p75 应急响应-数据库&漏洞口令检索&应急取证箱

已于 2023-05-23 17:38:15 修改
阅读量761 收藏
点赞数
分类专栏： 小迪安全 文章标签： 安全
于 2023-04-17 21:22:37 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_43263566/article/details/130163433
版权

数据来源

 

必须知识点：

  1. 第三方应用由于是选择性安装，如何做好信息收集和漏洞探针也是获取攻击者思路的重要操作， 除去本身漏洞外，提前预知或口令相关攻击也要进行筛选。
  2. 排除三方应用攻击行为，自查漏洞分析攻击者思路，人工配合工具脚本
  3. 由于工具或脚本更新迭代快，分类复杂，打造自己的工具箱迫在眉睫

演示案例： 

  • 系统日志-Win 日志自动神器 LogonTracer-外网内网日志
  • 应用分析-数据库 Mysql&Mssql&Oracle 等分析-爆破注入操作
  • 模拟测试-自查漏洞模拟渗透测试寻找攻击源头-漏洞口令检索
  • 专业要求-自动化 ir-rescue 应急响应取证工具箱-实时为您提供服务

案例 1-Win 日志自动神器 LogonTracer-外网内网

github上的项目地址：https://github.com/JPCERTCC/LogonTracer/wiki/

linux 安装使用笔记：阿里云主机记得开放端口及关闭防火墙

安装教程，我这里是在Ubuntu18.04.6虚拟机中安装：（参考） 

1）下载并解压neo4j

官网：Neo4j下载中心 - Neo4j图形数据平台

下载链接：https://dist.neo4j.org/neo4j-community-4.4.19-unix.tar.gz

# 解压neo4j

tar -zvxf neo4j-community-4.4.19-unix.tar.gz

2）安装java11环境

sudo apt-get install openjdk-11-jdk

3）修改 neo4j 配置（conf/neo4j.conf）保证外部访问（如果是服务器部署要开启端口）

要先获取文件权限：

chmod -R 777 neo4j-community-4.4.19

 

cd neo4j-community-4.4.19
gedit conf/neo4j.conf    

dbms.connector.bolt.listen_address=0.0.0.0:7687

dbms.connector.http.listen_address=0.0.0.0:7474

4）开启neo4j

./bin/neo4j console &

5）浏览器访问（默认账户密码都是：Neo4j）：

(54条消息) neo4j修改用户密码_neo4j修改密码_码大哈的园子的博客-CSDN博客

# 第一次连接后需要重置账户和密码
本机ip:7474

6）下载并安装LogonTracer 

# 把项目拉下来
git clone https://github.com/JPCERTCC/LogonTracer.git

# 安装
chmod -R 777 LogonTracer
cd LogonTracer

# 如果pip没安装：apt install python3-pip
pip3 install -r requirements.txt

我这里安装出现报错

运行下面的命令，然后再次安装 

pip3 install --upgrade pip

7）启动LogonTracer，并尝试在浏览器访问LogonTracer

python3 logontracer.py -r -o [端口] -u [用户名] -p [密码] -s [IP 地址] 

例：python3 logontracer.py -r -o 8080 -u neo4j -p root -s 192.168.1.48

 

也可以通过命令来上传文件

python3 logontracer.py -e [EVTX 文件] -z [时区] -u [用户名] -p [密码] -s [IP 地址] 

8）我尝试上传日志文件控制台报错，解决：（参考）


解决：

在项目的根目录打开终端

gedit templates/index.html

找到

https://ajax.googleapis.com/ajax/libs/jquery/3.2.1/jquery.min.js

将该网址的改为

https://ajax.loli.net/ajax/libs/jquery/3.2.1/jquery.min.js

再修改系统的hosts文件

gedit /etc/hosts

改完之后要重启一下LogonTracer项目

再次访问LogonTracer界面，再次尝试上传日志文件 

默认的系统日志文件路径：%SystemRoot%\System32\Winevt\Logs\System.evtx  

注意：我这里选择文件是提示说要管理员权限查看查看日志文件，无法选择文件，我的解决方法是件系统的日志文件复制到桌面在从桌面上选择 

然后要刷新一下网页

此工具根据我们之前的研究可视化与 Windows 登录相关的以下事件 ID。

  • 4624：成功登录
  • 4625：登录失败
  • 4768：Kerberos 身份验证（TGT 请求）
  • 4769：Kerberos 服务票证（ST 请求）
  • 4776：NTLM 身份验证
  • 4672：分配特殊权限

 事件类型

  • All Users：查看所有用户的登录信息
  • SYSTEM Privileges：查看管理员账号的登录信息（一般登录类型3或10）
  • NTLM Remote Logon：查看NTLM远程登录信息（登录类型3）
  • RDP Logon：查看RDP远程桌面登录信息（登录类型10）
  • Network Logon：查看网络登录信息（登录类型3）
  • Batch Logon：查看批处理登录信息（登录类型4）
  • Service Logon：查看服务登录信息（登录类型5）
  • Ms14-068 Exploit Failure：MS14-068漏洞利用失败信息
  • Logon Failure:查看登录失败信息
  • Detect DCsync/DCShadow：查看删除 DCsync/DCShadow信息
  • Add/Detect Users：查看添加/删除用户信息
  • Domain Check：域检查信息
  • Audit Policy Change：查看审计策略变更信息

对于每个节点，链接到主机（绿点）并带有一行账户信息（红/蓝）表示已使用主机登陆。

红色：SYSTEM权限帐户

蓝色：标准用户帐户

绿色：主机/ IP地址

windows查看系统日志文件路径

9）我的真实机都没开启过远程桌面连接看不出啥，再开台虚拟机攻击看看

我这里在真实机中使用弱口令工具进行攻击

我这里将虚拟机的系统日志文件复制到真实机进行分析（注意：需要件日志文件复制到虚拟机的桌面或其他位置才能复制到真实机）

其他功能自己玩一下就知道了（感觉这个工具也不是很好用，安装麻烦，很多功能都显示搜索失败不知道是我安装有问题还是操作有问题）

搜了一下百度发现有位大佬推荐f8x来自动化安装渗透测试环境，我们也试下：

工具的中文介绍：linux 红/蓝队环境自动化部署---f8x - 码农教程 (manongjc.com)

1）打开f8x在github上的项地址并安装：
GitHub - fffffff0x/f8x： 红/蓝队环境自动化部署工具 |红/蓝团队环境自动化部署工具

我这里再开一台虚拟机实验

wget : wget -O f8x https://f8x.io/
curl : curl -o f8x https://f8x.io/

用法 

bash f8x -h

2）使用f8x安装LogonTracer 

bash f8x -lt

耐心等待安装

硬件配置要求很高，我电脑卡死了不搞了，如果配置达标应该是可以安装成功的（安装成功的朋友可以给我留言）

案例 2-数据库 Mysql&Mssql&Oracle 等日志分析-爆破注入操作

常见的数据库攻击包括弱口令、SQL 注入、提升权限、窃取备份等。对数据库日志进行分析，可以 发现攻击行为，进一步还原攻击场景及追溯攻击源。

Mysql：启用，记录，分析（分析 SQL 注入及口令登录爆破等）

show variables like '%general%';
SET GLOBAL general_log = 'On';
SET GLOBAL general_log_file = '/var/lib/mysql/mysql.log';

演示Mysql：（这里使用PhpStudy2018做演示）

1）首先打开Mysql的命令行

show variables like '%general%';

SET GLOBAL general_log = 'On';

打开日志文件的根目录并找到日志文件

 

2）对网站进行sql注入，然后在查看日志文件

我这里把sqlilabs靶场作为目标进行sql注入，安装教程：《SQL注入—Sqli-labs注入环境搭建》

测试是否安装成功：

# 这里要改成自己的访问端口，默认：80
http://127.0.0.1:8088/sqlilabs/Less-2/?id=1

进行sql注入，在url参数后面加上：and 1=1

查看日志，这里就能发现sql注入的记录了

3）使用工具进行弱口令攻击再查看日志

这里使用弱口令工具进行攻击

然后查看日志

演示Mssql：查看，跟踪，分析（配置跟踪可分析操作，查看日志可分析登录等）

这个数据库工具是我前几年安装的，我当时没有记录安装过程，这个可以在网上搜索的到，需要安装的可以自行搜索教程 

 1）查看日志

 

2）可以开启数据库的跟踪功能

开启后我们就可以去看看

 

3）执行sql语句然后查看跟踪情况请

随便写一个查询语句

SELECT * FROM users WHERE username='张三'

然后查看我们的数据跟踪情况

        如果是真实环境中数据库是由后端开发人员进行调用，黑客的sql注入是在前端的页面中完成，前端的页面调用了后端开发人员写的接口，所以我们就能在网站上对数据库进行sql注入，因为我这里没有合适的项目部署所以就用数据库软件自带的查询创建进行sql语句的执行，效果都是一样的在网站中调用执行的sql语句一样能被跟踪到。

Oracle 这个数据库软件就不演示了示例都是一样的，如果在真实环境中遇到百度就可以了 

案例 3-自查漏洞模拟渗透测试寻找攻击源头-漏洞口令检索

背景：

  • 日志被删除或没价值信息
  • 没有思路进行分析可以采用模拟渗透

1）windows，linux 系统漏洞自查:

WindowsVulnScan，linux-exploit-suggester

前提安装了python3 

windows系统漏洞自查：（通过收集靶机系统的补丁，查看系统的内核漏洞）

工具的使用方法官网有：

1. 首先运行powershell脚本KBCollect.ps收集一些信息

打开powershell脚本 

工具下载后有两个版本，随便找个版本运行 

.\KBCollect.ps1

  

解决方案：（参考） 

我们通过管理员权限运行power shell(可通过win+x打开)，然后输入命令：（有选择就选择“是”就可以了）

set-ExecutionPolicy RemoteSigned

KB.json文件详细描述当前操作系统的版本信息与已经打过的漏洞补丁信息 

2. 将运行后产生的KB.json文件移动到cve-check.py所在的目录

我这里直接生成在这个目录下就不用移动了

3. 安装一些python3模块（我这里换成cmd执行命令）

python3 -m pip install requirements.txt

我这里运行失败，打开 requirements.txt 的这文件一看发现只是安装requests==2.23.0我直接手动安装了，不使用一键安装

pip install requests==2.23.0 

4. 运行cve-check.py -u创建CVEKB数据库

5. 运行cve-check.py -U更新CVEKB数据库中的hasPOC字段

  此处可以使用-m选择更新模式。
  -m All:更新所有
  -m Empty:只更新hasPOC字段为空的
  -m Error:只更新hasPOC字段为Error的

6. 运行cve-check.py -C -f KB.json查看具有公开EXP的CVE，如下：

EXP信息就是漏洞信息

7. 若使用脚本扫描到的系统名称和版本不准确，可以使用-n,-N进行指定

8. 如果把脚本的信息过时的还可以更新一下

# 直接运行这个脚本就能查看使用方式
cve-check.py

linux系统漏洞自查：（通过收集靶机系统的补丁，查看系统的内核漏洞）

直接运行脚本即可（我这里是下载压缩包解压，然后复制到linux系统中） 

./linux-exploit-suggester.sh

2）windows，linux 服务漏洞自查:

windows：（要在powershell脚本中运行命令）

Get-WmiObject -class Win32_Product

linux：

脚本下载地址：GitHub - rebootuser/LinEnum：脚本化本地 Linux 枚举和权限升级检查

LinEnum.sh

这个脚本还可以加一些参数一起运行

利用前期信息收集配合 searchsploit（漏洞利用库） 进行应用服务协议等漏洞检索

漏洞利用数据库 / 漏洞利用 + 壳码 + GHDB ·吉特实验室 (gitlab.com)

安装

https://gitlab.com/exploit-database/exploitdb/-/archive/main/exploitdb-main.tar.gz

使用示例

漏洞更新

./searchsploit -u

搜索关于SQL Server 2016的漏洞：

./searchsploit 'SQL Server 2016'

找到目标脚本

 

这个脚本运行会报错说“某某模块找不到”，解决安装对应的模块即可：pip install 模块名

我这里就不继续了，需要的可以直接玩一下或者直接在百度搜索这个漏洞编号，看别人是如何利用的

3）windows，linux 协议弱口令自查-工具探针或人工获取判断-snetcraker

超级弱口令检查工具

工具采用C#开发，需要安装.NET fr amework 4.0。

如果是windows系统可以在我的网盘下载可执行程序执行运行就能使用：弱口令工具

直接运行就可以了，使用就不多说了很简单，上面也有使用过 

案例 4-自动化 ir-rescue 应急响应工具箱-实时为您提供服务

项目地址：（可以尝试自己进行编写修改，成为自己的工具箱杀器）

GitHub - diogo-fernan/ir-rescue: A Windows Batch script and a Unix Bash script to comprehensively collect host forensic data during incident response.

  

win工具演示：

扩展名.bat就是个批处理文件，就是相当于命令的集合运行了这个文件就相当于运行了很多条命令，详细介绍：批处理编写（病毒）_%userprofile_正经人_____的博客-CSDN博客

1）先更新一下工具箱 

文件内容解析 

运行

 

2）可以收集一下当前主机的信息（收集大量取证数据）

linxu工具就不演示了使用都是差不多的，需要的可以自己玩下

涉及资源：

  • https://github.com/rebootuser/LinEnum
  • https://github.com/diogo-fernan/ir-rescue
  • https://github.com/offensive-security/exploitdb
  • https://github.com/chroblert/WindowsVulnScan
  • https://github.com/JPCERTCC/LogonTracer.git
  • https://github.com/mzet-/linux-exploit-suggester
  • https://pan.baidu.com/s/1tQS1mUelmEh3I68AL7yXGg 提取码：xiao
狗蛋的博客之旅
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 0
    评论
专栏目录
红队环境自动化部署工具的利用
slash_HK的博客
02-09 2790
一款批脚本处理工具，适用于kali，Ubuntu,windows等，用于自动化部署红队工作中所需要的基础环境，方便快捷
mb_bios_ga-p75-d3_f11.rar
11-19
技嘉主板 p75-d3 bios f11
最强大的windows取证工具
01-09
该工具包中所包含的python代码支持对windows不同版本、linux以及android系统的取证分析，功能强大，包罗万象
22款受欢迎的计算机取证工具
农村的我的专栏
10-16 6698
原文转载于:http://www.freebuf.com/sectool/136921.html 计算机取证是与计算机和网络犯罪有关的，一门非常重要的计算机学科分支。在早前，计算机只用于生成数据，但现在已扩展到与数字数据相关的所有设备。计算机取证的目标是通过使用数字资料的证据来进行犯罪调查，以找出网络相关罪行的主要责任人。 为了更好的用于研究和调查，开发人员创建了多样的计算机取证工具。
探索网络安全新视角：LogonTracer
最新发布
gitblog_00065的博客
05-12 626
探索网络安全新视角：LogonTracer 项目地址:https://gitcode.com/JPCERTCC/LogonTracer 当涉及到Windows Active Directory的事件日志调查时，LogonTracer是一个不可或缺的工具。它以图形化的形式揭示恶意登录行为，让安全分析师能够快速识别异常模式，从而有效地对抗网络威胁。 项目介绍 LogonTracer是JPCERTCC...
红蓝队自动化项目&资产侦察&武器库部署&企查产权&网络空间
weixin_50607688的博客
08-17 206
本项目集成了全网优秀的开源攻防武器项目，包含信息收集工具（自动化利用工具、资产发现工具、目录扫描工具、子域名收集工具、指纹识别工具、端口扫描工具、各种插件…），漏洞利用工具（各大CMS利用工具、中间件利用工具等项目…），内网渗透工具（隧道代理、密码提取…）、应急响应工具、甲方运维工具、等其他安全攻防资料整理，供攻防双方使用。如果你有更好的建议，欢迎提出请求。
【应急响应】日志自动提取分析项目&ELK&Logkit&LogonTracer&Anolog等
今天是几号的博客
05-03 2599
1、七牛Logkit：(Windows&Linux&Mac等)支持的数据源（各类日志，各个系统，各个应用等）File: 读取文件中的日志数据，包括csv格式的文件，kafka-rest日志文件，nginx日志文件等,并支持以grok的方式解析日志。2、观星应急工具：（Windows系统日志）SglabIr_Collector是qax旗下的一款应急响应日志收集工具，能够快速收集服务器日志，并自动打包，将收集的文件上传观心平台即可自动分析。
技嘉GA-P75-D3 REV1.1最新BIOS F11（官网没有）
08-18
国内技嘉官网和驱动之家都没有，这个是台湾网站上下载到的最新版
铭瑄 MS-P75U3 PRO驱动程序下载
03-19
更新时间：2013-09-30 13:50:46 软件语言：简体中文 软件平台：Win2000/WinXP/Win2003
MC44608P75G的技术参数
12-12
产品型号:MC44608P75G最大工作电压(V):16开关可承受电压(V)/电流(A):(External ref.)控制方式:PWM电压模式开关频率(KHz):75封装/温度(℃):DIP-8/-25~125描述:离线AC-AC开关调节器价格/1片(套):暂无 
华硕P8B75-V主板已经改好的BIOS文件支持NVME
08-12
AI_SuiteII里面，我们只需要安装ASUS UPDATE用于更新bios固件就好 有人说需要降级，我是不需要降级的，直接用1608进行验证，然后验证通过后把1608-改好的这个CAP改成1608就行，点下一步升级好。
SNETCrackerV1.0.Beta28.20190715.zip
06-26
GitHub下载/SNETCracker/超级弱口令检查工具/SNETCracker/SNETCracker/SNETCracker
超级弱口令检查工具V1.0 Beta11 20171207
12-07
最新的超级弱口令破解工具 比第一个版本好一些 最新的超级弱口令破解工具 比第一个版本好一些
SNETCracker:超级弱口令检查工具是一款Windows平台的弱口令审计工具，支持批量多线程检查，可快速发现弱密码、弱口令账号，密码支持和用户名结合进行检查，大大提高成功率，支持自定义服务端口和字典
05-10
超级弱口令检查工具是一款Windows平台的弱口令审计工具，支持批量多线程检查，可快速发现弱密码、弱口令账号，密码支持和用户名结合进行检查，大大提高成功率，支持自定义服务端口和字典。 工具采用C#开发，需要安装.NET Framework 4.0，工具目前支持SSH、RDP、SMB、MySQL、SQLServer、Oracle、FTP、MongoDB、Memcached、PostgreSQL、Telnet、SMTP、SMTP_SSL、POP3、POP3_SSL、IMAP、IMAP_SSL、SVN、VNC、Redis等服务的弱口令检查工作。 工具特点： 1.支持多种常见服务的口令破解，支持RDP（3389远程桌面）弱口令检查。 2.支持批量导入IP地址或设置IP段，同时进行多个服务的弱口令检查。 3.程序自带端口扫描功能，可以不借助第三方端口扫描工具进行检查。 4.支持自定义检查的口令，自定
Python-LogonTracer通过可视化和分析Windows事件日志来调查恶意Windows登录
08-10
通过查看和分析Windows活动目录事件日志来调查恶意登录。LogonTracer使用PageRank和ChangeFinder从事件日志中检测恶意主机和帐户。
6、应急响应-日志自动提取&自动分析&ELK&Logkit&LogonTracer&Anolog等
m0_65842464的博客
01-28 1273
自动提取日志文件的工具使用，自动分析日志的工具和脚本使用，由于日志文件数量过多，内容也多，人工分析过于繁琐，此时日志提取工具和日志自动分析工具的使用就会省时省力，同时也能为人工分析提供参考价值，提高效率。
SNETCracker.exe 2022/1/26 31:13:29----检查12.26.20.1:SSH登录发生异常！未能加载文件或程序集“ChilkatDotNet4.dll”或它的某一个依赖项
qq_43615820的博客
06-01 2200
SNETCracker.exe 发生错误： 2022/5/26 21:13:29----检查120.26.240.21:SSH登录发生异常！未能加载文件或程序集“ChilkatDotNet4.dll”或它的某一个依赖项。找不到指定的模块。 解决：安装 vc++ 2010 下载链接：https://my.visualstudio.com/Downloads?q=visual%20C%20&pgroup= 参考：VC++2010下载教程_asionzz的博客-CSDN博客_v.
Windows系统安全登录日志分析工具logonTracer汉化修正版_windows下载logontracer(3)
2401_84254087的博客
05-08 525
本人从事网路安全工作12年，曾在2个大厂工作过，安全服务、售后服务、售前、攻防比赛、安全讲师、销售经理等职位都做过，对这个行业了解比较全面。最近遍览了各种网络安全类的文章，内容参差不齐，其中不伐有大佬倾力教学，也有各种不良机构浑水摸鱼，在收到几条私信，发现大家对一套完整的系统的网络安全从学习路线到学习资料，甚至是工具有着不小的需求。最后，我将这部分内容融会贯通成了一套282G的网络安全资料包，所有类目条理清晰，知识点层层递进，需要的小伙伴可以点击下方小卡片领取哦！
蓝队-应急响应-日志分析
weixin_58782362的博客
01-06 1481
安装方法一：强烈推荐，因为这里面搭载了很懂工具，不需要太多复杂的环境，特别方便：https://github.com/ffffffff0x/f8x(自动搭建项目)在日常蓝队进行日志分析的时候，显示将服务器主机日志全都收集起来，然后将日志放到自动识别脚本当中，就能进行自动分析，最后将有异常的ip直接拉黑即可。360星图是比较老的工具，主要是只支持三种插件，但用起来特别舒服，特别是图形化的结果，看起来特别舒服。此工具还行，但是没有可视化，作者用的是正则表达式，然后将日志中的关键词进行提取输出。
b8p75-v nvme
05-13
NVMe是一种新型的高速数据传输协议，相比于传统的SATA接口，其数据传输速率更高，且延迟更低，可大大提高存储设备的读写速度和响应速度。B8P75-V NVMe适用于计算机的高性能应用场景，例如游戏、制图和视频编辑等。其...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

狗蛋的博客之旅

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值