，包含着一套博彩劫持的程序。 摘自：gitbook_bypass

第五章：web实战篇（移动端劫持）
type: item
date: 2019-09-29T17:51:21+08:00
description: 第5篇：移动端劫持 PC端访问正常，移动端访问出现异常，比如插入弹窗、嵌入式广告和跳转到第三方网站，将干扰用户的正常使用，对用户体验造成极大伤害。 现象描述 部分网站用户反馈，手机打开网站就会跳转到赌博网站。 问题处理 访问网站首页，抓取到了一条恶意js： http://js.zadovosnjppnywuz.com/caonima.js 我们可以发现，攻击者通过这段js代码判断手机访问来源，劫持移动端（如手机、ipad、Android等）流量，跳转到https://262706.com。 进一步访问https://262706.com，跳转到赌博网站： 摘自：gitbook_bypass

第五章：web实战篇（源劫持）
type: item
date: 2019-09-29T17:50:05+08:00
description: 第4篇：新闻源网站劫持 新闻源网站一般权重较高，收录快，能够被搜索引擎优先收录，是黑灰产推广引流的必争之地，很容易成为被攻击的对象。被黑以后主要挂的不良信息内容主要是博彩六合彩等赌博类内容，新闻源网站程序无论是自主开发的还是开源程序，都有被黑的可能，开源程序更容易被黑。 现象描述： 某新闻源网站首页广告链接被劫持到菠菜网站 有三个广告专题，链接形式如下： ​ http://www.xxx.cn/zhuanti/yyysc/index.shtml ​ http://www.xxx.cn/zhuanti/wwwsc/index.shtml ​ http://www.xxx.cn/zhuanti/zzzsc/index.shtml 点击这三条链接会跳转到博彩网站。简单抓包分析一下过程： 可以发现此时这个返回页面已被劫持，并且加载了第三方js文件，http://xn--dpqw2zokj.com/N/js/dt.js，进一步访问该文件： dt.js进一步加载了另一条js，访问http://xn--dpqw2zokj.com/N/js/yz.js 我们发现链接跳转到https://lemcoo.com/?dt，进一步访问这个链接，网站为博彩链接导航网站，访问后会随机跳转到第三方赌博网站。 问题处理： 找到url对应的文件位置，即使文件被删除，链接依然可以访问，可以发现三条链接都是以“sc”后缀。 对Nginx配置文件进行排查，发现Nginx配置文件VirtualHost.conf被篡改，通过反向代理匹配以“sc”后缀的专题链接，劫持到http://103.233.248.163，该网站为博彩链接导航网站。 删除恶意代理后，专题链接访问恢复。 摘自：gitbook_bypass

第五章：web实战篇（挂黑页）
type: item
date: 2019-09-29T17:48:51+08:00
description: 第3篇：批量挂黑页 作为一个网站管理员，你采用开源CMS做网站，比如dedecms，但是有一天，你忽然发现不知何时，网站的友情链接模块被挂大量垃圾链接，网站出现了很多不该有的目录，里面全是博彩相关的网页。而且，攻击者在挂黑页以后，会在一些小论坛注册马甲将你的网站黑页链接发到论坛，引爬虫收录。在搜索引擎搜索网站地址时，收录了一些会出现一些博彩页面，严重影响了网站形象。 原因分析 网站存在高危漏洞，常见于一些存在安全漏洞的开源CMS，利用0day批量拿站上传黑页。 现象描述： 某网站被挂了非常多博彩链接，链接形式如下： ​ http://www.xxx.com/upload/aomendduchangzaixiandobo/index.html ​ http://www.xxx.com/upload/aomendduchangzaixian/index.html ​ http://www.xxx.com/upload/aomenzhengguidubowangzhan/index.html 链接可以访问，直接访问物理路径也可以看到文件，但是打开网站目录并没有发现这些文件，这些文件到底藏在了哪？ 访问这些链接，跳转到如图页面： 问题处理： 1、打开电脑文件夹选项卡，取消”隐藏受保护的操作系统文件“勾选，把”隐藏文件和文件夹“下面的单选选择“显示隐藏的文件、文件夹和驱动器”。 2、再次查看，可以看到半透明的文件夹，清楚隐藏文件夹及所有页面 3、然后清除IIS临时压缩文件 C:\inetpub\temp\IIS Temporary Compressed Files\WEBUI$^_gzip_D^\WEB\WEBUI\UPLOAD 4、投诉快照，申请删除相关的网页收录，减少对网站的影响。 摘自：gitbook_bypass

第五章：web实战篇（门罗币挖矿）
type: item
date: 2019-09-29T17:47:36+08:00
description: 第2篇：门罗币恶意挖矿 门罗币(Monero 或 XMR)，它是一个非常注重于隐私、匿名性和不可跟踪的加密数字货币。只需在网页中配置好js脚本，打开网页就可以挖矿，是一种非常简单的挖矿方式，而通过这种恶意挖矿获取数字货币是黑灰色产业获取收益的重要途径。 现象描述 利用XMR恶意挖矿，会大量占用用户的CPU资源，严重影响了网站的用户体验。 从08/09日0点开始，局域网内某IP访问网站页面会触发安全预警，只要访问此服务器上的网页，CPU直线上升100% 问题解析 通过获取恶意网页url，对网页页面进行分析，发现网站页面被植入在线门罗币挖矿代码： 删除js里面的恶意代码，网站被XMR 恶意挖矿，服务器已经被攻击，进一步做服务器入侵排查。 摘自：gitbook_bypass

第五章：web实战篇（webshell）
type: item
date: 2019-09-29T17:46:03+08:00
description: 第1篇：网站被植入Webshell 网站被植入webshell，意味着网站存在可利用的高危漏洞，攻击者通过利用漏洞入侵网站，写入webshell接管网站的控制权。为了得到权限 ，常规的手段如：前后台任意文件上传，远程命令执行，Sql注入写入文件等。 现象描述 网站管理员在站点目录下发现存在webshell，于是开始了对入侵过程展开了分析。 Webshell查杀工具： D盾_Web查杀 Window下webshell查杀：http://www.d99net.net/index.asp 河马：支持多平台，但是需要联网环境。 使用方法: wget http://down.shellpub.com/hm/latest/hm-linux-amd64.tgz tar xvf hm-linux-amd64.tgz hm scan /www 事件分析 1、 定位时间范围 通过发现的webshell文件创建时间点，去翻看相关日期的访问日志。 2、Web 日志分析 经过日志分析，在文件创建的时间节点并未发现可疑的上传，但发现存在可疑的webservice接口 3、漏洞分析 访问webservice接口，发现变量：buffer、distinctpach、newfilename可以在客户端自定义 4、漏洞复现 尝试对漏洞进行复现，可成功上传webshell，控制网站服务器 5、漏洞修复 清除webshell并对webservice接口进行代码修复。 从发现webshell到日志分析，再到漏洞复现和修复，本文暂不涉及溯源取证方面。 摘自：gitbook_bypass