Metasploit是一个十分受欢迎的浸透测验结构,被视为安全测验人员手中的一把利器。但在另一方面由于他过于强壮,因而也常常被一些歹意攻击者所运用。当然,在本文咱们首要评论的是关于内存取证,...
Metasploit是一个十分受欢迎的浸透测验结构,被视为安全测验人员手中的一把利器。但在另一方面由于他过于强壮,因而也常常被一些歹意攻击者所运用。当然,在本文咱们首要评论的是关于内存取证,这对于咱们来说是至关重要的。由于咱们(受害者)的机器极有或许会被歹意攻击者,注入Meterpreter(一种先进的,可动态扩展的Metasploit有效载荷),这是一种彻底驻留在内存中的shell,而且不会向受害者的驱动器写入任何内容。下面,我将向你展现怎么运用取证结构Volatility来找出Metasploit的蛛丝马迹。
在剖析内存镜像时,首要咱们应该搜集有关操作体系的信息,以挑选正确的Volatility配置文件。最佳做法是在内存镜像时记载体系版别,由于Volatility检测成果或许会有误。假如你是从第三方取得的镜像而且版别不知道,那么我主张你运用imageinfo插件:
以上的检测成果显现,该镜像的体系版别为Windows 7 SP1 x86,这次的成果十分精确我的体系版别的确为该版别。咱们运用pslist插件,来查看下进程列表:
你有发现什么不对的当地吗?一个PID 3000的进程,用户或许发动了防病毒更新进程?但奇怪的是,该进程在发动42秒后退出。让咱们运用netscan插件进一步的查下网络衔接状况:
能够看到,一个不知道的进程与192.168.1.39:4444建立了衔接。有经历的人一眼就能反应出,4444端口Metasploit的默许回连端口。Meterpreter注入方针体系进程,让咱们测验运用malfind插件找到它:
这看起来Meterpreter像是被搬迁到了PID为3312的svchost.exe上。让咱们将它转储到一个文件,并运用杀毒软件查杀看是否能被正确辨认:
从检测成果中咱们能够看到,尽管不是百分百的免杀,但大部分杀毒软件包含许多干流的杀毒软件,如McAfee,Malwarebytes,DrWeb等,居然都没有检测出该歹意进程。
假如你喜爱运用YARA规矩进行歹意软件检测,那么你能够编写自己的规矩或在线查找一些规矩,然后运用yarascan插件:
在这儿我写了一个十分简易的规矩:
现在让咱们回到之前的pslist输出,能够看到这儿仅有运转的Web阅读器是Internet Explorer(iexplore.exe,PID 2568和2640)。咱们运用iehistory插件来查看下前史阅读记载:
没错!受害者运用咱们看到的URL从服务器下载了一个名为antivirus_update.exe的程序。但这儿我有个疑问,是什么促进他们这么做的呢?让咱们用memdump插件转储Internet Explorer的进程内存并搜索“antivirus”字符串:
正如你所看到的,攻击者运用了一些社工技巧以及将地址做了短网址处理,从而使受害者上圈套。当受害者下载并运转文件后,攻击者就会取得一个meterpreter session。为了愈加的荫蔽,攻击者将其搬迁到了svchost.exe(PID 3312)。
这儿我还有个疑问,受害者真的运转了它吗?让咱们找到履行的依据!首要,咱们运用shimcache插件,它能够盯梢应用程序的最近修正时刻,文件完好途径和履行标志:
能够看到文件的确被履行了!让咱们持续,运转userassist插件获取注册表上的依据:
除了以上的方法,还有一些其它手法例如,预取文件。当然,你也能够在内存中找到这些依据,Volatility甚至有一个插件–prefetchparser。
[1] [2] 黑客接单网
内容来源网络,如有侵权,联系删除,本文地址:https://www.230890.com/zhan/7460.html