应急响应——IDS&IPS&msf流量&后门分析

介绍如何利用永恒之蓝MS17010漏洞攻击，以及攻击成果后的操作系统日志分析，看看默认的操作系统日志是什么，方便在应急排查时对攻击有个清晰的了解

战后-流量分析-MSF

这个过程和前面介绍的透明代理其工作原理类似，唯一区别就是透明代理客户端发出的请求的目的地址就直接是后台的服务器，所以透明代理工作方式不需要在WAF上配置IP映射关系。基于对Web应用业务和逻辑的深刻理解，WAF对来自Web应用程序客户端的各类请求进行内容检测和验证，确保其安全性与合法性，对非法的请求予以实时阻断，从而对各类网站站点进行有效防护。这种部署模式需要对网络进行改动，配置相对复杂，除了要配置WAF设备自身的地址和路由外，还需要在WAF上配置后台真实WEB服务器的地址和虚地址的映射关系。

从大佬的经验摘过来的

MSF，CS，Sliver等C2工具的流量分析教程

Part1 前言大家好，我是ABC_123。前面几周分享了Solarwinds供应链攻击事件的详细攻击流程及Sunburst后门的设计思路，但是多数朋友还是对Sunburst后门的通信过程还是没看明白。本期ABC_123就从流量的角度，把Sunburst后门的通信过程完整地复盘一下，这样可以更直观地展示Sunburst后门是如何绕过流量监控的，从中我也学到了很多东西。注：国外很多分析文章对于S...

如今大多数企业的内网都部署了流量审计服务, 用来专门分析流量特征, 比如后门特征和行为特征若直接使用Metasploit对内网进行横向渗透, 其产生的流量会很容易被内网防护工具检测出来, 因此需对流量进行加密来绕过检测这里介绍使用OpenSSL对MSF流量进行加密。

在MSF中生成shell，并上线运行时。都是通过`http` `https` `tcp`等协议传输。虽然MSF本身会对流量进行加密，但MSF太出名以致于其加密特征容易被IPS，WAF等可以检测带有攻击的特征的设备拦截或记录。

在应急响应中，有时需要用到流量分析工具，。当需要看到内部流量的具体情况时，就需要我们对网络通信进行抓包，并对数据包进行过滤分析，最常用的工具是Wireshark。

1.实验环境 攻击机：Kali 1）攻击工具：msf 2）分析工具：wireshark 3）IP地址：192.168.109.154（自动获取，NAT模式） 靶 机：Windows7 1）版本 2）开启网络共享(SMB协议) 3）关闭防火墙 4）IP地址：192.168.109.132（自动获取，NAT模式） 2.测试攻击机与靶机的连通性 3.数据库配置...

Metasploit渗透框架介绍及永恒之蓝复现

今天来说一下ms17010渗透，大家都知道在2017爆发出来了永恒之蓝病毒，导致比特币严重涨价（为啥我没屯几个，这可能就是我穷的的原因吧），永恒之蓝的漏洞版本名称也被称之为ms17_010今天就来详细和大家讲一下 靶机：windows7家庭普通版（感谢猫的薛定谔大佬的靶机镜像）百度云下载传送门 提取码：6mus 攻击机：kali 4.14（emmm没给你们传百度云，自行百度下载吧） 首先分别...

下面是我结合网上论坛以及个人的一些想法针对日志分析溯源的个人理解 现阶段大部分企业都会上日志审计设备，在配上流量分光，还有各类IDS、WAF等设备日志，对安全溯源分析十分方便，但在日常工作中，免不了要直接看服务器相关请求日志的情况，这个时候就需要我们自身具备日志分析的能力了。 一、日志分析流程 1、统计 首先需要对数据进行处理，如请求IP统计，访问地址统计，HTTP状态码统计等，这些数据统计可以使用excel或者python脚本，如果手头有各类工具那就更容易统计了。2、威胁发现 关键字过...

一、应急响应流程 应急响应分为六个阶段，分别是 准备 —— 检测 —— 抑制 —— 根除 —— 恢复 —— 总结 这种划分方法也称PDCERF方法 实际上，应急响应并不是严格遵从这个方法的，大多数情况都要具体问题具体分析 1 准备阶段 以预防为主，主要是要进行风险评估等工作，包括建立信息安全管理体系、部署安全设备和安装防护软件、建立应急响应和演练制度等等。 2 检测阶段 这个阶段是在安全事件发生后的，主要是判断安全事件是否还在发生，安全事件产生的原因，对业务的危害程度以及预计如何处理。 ..

攻击主机上打开了目标机器的桌面，攻击成功，这个时候只要我把它原本的账户删了，不断电的情况下，我想干嘛干嘛，他就再也进不来了，除非断电，重装。这个漏洞呢，在win10是不可以的，win8也是不行滴，只有win7以及以下的电脑，才有这个漏洞，因为win7之后微软把他给修复了。账户已经建立了，试想一波，如果我是真正的入侵者，我都有你账户了，我进你系统不是轻轻松松，账户密码都是我自己设置的。.无论怎么输入都没用，因为这个账号已经被我删掉了，或者我想放什么恶意程序木马在里面，隐藏起来，他也不知道的呀~

MS17-010（Eternal blue永恒之蓝）漏洞利用+修复方法

ms17_010 是一种操作系统漏洞，仅影响 Windows 系统中的 SMBv1 服务。这个漏洞是由于 SMBv1 内核函数中的缓冲区溢出而导致的。攻击者可以通过该漏洞控制目标系统，并执行任意代码。这个漏洞通过 445 文件共享端口进行利用，一旦攻击者成功利用该漏洞，就可以在目标主机上植入各种恶意软件，如勒索软件。最近出现的 WannaCry 勒索软件就使用 ms17_010 漏洞来传播和植入勒索代码，将目标系统中的所有文件加密并威胁用户付款。

MS17-010是微软于2017年3月发布的一个安全补丁，旨在修复Windows操作系统中的一个严重漏洞，该漏洞被称为“永恒之蓝”（EternalBlue）。这个漏洞影响了Windows的Server Message Block（SMB）协议，允许攻击者通过网络远程执行代码。