安全研究 >> 安全研究详情

安全日志介绍及分析(下)

作者: 美创科技安全实验室发布日期: 06月01日

安全日志记录了用户的各种行为,通过分析安全日志可得到攻击者入侵入侵轨迹。本文主要介绍安全日志的种类、结构,以及如何去分析这些日志,会以windows安全日志、linux安全日志、中间件安全日志、安全设备安全日志为例去介绍安全日志。


中间件安全日志


常用中间件主要分为apache、nginx、iis,该处主要介绍这三种中间件安全日志。


apahce安全日志


apache安全日志存储位置:存储在中间件安装目录下的logs目录中,文件名一般为access.log或access_xxxx.log,打开该文件即可查看apache的安全日志。




nginx安全日志


nginx安全日志存储位置与apahce存储位置相同,也是存储在中间件安装目录下的logs目录中,文件名一般也为access.log或access_xxxx.log。




iis安全日志


IIS中间件安全日志存储位置与apache、nginx不相同,IIS6.0安全日志存储位置:C:\Windows\System32\LogFiles目录下,IIS7.0以上安全日志存储位置:C:\inetpub\logs\LogFiles目录下。


中间件安全日志结构


中间件安全日志结构如下图所示,每一条安全日志由访问源IP、访问时间、请求方式、请求URI、响应状态码、响应内容大小组成,下图可看到,通过观察每一条安全日志可得出web应用程序的url在某时间点被IP14.x.x.x通过GET/POST请求访问。



通用中间件安全日志分析举例(webshell为例)


1、已知webshell名称


常见中间件安全日志分析思路—已知webshell名称:在日志中全局搜索webshell名称,并定位webshell最开始的访问时间点,查看该时间段的日志,找到webshell上传的方法,通过分析下图安全日志可得出,IP14.x.x.x在2017年9月2号22点49分时间段对index.action进行了大量POST操作,且响应包长度不一致,随后IP14.x.x.x在2017年9月2号22点49分41秒通过GET方式访问了bak.jsp,随后通过bak.jsp进行了大量操作,bak.jsp即为之前提到的jsp木马,故IP14.x.x.x可能通过index.action接口上传了bak.jsp木马,action为struts2框架,所以IP14.x.x.x很大可能通过struts2漏洞上传bak.jsp,之后通过本地实验证实了该web应用程序存在struts2漏洞,故可得到攻击者14.x.x.x的入侵轨迹:struts2漏洞上传bak.jsp木马—>    通过bak.jsp木马在服务器上进行了大量恶意操作。




2、未知webshell名称


未知webshell名称的情况下,可使用D盾全盘查找webshell




得到webshell文件名后,即可在access_log文件中查找webshell文件名,溯源攻击者的入侵轨迹,如有多个access_log文件,可在搜索框内搜索webshell名称,定位webshell名在哪些日志文件中,之后流程与之前相同。


安全设备安全日志


一般为IDS、IPS、WAF等探针类安全设备的安全日志,日志文件为pcap格式文件,wireshark打开,使用追踪流操作可查看到数据包详情。


struts2类攻击请求日志如下图所示:一般在数据包中存在恶意命令,如下图所示,请求包中调用cmd.exe/bash执行命令。


如下图所示,请求数据包中存在redirect字段,{}中即为代码执行的内容。


如下图所示,请求包中存在debug、expression字段,debug值即为command值,expression为执行的具体代码内容。


挖矿病毒类攻击请求数据包如下图所示:请求数据包一般为json格式,在请求数据包的agent字段中存在挖矿程序标识cpuminer-multi/0.1


代码执行类攻击请求数据包如下图所示:请求数据包中存在php、asp、jsp等脚本语言的代码。


SQL注入类攻击请求数据包如下图所示:请求数据包中存在恶意的SQL语句。


webshell类攻击主要分为两种情况:第一种为一句话webshell的请求数据包,如下图所示,在该数据包的请求正文一般为xxx=base64_decode(base64加密数据)或xxx=明文函数(xxx),xxx即为webshell的密码。


冰蝎webshell请求数据包和一句话木马请求数据包不一样,冰蝎请求数据包的请求URI中存在xxx=数字,xxx即为冰蝎webshell的密码,且该请求数据包的响应包为一串16进制数据。



其他挖矿、恶意程序类攻击安全日志


日志中详情一般为向DNS服务器请求解析了一个域名,该域名在威胁情报平台(微步在线等)中通常为恶意域名。

服务热线:400-811-3777
Copyright ©2005-2020 杭州美创科技有限公司. All Rights Reserved. 浙ICP备12021012号-1 网站地图