假設(shè)發(fā)現(xiàn)web應(yīng)用服務(wù)器發(fā)現(xiàn)文件異常增多，初步懷疑被上傳 webshell，描述流量分析溯源的思路：
可利用流量工具進(jìn)行溯源：
1)查看eval、z0、shell、whoami等關(guān)鍵字，查看出現(xiàn)次數(shù)過(guò)多的時(shí)候，可能需要查看是哪個(gè)頁(yè)面發(fā)起的請(qǐng)求，有可能是webshell
2)通過(guò)WireShark工具快速搜索關(guān)鍵字，定位到異常流量包
3)找出異常IP和所上傳的內(nèi)容，查看是否webshell
如何定位到攻擊IP：
1)首先通過(guò)選擇-統(tǒng)計(jì)-對(duì)話查看流量的走向情況，定位可疑的P地址
2)根據(jù)定位到的IP地址,嘗試對(duì)上傳的webshell進(jìn)行定位ip.addr == ip && http matches "upload|[eval|select|xp_cmdshell"&& http.request.method ==“POST"
3)查找到Webshell后嘗試溯源漏洞位置, http.request.uri contains “webshell.php”，定位到最開始webshell執(zhí)行或上傳的時(shí)候
4)根據(jù)最開始的HTTP上傳包或者其他漏洞特產(chǎn)定位漏洞類型
更多關(guān)于網(wǎng)絡(luò)安全培訓(xùn)的問(wèn)題，歡迎咨詢千鋒教育在線名師。千鋒教育擁有多年IT培訓(xùn)服務(wù)經(jīng)驗(yàn)，采用全程面授高品質(zhì)、高體驗(yàn)培養(yǎng)模式，擁有國(guó)內(nèi)一體化教學(xué)管理及學(xué)員服務(wù)，助力更多學(xué)員實(shí)現(xiàn)高薪夢(mèng)想。
京公網(wǎng)安備 11010802030320號(hào)