技战法——每年的玄学百科。
甲方觉得你写了就有分，你觉得这点屁分顶不住一条信息泄露。
今天废话少一点，来一篇实战技战法。写在前面：此篇技战法为up在hw中实际提交过并加了分的（非guohu哈），拆解步骤用于教学用，原文已适当删减。
一、**发现攻击告警**
xxxxx（具体时间）在xxx（安全设备）上发现SQL注入（这里以sql注入为例子）
1.1*威胁情报查询*
-
通常网络攻击者的IP经过长时间的渗透测试、攻防演练等大量暴露后会被贴上恶意标签，可通过各种威胁情报网站查询到该攻击IP何时何地进行了何种攻击行为。下图为针对该攻击IP的威胁情报查询：
（不给图片了，大家自己看情况粘上去）
1.2*域名反查*
-
作为后渗透种入木马等阶段时攻击者无法继续使用IP资源池或不定IP，而由于多种场景下的需要（例如域名解析测试、dns劫持等）该IP可能绑定了一个恶意域名，进行域名反差，查询解析记录、绑定信息等，可以获取到部分攻击者个人信息。
-
根据恶意域名类型、主域名归属，可以结合告警推测攻击者实际进行了何种形式的攻击，例如最近的Google域名漏洞、windows子域名钓鱼等。
-
查询结果：未发现该IP绑定域名记录。
（也不给图片了，大家自己看情况粘上去）
1.3*端口开放查询*
-
作为反查手段之一在分析阶段的作用主要为判断是否存在扫描器、黑客工具等，由于大部分黑客工具有固定使用端口，可以作为参考之一。
-
查询记录：未发现异常端口开放、未发现http/https服务。
*二、**研判思路***
*2.1**payload分析*
通过查询告警发现该次攻击使用payload为（展示部分）：
-
(select(0)from(select(sleep(15)))v)/'+(select(0)from(select(sleep(15)))v)+'"+(select(0)from(select(sleep(15)))v)+"/
-
（只保留关键部分）{
"formerQuery": "(AP=(............)) AND LG=(......) AND (PNC=CN) AND (PT=1) AND (ADY=(2015))",}
-
-1 OR 2+727-727-1=0+0+0+1 --
-
?pageIndex=1%
/**/and/**/1=1/**/and/**/1!=2
初步分析：从该攻击者使用paylad分析来看可以确认3、4payload为探测语句，测试是否存在sql注入漏洞，第一个payload疑似发现SQL注入漏洞点，利用sleep函数进行时间注入的测试，第二个payload实际为正常业务访问，json自带，已实际抓包测试，判断为误报。综合上述情报，目前判断为该攻击者对系统发起了SQL注入攻击，探测+函数测试，状态码返回为200，疑似攻击成功，需要进一步判断。
*2.2**内部信息查询*
*2.**2****.****1****数据库操作记录查询*
经过与管理员确认，未发现数据库改写记录、未发现数据库操作异常记录、未发现数据库新增管理账户记录、未发现异常查询记录。
*2.**2****.****2****中间件日志查询*
经过与管理员确认，未发现日志异常，未发现该IP其他异常行为。
进一步分析：该次攻击行为未成功，返回再次查看数据包时注意到的细节有：payload插入位置并不一致，ua、请求路径甚至cookie的位置皆有发生，总体请求量不大，首先排除漏洞扫描攻击、poc、黑客工具sqlmap等，确认为手工注入，且为泛测试，该攻击者并不确定漏洞位置、漏洞是否真实存在。
*2**.4****攻击复现*
*2.**4****.****1****payload还原*
经还原，实际未能达到漏洞利用，状态码400，攻击为失败。后续在请求头及请求体各个位置插入SQL注入语句，结果均为400。
*2.**4****.****2****状态码200问题解析*
(select(0)from(select(sleep(15)))v)/'+(select(0)from(select(sleep(15)))v)+'"+(select(0)from(select(sleep(15)))v)+"/
通过对上面这串payload二次分析，判断网站实际未能识别特殊符号混淆，攻击者本意为绕过waf，可网站实际并未采用waf防护，而是采用网站监测+ips模型进行动态防护，阻隔非法行为，动态免杀类机制无效。
原文始发于微信公众号（一己之见安全团队）：Hvv篇——技战法
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论