第11章 网络攻击痕迹清除实战技术详解

Windows NT系统攻击痕迹清除 系统攻击痕迹清除
WinNT通过了TCSEC的C2级评测，默认的 WinNT通过了TCSEC的C2级评测， 通过了TCSEC 级评测 审计子系统缺省是关闭的。 审计子系统缺省是关闭的。 审计事件分为7类，对于每类事件，审计 审计事件分为7 对于每类事件， 管理员可以选择审计失败或成功的事件 或是二者都审计。 或是二者都审计。 对于文件和对象存取事件类的审计，管 对于文件和对象存取事件类的审计， 理员可以在资源管理器中进一步制定各 文件和目录的具体设计标准。 文件和目录的具体设计标准。
IT Education & Training
2007年8月16日
Neusoft Institute of Information
Wtmp文件的修改 文件的修改
Wtmp文件中记录的数据结构和utmp Wtmp文件中记录的数据结构和 文件中记录的数据结构和utmp 相同，修改时，先利用ttyname(0) 相同，修改时，先利用ttyname(0) 查处自己的终端设备名， 查处自己的终端设备名，在根据设 备名逐个查找记录， 备名逐个查找记录，修改自己的设 备名记录。 备名记录。
修改文件前，攻击者先取得用户ID，用函数getuid()即可。然后逐个比 修改文件前，攻击者先取得用户ID，用函数getuid()即可。 ID getuid()即可 较记录，查找所有与该ID有关的记录，修改该记录。 ID有关的记录 较记录，查找所有与该ID有关的记录，修改该记录。也可以将该记录改 为其他用户记录，用户ID可通过函数getpwnam获得。 ID可通过函数getpwnam获得 为其他用户记录，用户ID可通过函数getpwnam获得。
IT Education & Training
2007年8月16日
Neusoft Institute of Information
UNIX系统攻击痕迹清除 系统攻击痕迹清除
Unix系统中3个重要的log文件： Unix系统中3个重要的log文件： 系统中 log文件
–Wtmp或wtmpx记录每次登录的信息，包括登 Wtmp或wtmpx记录每次登录的信息， Wtmp 记录每次登录的信息 退出的时间、终端、登陆主机IP IP， 录/退出的时间、终端、登陆主机IP，可以 last访问 /var/log） 访问（ 用last访问（/var/log） –Utmp或utmpx日志记录以前登录到系统中的 Utmp或 Utmp utmpx日志记录以前登录到系统中的 所有用户， 所有用户，这个文件随着用户进入和离开系 统不断变化。可以使用w和who查看utmp 统不断变化。可以使用w who查看utmp 查看 /var/run） （/var/run） –Lastlog记录每个用户最近一次的登录时间 Lastlog记录每个用户最近一次的登录时间 Lastlog 和登陆点（/var/log） 和登陆点（/var/log）
IT Education & Training
2007年8月16日
Neusoft Institute of Information
攻击防火墙日志的方法
用伪装的IP地址进行非法网络连接出发 用伪装的IP地址进行非法网络连接出发 IP 防火墙的审计功能， 防火墙的审计功能，干扰防火墙系统的 审计功能正常运行 利用防火墙的漏洞，直接供给防火墙系 利用防火墙的漏洞， 然后停止其设计进程。 统，然后停止其设计进程。 利用防火墙的漏洞，进行合法的网络连 利用防火墙的漏洞， 绕过防火墙的检查与访问控制机制。 接，绕过防火墙的检查与访问控制机制。
IT Education & Training
2007年8月16日
Neusoft Institute of Information
防火墙系统攻击痕迹清除
防火墙存在于受保护网络与外部通信的 唯一几口上。 唯一几口上。它的日志详细记录了网络 通信连接和安全事件信息， 通信连接和安全事件信息，这些信息是 网络攻击取证的重要依据。 网络攻击取证的重要依据。 攻击者应首先攻击防火墙的日志审计系 统，使防火墙日志审计系统停止运行或 使审计没有所需要的磁盘空间。 使审计没有所需要的磁盘空间。
修改时，首先利用ttyslot函数找到所要修改数据的位置，然后 修改时，首先利用ttyslot函数找到所要修改数据的位置， ttyslot函数找到所要修改数据的位置 使用lseek直接定位到该记录，改成其它用户的记录， lseek直接定位到该记录 使用lseek直接定位到该记录，改成其它用户的记录，主要修改 ut_time,ut_line,ut_user
2007年8月16日
Neusoft Institute of Information
第11章 网络攻击痕迹清除实战技术 章
网络攻击痕迹清除就是“打扫战场”， 网络攻击痕迹清除就是“打扫战场” 把攻击过程中所产生的有关文件记录尽 可能删除，避免留下攻击取证数据， 可能删除，避免留下攻击取证数据，同 时为后续的攻击做好准备。 时为后续的攻击做好准备。 一个基本原则是切断取证链，尽量将痕 一个基本原则是切断取证链， 迹清楚在远离真实的攻击源所在处。 迹清楚在远离真实的攻击源所在处。
IT Education & Training
2007年8月16日
Neusoft Institute of Information
winNT系统设计清除 系统设计清除
可以使用elsave工具，例如： 可以使用elsave工具，例如： elsave工具
–elsave -s \\IDS_ONE -l elsave "security" -C –elsave -s \\IDS_ONE -l elsave "Application" -C –elsave -s \\IDS_ONE -l "System" elsave -C
– struct o_acct –{ – char ac_flag; //账号标志 //账号标志 – char ac_stat; //退出时状态 //退出时状态 – uid_t ac_uid; //用户 用户ID //用户ID – gid_t ac_gid; //用户组 用户组ID //用户组ID – dev_t ac_tty; //用户控制终端设备号 //用户控制终端设备号 – time_t ac_btime; //开始时间 //开始时间 – comp_t ac_stime; – comp_t ac_etime; – comp_t ac_mem; //内存使用情况 //内存使用情况 – comp_t ac_io; – comp_t ac_rw; – char ac_comm[8]; //命令 //命令 – };
IT Education & Training
2007年8月16日
Neusoft Institute of Information
攻击者拥有超级用户权限
拥有超级用户权限虽然可以为修改 日志带来方便，但是修改过多的话， 日志带来方便，但是修改过多的话， 就会引起网管的怀疑。 就会引起网管的怀疑。 修改日志文件要做到“润物细无 修改日志文件要做到“ 才会实现攻击目的， 声”，才会实现攻击目的，为后续 供给买下伏笔。 供给买下伏笔。
2007年8月16日
Neusoft Institute of Information
攻击者拥有普通用户权限
如果系统管理员将日志文件配置成任何 用户可读写，修改日志文件就很容易。 用户可读写，修改日志文件就很容易。 如果不是，那么攻击者可以想法添加一 如果不是， 写记录到日志文件中， 写记录到日志文件中，干扰管理员的视 线。 攻击者会rlogin到现在的主机，在 攻击者会rlogin到现在的主机， rlogin到现在的主机 lastlog中增加一个令人怀疑的数据项 中增加一个令人怀疑的数据项， lastlog中增加一个令人怀疑的数据项， 它将在该用户下次登录时被显示。 它将在该用户下次登录时被显示。
–准确的发现攻击者什么时候进行了攻击活 准确的发现攻击者什么时候进行了攻击活 动 –发现攻击者从哪个站点进入系统 发现攻击者从哪个站点进入系统 –知道攻击者再线的时间 知道攻击者再线的时间
修改日志文件需要有root权限 修改日志文件需要有root权限 root
IT Education & Training
IT Education & Training
2007年8月16日
Neusoft Institute of Information
清除日志文件的程序见书上代码。 清除日志文件的程序见书上代码。
IT Education & Training
2007年8月16日
Neusoft Institute of Information
IT Education & Training
2007年8月16日
Neusoft Institute of Information
Lastlog文件的修改 文件的修改
Lastlog文件中记录的数据结构如下： Lastlog文件中记录的数据结构如下： 文件中记录的数据结构如下 struct lastlog{ time_t ll_time; char ll_line[8]; char ll_host[16]; }; Lastlog文件按的记录按用户ID的大小顺序排 文件按的记录按用户ID Lastlog文件按的记录按用户ID的大小顺序排 因此，修改前要利用函数getuid getuid取得用户 列，因此，修改前要利用函数getuid取得用户 ID，然后可利用lseek直接定位到该记录， lseek直接定位到该记录 ID，然后可利用lseek直接定位到该记录，然 后修改。 后修改。
IT Education & Training
ห้องสมุดไป่ตู้
2007年8月16日