记两次内网入侵溯源

文章预览

来源：奇安信攻防社区，作者：苏苏的五彩棒 原文：https://forum.butian.net/share/2449 1.1、入侵告警 1、某天深夜主机防护突然爆出CS木马后门，这攻击队不讲武德呀，还好没睡着 2、赶紧叫醒旁边看流量设备的哥们儿，尝试Shiro 反序列漏洞攻击成功 3、测试目标网站存在shiro反序列化漏洞 1.2、上机排查 1、上机将CS木马下载下来，丢到云沙箱中运行，发现外联IP 2、根据态感的告警时间排查日志，发现文件上传 3、上机排查木马文件，找了好久没找到木马文件，一个个打开文件查看，终于找到了木马，哥斯拉的jsp木马 可以看到攻击者以及将木马文件修改了名称与时间，企图伪装在正常文件中 排查发现反弹shell，IP与CS外联地址一致 攻击者还下载了fscan扫描器，进行了扫描，IP与CS外联地址一致 fscan扫描结果 1.3、溯源 1、根据IP查询到域名 2、直接访问域名，发 ………………………………