Struts2漏洞导致的反弹shell——青藤云安全使用的是agent进程采集器进行检测

安全老司机 | Struts2漏洞爆发后，与黑客的一次正面交锋

from： https://zhuanlan.zhihu.com/p/66122521

 备注：

青藤云安全：——用的是进程信息采集器

通过对用户进程行为的实时监控，结合行为分析，及时发现非法shell连接引起的反弹shell行为，可以有效地感知0Day漏洞利用的行为痕迹，可以提供反向shell的详细过程操作树。

青藤云安全将Agent安装在服务器上，根据客户业务运行状况设立数万个监测指标，对文件进程、主机访问、业务关系等建立多维度、多层次的纵深检测体系，可以无间断对入侵行为进行监控，实现实时的入侵检测和快速响应，一旦发现异常情况，进行毫秒级报警

青藤新一代主机入侵检测系统的“反弹shell”功能，可以通过对用户进程行为进行实时监控，结合异常行为识别，可及时发现进程中非法 Shell 连接操作产生的反弹 Shell行为，能有效感知“0Day”漏洞等利用的行为痕迹，并提供反弹 Shell 的详细进程树。

 

 

故事开始

“我们可能被黑客攻击了！！！”接到客户急匆匆的一个电话。

我赶紧打开电脑查看报警邮件，提示存在一个反弹Shell的攻击行为。

这大半夜，客户的服务器居然正在主动尝试连接外部其它服务器。在那个瞬间，我都能想象得出来，服务器另一端那个穿着“黑衣服”的人&