另类WebShell监测机制--基于auditd
VSRC感谢业界小伙伴——老陈投稿精品原创类文章。VSRC欢迎精品原创类文章投稿，优秀文章一旦采纳发布，将有好礼相送，我们为您准备的丰富奖品包括但不仅限于：MacbookAir、VSRC定制雨伞，VSRC定制水杯以及VSRC定制充电宝！（活动最终解释权归VSRC所有）
本文档将介绍：如何通过Linux审计系统auditd监测WebShell执行系统命令的行为。
测试环境：CentOS7.0_x64
Linux审计系统提供了一种跟踪系统上与安全相关的信息的方法。基于预先配置的规则，审核生成日志条目以记录尽可能多的关于系统上发生的事件信息。
auditd（或auditd守护进程）是Linux系统中重要的内核审计组件，其负责将审计记录写入磁盘。使用auditd可以实现如下场景的审计监控：
• 监控文件访问
• 监控系统调用
• 记录用户命令执行
• 记录安全事件
• 执行审计搜索
• 统计概要报表
• 监控网络访问
Linux审计系统架构如下图所示：
通常我们使用auditctl用来查看和控制auditd的审计行为，获取审计日志，添加或删除审计规则。如果你希望审计配置在系统重启后仍然有效，请通过系统文件/etc/audit/audit.rules进行持久化配置。
以root身份执行如下命令，可实现对执行系统命令这一个SYSCALL行为的监控审计。
# auditctl -D # 用于测试，清除已有规则
# auditctl -a always,exit -F arch=b64 -S execve -k rule01_exec_command
上述命令在系统审计规则中增加了一条命令执行监控规则，并且定义规则名为rule01_exec_command。
查看auditd的日志文件/var/log/audit/audit.log，可以看到该配置命令本身也产生了日志：
其中1506925689.197为审计日志的时间戳，对应2017/10/214:28:09，698444为日志消息ID。
完成上述配置后，我们就可以对操作系统命令执行进行有效审计啦！
1、部署和执行WebShell
在网站目录/opt/www/php/部署WebShell程序shell.php，访问地址为https://example.com/shell.php。模拟黑客向该WebShell程序发起一次请求，执行系统命令：cat /etc/passwd。WebShell成功之行命令后，返回结果如下图所示：
2、查看和分析auditd审计日志
执行命令tail -f /var/log/audit/audit.log，同步查看auditd审计日志。有两组msg日志，消息id分别是：698520和698521。我们重点分析698520，先看日志内容：
上述5条消息同属于一组日志，来自规则rule01_exec_command,类型分别是：SYSCALL、EXECVE、CWD、PATH、PATH。其中，前三条日志有极高的价值。
• type=SYSCALL：日志规则“rule01_exec_command”被触发，uid=996的用户，通过父进程ppid=18259，调用/usr/bin/bash，执行了命令sh，进程pid=13545。
• type=SYSCALL和type=EXECVE都能看到执行的程序名称和参数
• type=CWD则说明了，命令执行所在的目录cwd="/opt/www/php"
请注意EXECVE中出现的十六进制字符串a2=636174202F6574632F706173737764，实际为命令执行的参数。很可能，审计系统为了尽快完成日志记录，未对字符串进行翻译。将其转换后，对应的ASCII字符串是：cat /etc/passwd
第二组日志如下，主要是针对命令cat /etc/passwd的审计。基本逻辑如上，不再赘述。
3、深入分析进程及文件关系
查看当前操作系统中Web系统nginx、php-fpm相关的进程信息，如下：
注意，php-fpm: pool www就是执行WebShell命令的工作进程！
结合Web日志的内容和时间信息，我们很容易定位到WebShell的路径为操作系统文件/var/www/php/shell.php
4、梳理小结
经过对auditd日志分析，并结合操作系统进程信息、Nginx日志，可对本次WebShell执行系统命令的行为进行回溯，细节如下：
http://example.com/shell.php?cmd=cat /etc/passwd该Url触发了Nginx服务器对php-fpm的调用。对应的文件在Web目录/opt/www/php。
WebShell执行系统命令过程中的进程调用关系如下：
至此，我们完成了基于auditd实现的WebShell执行系统命令的审计监控，希望对大家有帮助。当然，本文只是针对某个技术点应用的概念验证，如果你希望将其产品化实现，可能还需要考虑如下问题：
• 实时收集操作系统进程和进程PID等信息
• 主动识别Web进程和Web目录信息
• 对audit.log日志文件进行采集，发送到远程服务器进行收集
• 采集和关联分析Web访问日志
• 部署自研或第三方日志管理系统对进程信息进行分析
• 深入学习和理解auditd的运行机制和参数配置
• 合理配置auditd的运行参数，准确评估审计功能对系统性能的影响
• Windows平台是否有同样的检测机制？
基于auditd的审计信息对于关键任务环境来说是至关重要的，可以用于确定安全策略的违反和审计用户操作行为。审计本身不会为您的系统提供额外的安全性;但它可以用于发现违背安全策略的行为。
auditd的功能很强大，本文只是从一个很小的功能模块进行安全应用探索，更多功能和应用场景期待各位同行的发挥！有时候，立足系统自身，也能有不错的收获。
1、关于SYSCALL
上述配置命令中使用 -S execve实现了对命令执行这一SYSCALL的监控，也可以使用 -S 59作为参数实现。执行系统命令ausyscall --dump可以查看auditd支持的所有SYSCALL选项。仔细看，你一定会有意外收获：）
[root@localhost ~]# ausyscall --dump
Using x86_64 syscall table:
2、参考资料
欢迎投稿！
另类WebShell监测机制--基于auditd的更多相关文章
- 定制Asp.NET 5 MVC内建身份验证机制 - 基于自建SQL Server用户/角色数据表的表单身份验证
背景 在需要进行表单认证的Asp.NET 5 MVC项目被创建后,往往需要根据项目的实际需求做一系列的工作对MVC 5内建的身份验证机制(Asp.NET Identity)进行扩展和定制: Asp.N ...
- 第十四章 netlink机制--基于Linux3.10【转】
本文转载自:http://blog.csdn.net/shichaog/article/details/44682613 Netlink基于网络的消息机制,能够让用户和内核空间进行通信,12.3节提到 ...
- Netty学习摘记 —— 心跳机制 / 基于分隔符和长度的协议
本文参考 本篇文章是对<Netty In Action>一书第十一章"预置的ChannelHandler和编解码器"的学习摘记,主要内容为通过 SSL/TLS 保护 N ...
- 【腾讯Bugly干货分享】彻底弄懂 Http 缓存机制 - 基于缓存策略三要素分解法
本文来自于腾讯Bugly公众号(weixinBugly),未经作者同意,请勿转载,原文地址:https://mp.weixin.qq.com/s/qOMO0LIdA47j3RjhbCWUEQ 作者:李 ...
- Http协议：彻底弄懂 Http 缓存机制 - 基于缓存策略三要素分解法
转载:http://mp.weixin.qq.com/s/uWPls0qrqJKHkHfNLmaenQ 导语 Http 缓存机制作为 web 性能优化的重要手段,对从事 Web 开发的小伙伴们来说是必 ...
- 一种利用异常机制基于MVC过滤器的防止重复提交的机制分享
防止重复提交验证机制 某些时候因为系统反应稍慢,急性子用户可能不耐烦会进行重复的提交,这个操作不仅可能造成系统负担,也可能产生垃圾数据. 出现这两种状况都是我们不希望的. 为此,在公司项目系统设计了以 ...
- 【转】webshell检测——使用auditd进行system调用审计
本文档将介绍:如何通过Linux审计系统auditd监测WebShell执行系统命令的行为. 测试环境:CentOS7.0_x64 auditd简介 Linux审计系统提供了一种跟踪系统上与安全相关的 ...
- Android的事件处理机制详解(二)-----基于监听的事件处理机制
基于监听的事件处理机制 前言: 我们开发的app更多的时候是需要与用户的交互----即对用户的操作进行响应 这就涉及到了android的事件处理机制; android给我们提供了两套功能强大的处理机制 ...
- Android的事件处理机制之基于监听的事件处理
无论是桌面应用还是手机应用程序,面对用户的使用,经常需要处理的便是用户的各种动作,也就是需要为用户动作提供响应,这种为用户动作提供响应的机制就是事件处理. 而Android为我们提供了两套强大的响应机 ...
随机推荐
- 补充：垃圾回收机制、线程池和ORM缺点
补充:垃圾回收机制.线程池和ORM缺点 垃圾回收机制不仅有引用计数,还有标记清除和分代回收 引用计数就是内存地址的门牌号,为0时就会回收掉,但是会出现循环引用问题,这种情况下会导致内存泄漏(即不会被用 ...
- mave常用指令
Maven常用命令有以下几种: 清理 maven clean 测试 maven test 编译 maven compile 打包 maven package 部署 maven install 第一个m ...
- 【java异常】Unexpected error occurred in scheduled task. java.lang.StackOverflowError: null
可能是栈溢出(StackOverFlow) 背景:我用定时器new东西 原因:频率太快了好像!
- piral 基于typescript 的微前端开发框架
piral有一个微前端开发框架,功能强大,文档比较全,扩展能力也比较好 包含以下特性: 特性 高度模块化 多框架兼容 支持资源文件的拆分 全局状态管理 独立开发和部署 CLI工具 与同类框架的比较 参 ...
- Layui 常用知识
原文:https://www.cnblogs.com/30go/p/11088549.html 后台框架:Layui Admin Iframe layui.form.render();
- 一步一步编写AVL树
第一步:定义结构体 typedef struct Node{ int d; //data ; //height struct Node* l=NULL; struct Node* r=NULL; No ...
- java_home not found in your enviroment 问题解决方法
java_home not found in your enviroment 错误原因有一下几点 1. JAVA_HOME系统环境没配置, JAVA_HOME环境变量配置方法: <1> 右 ...
- 基于web公交查询系统自我安排进度
这周完成站点信息管理
- python总结五
1.is和==的区别:官方文档解释:is表示的是对象标识符,而==表示的是相等equal,is的作用是用来检查对象的标识符是否一致,也就是两个对象在内存中的地址是否一样 而==是用来检查两个对象是否相 ...
- shell脚本-练习1