浅谈攻击溯源的一些常见思路( 三 ) _攻击溯源

文章插图
攻击者爆破成功之后启动xp_shell往往就可以以高权限执行系统命令，拿到了一个windows的shell岂不是为所欲为。

文章插图
Linux平台下面还有一个redis也很热门，就一个几年的默认安装后的未授权访问的问题却流传的相对广泛。比如最近一段事件相对比较热门的DDG挖矿、WatchDog挖矿等病毒都主要利用redis未授权访问执行命令，从互联网拉取挖矿程序写入ssh的公钥等功能。
看见本地开放了6379端口的时候还是需要重点关注这个问题，多向用户咨询一下使用情况查看一下默认配置。

文章插图
还有一些常用的系统比如MySQL数据库暴力破解提权一套装、hadoop未授权访问漏洞、钓鱼邮件、破解软件后门、恶意的office宏、office的代码执行漏洞、邮箱缺陷、VPN配置缺陷等情况都可能是攻击者的入口点具体情况需要结合用户当前的情况具体进行排查。
总结
都说安全本质到最后就是人与人之间的一个较量，对于很多定向攻击的安全事件排查起来估计就比较有意思，主机端的日志被清除掉流量层面全程隧道通信就呵呵了。
站在攻防的角度从攻击者的思维模型去做应急，思考更多的攻击者可能的途径，经常利用的姿势、漏洞与常用的攻击手法再用数据去加以验证，不局限在已知漏洞中而放过其他的问题，如果能够做到积极主动且有预见性，就能更好地控制后果，说不过在过程中还能发现几个0day也算是意外之喜了。
声明：除发布的文章无法追溯到作者并获得授权外，我们均会注明作者和文章来源。如涉及版权问题请及时联系我们，我们会在第一时间删改，谢谢！文章来源：网络安全编程与黑客程序员。
文章来源：HACK之道
文章作者：si1ence_whitehat