【日志审计】Apache日志分析

前言

在网站被入侵以后我们可以通过分析日志来得出攻击者是如何入侵网站的，然后按照攻击者的入侵路线来对网站进行修复和清理入侵者留的后门。日志分析是我们进行网站维护的重要技能，下面我们就以Apache日志为例分析一下攻击者是如何入侵网站的

通过分析Apache日志了解到了攻击者在入侵网站时的主要步骤
攻击者在27/May/2019:15:46:42利用payload注出后台登录账号密码

账号密码POC:

/plus/recommend.php?action=&aid=1&_FILES[type][tmp_name]=\%27%20or%20mid=@`\%27`%20/*!50000union*//*!50000select*/1,2,3,(select%20CONCAT(0x7c,userid,0x7c,pwd)+from+`%23@__admin`%20limit+0,1),5,6,7,8,9%23@`\%27`+&_FILES[type][name]=1.jpg&_FILES[type][type]=application/octet-stream&_FILES[type][size]=4294

成功注出管理员账号密码

攻击者在27/May/2019:15:50:07利用扫描工具开始扫描网站

在27/May/2019:15:50:09完成了对网站后台的扫描

攻击者在27/May/2019:15:50:36利用前面payload注出来的账号密码成功登录到后台

攻击者在27/May/2019:15:52:28在/dede/file_manage_main.php?activepath=/uploads处成功上传了一个php大马并成功访问到

利用大马我们发现服务器开启了3389端口，攻击者还有可能入侵了系统

利用D盾发现入侵者果然克隆了系统弄管理员账号

入侵者既然已经入侵了系统，那么他还有可能留了后门
按五次shift发现弹出系统权限的cmd窗口

修复建议

1、根据官方发布的漏洞补丁，主要修改文件include/uploadsafe.inc.php中第24行
修改前

修改后

然后重新使用payload发现修改后不能注出管理员账号密码

2、在文件式管理器处设置白名单上传
3、右键删除入侵者留的克隆账号，然后查看注册表发现成功删除克隆账号


4、项里找不到sethc.exe —– 对 着Image File Execution 右键 新建项 里面输入sethc.exe之后打开新建的sethc.exe 右边 右键新建 字符串值 名称为 Debugger 值为:&(@31k23KAfjk_wjkeh1OFAjkewg2iy13(只要乱打就行),这样就免疫了 shift 后门,设置完后最好设置下权限,Everyone 禁止 删除 禁止 设置项值
项里能看到sethc.exe —– 看右边 打开sethc.exe项 右面双击 Debugger 里面的内容改成asYD(W1HJK_FAJKFL43之类的（乱打就行),这样就免疫并且清除了 shift后门.