【HW护网】知识整理-CSDN博客

本文链接：https://blog.csdn.net/liuwanqing233333/article/details/147513393

本文是我对一个护网教程视频的知识整理，内容比较笼统，作为一个整体思路有个概念就行。

一、流量分析技巧

蓝队重要作用就是针对攻击的流量进行分析，一般是使用态势感知，全流量分析，防火墙等安全设备来捕获流量，并且对其进行流量分析。

态势感知页面：
在这里插入图片描述
流量详情：

Wireshark使用

Wireshark是一个网络封包分析软件，能够截获数据包并显示网络封包资料，Wireshark是第一个开源的分析软件。

抓包
分析数据包

界面介绍

分组列表
分组详情
分组字节流流量以16进制形式表示

工具栏介绍

在这里插入图片描述
搜索栏：

菜单栏介绍

在这里插入图片描述

导出对象：可以导出http流量（数据包）中携带的内容
应用为列
追逐流
统计
协议分级
会话

常见攻击流量

xss漏洞
sql注入
rce注入
文件包注入

二、权限维持

权限提升，通过什么应用拿到的权限，就是什么应用用户，希望获得 root 用户的权限。

Linux内核漏洞提权

内核与发行版
Linux内核版本：https://www.kernel.org/
CVE内核漏洞：https://www.cvedetails.com/product/47/Linux-Linux-Kernel.html?vendor id=33
内核漏洞

Dirty COW
Dirty Pipe
Dirty Cred

只要能找到公开的内核漏洞，就有了提升权限的方法。

步骤

uname -a
cat /etc/issue
msfconsole 工具能够根据操作系统版本查找提权漏洞
find / -name “40049.c”. —— 编译 —— 上传 —— 运行

SUDO提权

基于 sudo 的过度授权，达到提权的效果
sudo 授权普通用户某些权限执行某些操作
super user do

编辑方法（root）
visudo
sudo -l
sudo find /home -exec /bin/bash ;

在这里插入图片描述

SUID提权

set uid
以程序所有者身份运行程序
在这里插入图片描述

Webshell后门

权限维持 —— 留下一个后门
防止杀毒、杀进程、关端口、打补丁等操作

通过文件上传/任意文件写入漏洞，在系统中留下Webshell，容易被清理

Webshell
各种编程语言的木马（后门）
shell.php
dama.php
hack.war

定时任务后门

crontab -u root -r 删除
crontab -u root -l 查看
crontab -u root -e 查看
反弹连接

SUID后门

权限维持，留一个后门

cp /bin/bash /var/.hack
chomd 4775 /var/.hack
ls -al /var/.hack
/var/.hack -p —— 拿到 root 权限

SSHkey后门

SSH Key 免密登录

在这里插入图片描述
排查： .ssh 文件中不能出现不认识的公钥，最好是不允许这种方式

添加用户后门

useradd
/etc/passwd
sudo tee /etc/passwd
生成密码

排查思路：/etc/passwd 有没有用户的 uid 是 0，是0就是黑客

三. 应急排查

应急响应概述

安全事件分类：

恶意程序事件
网络攻击事件
信息破坏事件
设备设施故障
灾害性事件
黑客攻击目的：
窃取数据
加密勒索
瘫痪服务
挖矿
跳板机（肉鸡）
…
应急响应的定义
事前准备：数据备份、风险评估、安全巡查、应急演练、防范措施、安全培训
事后处理：切断网络、病毒检测、后门检测、清除病毒或后门隔离、系统恢复、修复漏洞、调查与追踪、入侵者取证
应急响应流程：
信息收集：基础信息、影响范围
类型判断：何种安全事件
原因分析：如何入侵的
事件处理：进程、文件、网络、补丁等
编写报告

Linux 入侵排除

被入侵症状

系统资源：CPU（使用云服务器自带监控、或 top命令 top c -o%CPU、CPU、内存、进程角度、磁盘占用分析）、系统进程（pstree）、网络连接（lsof netstat 从网络端口角度分析）
用户和日志
文件和命令篡改：系统文件篡改、系统命令篡改（top、ps被篡改）、SSH key
启动项和定时任务
挖矿脚本分析
应急措施
应急checklist和自动化工具