使用WAZUH检测LD_PRELAOD劫持、SQL注入、主动响应防御

目录

1、检查后门

使用工具检测后门

1.chkrootkit

2.rkhunter

手动检查文件

检查ld.so.preload文件

2、检测LD_PRELOAD

ubuntu配置

wazuh配置

3、检测SQL注入

ubuntu配置

攻击模拟

4、主动响应

wauzh的安装以及设置代理可以参考本篇：WAZUH的安装、设置代理-CSDN博客

前面我们也介绍过使用LD_PRELOAD劫持动态链接库 ，然后本篇就介绍一下如何使用wazu来检测LP_PRELOAD劫持和SQL注入

1、检查后门

使用工具检测后门

1.chkrootkit

可以直接在命令行中进行安装

apt-get install chkrootkit

然后直接执行chkrootkit就会自动进行后门检测

2.rkhunter

该工具也同样可以使用apt命令直接安装

apt install rkhunter

安装完成后，执行rkhuter -c就会进行后门检测

手动检查文件

虽然工具会提高查找效率，但是我们进行后门检测时，不能仅仅依赖工具，还需要检查一些文件中是否有恶意的文件

检查ld.so.preload文件

/etc/ld.so.preload文件是Linux系统中的一个配置文件，它用于指定在程序加载时要预先加载的共享库，这些共享库会在程序启动时被加载到内存中，以便提供额外的功能或修改程序的行为。

我们如果发现这个文件里面有东西，那么大概率都是攻击者的恶意文件

2、检测LD_PRELOAD

那么下面就演示一下使用wazuh来检测LD_PRELOAD劫持的过程

ubuntu配置

（1）首先我们需要在代理设备上安装监控软件

这里的代理设备以Ubuntu为例，安装监控软件

apt-get install -y auditd

（2）加入对ld_preload劫持的监控规则

echo "-w /etc/ld.so.preload -p wa -k possible_preload_hijack" >> /etc/audit/rules.d/audit.rules

这条规则的意思就是：监控这个/etc/ld.so.preload文件的写入或者增加，就会发出告警 possible_preload_hijack

增加完成后我们可以看一下该文件

可以看到这条规则已经加入到文件里面了

（3）加入规则后需要重新加载以下规则文件

auditctl -R /etc/audit/rules.d/audit.rules

（4）可以查看一下规则是否成功加载 

auditctl -l

（5）然后需要修改一下配置文件

vim /var/ossec/etc/ossec.conf

将一下内容增加到locafile文件的最后

  <localfile><log_format>syslog</log_format><location>/var/log/auidt/audit.log</location></localfile>

这里的意思就是监控环境变量

最后重启客户端的wazuh-agent代理服务即可

systemctl restart wazuh-agent

（6）我们现在可以在服务端监控客户端的ld.so.preload文件中试着写一个文件看看规则是否会生效

然后试着执行任意命令：

可以看到，由于在执行命令前会加载该文件中的so文件，但是由于我们随意写了一个文件，就报错说没有该文件，但是确实是加载了

然后我们查看一下日志文件：

tail /var/log/audit/audit.log

可以看到日志文件也记录了该日志

wazuh配置

（1）编辑触发规则

进入到目录：/var/ossec/etc/rules
增加规则：vim local_rules.xml
规则内容：
将一下内容增加到该文件下面<rule id="100125" level="10"><if_sid>80700</if_sid><field name="audit.key">possible_preload_hijack</field><description>[Config file "ld.so.preload" has been added, modified, or deleted]: Possible dynamic linker hijacking</description><mitre><id>T1574.006</id></mitre></rule>

注：这里不在/var/ossec/ruleset/rules目录中写而是在ossec/rules/ruleset/etc/rules/用户自定义目录写，是因为当wazu升级后如果写在前面的目录由于系统会自动更细，自己写的规则会被删除，但是自定义的规则就不会被删除

（2）重启服务

systemctl restart wazuh-manager.service

（3）然后在客户端模拟恶意用户试着给ls.so.preload文件中增加一个.so文件

（4）然后在wazuh中查看一下安全事件

可以看到了因为客户端的ld.so.preload文件被修改因此wazu上产生了该事件的警告

3、检测SQL注入

不知道SQL注入的小伙伴可以简单的这样理解sql注入即可：SQL 注入是一种攻击，攻击者将恶意代码插入到传输到数据库服务器的字符串中进行解析和执行。成功的 SQL 注入攻击会导致对数据库中包含的机密信息进行未经授权的访问。

本实验中，我模拟sql注入的行为，对ubuntu主机的服务进行sql注入行为然后在wazuh中进行检测

ubuntu配置

执行以下步骤安装 Apache 并配置 Wazuh 代理以监视 Apache 日志。

  1. 更新本地软件包并安装 Apache Web 服务器：

    sudo apt update
apt install apache2

  2. 如果防火墙已启用，请将其修改为允许外部访问 Web 端口，如果防火墙已禁用，请跳过此步骤。

    ufw app list
ufw allow 'Apache'
ufw status

  3. 检查 Apache 服务的状态以验证 Web 服务器是否正在运行：

    systemctl status apache2

  4. 使用curl命令或http://<UBUNTU_IP>在浏览器中打开查看Apache登陆页面并验证安装：

     
  5.  
    将以下行添加到 Wazuh 代理/var/ossec/etc/ossec.conf文件中，这允许 Wazuh 代理监控 Apache 服务器的访问日志：
     
      <localfile><log_format>apache</log_format><location>/var/log/apache2/access.log</location></localfile>

     
 

 

      6 . 重新启动 Wazuh 代理以应用配置更改：
 

systemctl restart wazuh-agent
 

攻击模拟
 

（1）我们模拟攻击者的SQL注入行为
 

curl -XGET "http://<UBUNTU_IP>/users/?id=SELECT+*+FROM+users";
 

 

当然也可以在浏览器中使用GET传参的方式注入
 

 

（2）然后查看以下apache2的日志 
 

cat /var/log/apache2/access.log
 

 

可以看到有记录我们访问的日志
 

（3）那么再看来看看wazuh那么有没有产生安全事件
 

 

可以看到这里产生了安全日志
 

有的小伙伴会说，为什么这里在wazuh上没有像上面检测ld_preload那样编辑一个sql注入的触发规则呢？原因是wazuh已经将sql注入相关的规则内置在规则里面了，不需要我们手动编写，直接使用即可
 

4、主动响应
 

现在我们已经可以检测一些攻击者的攻击事件了，那么检测后如何进行主动响应来进行防御呢？
 

下面我们就以SQL注入为例来演示一下使用wazuh来进行主动响应
 

主动响应我们主要是在服务端配置，本例中使用wazuh主机上进行配置
 

（1）进入/var/ossec/etc目录中
 

（2）编辑配置文件： vim ossec.conf
 

找到active respone部分，将以下内容增加进去：
 

<command><name>host-deny</name><executable>host-deny</executable><timeout_allowed>yes</timeout_allowed>
</command>
 

 

这里的意思是增加了一个命令，名为host-deny
 

但是只有命令是不行的，还需要有调用命令的调用
 

（3）增加调用
 

<active-response><command>host-deny</command><location>local</location><rules_id>31103,31171</rules_id>
</active-response>
 

 

（4）添加完成后重启
 

systemctl restart wazuh-manager

 

（5）现在我们模拟恶意用户使用SQL注入攻击ubuntu主机
 

 

可以看到，现在我们再次访问时就已经无法访问了
 

 那么我们来看看ubuntu主机中的host.deny文件
 

 

（6）使用firewall命令也可以实现同样的效果
 

只需要将调用修改为调用firewall命令即可
 

<active-response><command>firewall-drop</command><location>local</location><rules_id>31103,31171</rules_id>
</active-response>
 

 

 （7）然后使用同样的方法来访问，就会发现出现同样的效果
 

 （8）在iptables中查看
 

 

当然，wazuh还可以检测防御的还有很多，这里就不再介绍，详细的可以见参考链接
 

参考链接：
 

Detecting common Linux persistence techniques with Wazuh
 

How to configure active response - Active response











本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.hqwc.cn/news/313267.html


如若内容造成侵权/违法违规/事实不符，请联系编程知识网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！












相关文章










视频合并软件，重塑你的创意世界








视频合并软件，重塑你的创意世界




在数字化的世界里&#xff0c;视频已经成为了我们表达自我、传递信息的重要方式。而合并视频&#xff0c;更是将这种表达推向了一个新的高度。通过简单的操作&#xff0c;我们不仅能够将不同的视频完美地融合在一起&#xff0c;更能赋予它们全新的含义。 
所需工具&#xff1a;…




阅读更多...

















第四部分 一维连续型随机变量








第四部分 一维连续型随机变量




目录 温馨提示&#xff1a; 已知fx(X)求概率 方法&#xff1a; 例1 例2 求fx(X)中的未知数 方法&#xff1a; 例3 已知 fx(X)求F 方法&#xff1a; 例4 求F中的未知数 方法&#xff1a; 例5 已知F求f  方法&#xff1a; 例6 已知f求f 方法&#xff1a; 普通求法&#xff1a; 公…




阅读更多...

















第二十六周：学习笔记








第二十六周：学习笔记




第二十六周&#xff1a;学习笔记 摘要Abstract全卷积网络 FCN1. CNN 与 FCN2. 全连接层 --> 成卷积层3. FCN的缺点 摘要 
全卷积神经网络&#xff08;Fully Convolutional Network&#xff0c;FCN&#xff09;是一种用于图像分割和语义分割任务的深度学习模型。与传统的卷积…




阅读更多...

















微信小程序发送模板消息-详解【有图】








微信小程序发送模板消息-详解【有图】




前言 在发送模板消息之前我们要首先搞清楚微信小程序的逻辑是什么&#xff0c;这只是前端的一个demo实现&#xff0c;建议大家在后端处理&#xff0c;前端具体实现&#xff1a;如下图 1.获取小程序Id和密钥 
我们注册完微信小程序后&#xff0c;可以在开发设置中看到以下内容&a…




阅读更多...

















C语言之分支与循环【附6个练习】








C语言之分支与循环【附6个练习】




文章目录 前言一、什么是语句&#xff1f;1.1 表达式语句1.2 函数调用语句1.3 控制语句1.4 复合语句1.5 空语句 二、分支语句&#xff08;选择结构&#xff09;2.1 if语句2.1.1 悬空else2.1.2 练习&#xff08;1. 判断一个数是否为奇数 2. 输出1-100之间的奇数&#xff09; 2.2…




阅读更多...

















Vue中目录以及文件内容简单分析








Vue中目录以及文件内容简单分析




src文件下目录分析&#xff1a;  App.vue文件中内容&#xff1a; vue文件中基本的三个结构&#xff0c;template&#xff08;结构&#xff09;、script&#xff08;行为&#xff09; 、style&#xff08;样式&#xff09;。 <template><!-- html结构 --><div cl…




阅读更多...

















【瞎折腾/3D】无父物体下物体的旋转与移动








【瞎折腾/3D】无父物体下物体的旋转与移动




目录 说在前面移动World SpaceLocal Space 旋转World SpaceLocal Space 代码 说在前面 测试环境&#xff1a;Microsoft Edge 120.0.2210.91three.js版本&#xff1a;0.160.0其他&#xff1a;本篇文章中只探讨了无父对象下的移动与旋转&#xff0c;有父对象的情况将在下篇文章中…




阅读更多...

















打破数据孤岛：ChatGPT如何打通金融大数据的任督二脉？








打破数据孤岛：ChatGPT如何打通金融大数据的任督二脉？




文章目录 一、引言二、ChatGPT与金融大数据分析的融合三、实践应用&#xff1a;ChatGPT在金融大数据分析中的优势与挑战四、案例分析&#xff1a;ChatGPT在金融大数据分析中的应用案例五、前景展望&#xff1a;ChatGPT在金融大数据分析领域的未来发展《AI时代Python金融大数据分…




阅读更多...

















ShuffleNet V2：高效CNN架构设计实用指南








ShuffleNet V2：高效CNN架构设计实用指南




摘要 
目前&#xff0c;神经网络架构设计主要以计算复杂度的间接指标&#xff08;即 FLOPs&#xff09;为指导。然而&#xff0c;直接指标&#xff08;如速度&#xff09;还取决于其他因素&#xff0c;如内存访问成本和平台特性。因此&#xff0c;这项工作建议在目标平台上评估…




阅读更多...

















浅析锂电池保护板（BMS）系统设计思路（四）SOC算法-扩展Kalman滤波算法








浅析锂电池保护板（BMS）系统设计思路（四）SOC算法-扩展Kalman滤波算法




1 SOC估算方法介绍 电池SOC的估算是电池管理系统的核心&#xff0c;自从动力电池出现以来&#xff0c;各种各样的电池SOC估算方法不断出现。随着电池管理系统的逐渐升级&#xff0c;电池SOC估算方法的效率与精度不断提高&#xff0c;下面将介绍常用几种电池SOC估算方法[1]&…




阅读更多...

















代码随想录-刷题第四十三天








代码随想录-刷题第四十三天




1049. 最后一块石头的重量 II 
题目链接&#xff1a;1049. 最后一块石头的重量 II 
思路&#xff1a;本题其实就是尽量让石头分成重量相同的两堆&#xff0c;相撞之后剩下的石头最小&#xff0c;这样就化解成0-1背包问题了。与416. 分割等和子集非常相似。 
动态规划五步曲&…




阅读更多...

















域传送漏洞








域传送漏洞




DNS解析 
当用户访问域名时浏览器解析首先会查看浏览器缓存是否有对应的ip&#xff0c;如果没有则会到本地host文件中查看是否有对应的ip&#xff0c;如果没用则会将域名发送给本地区的DNS服务器. DNS服务器分为递归服务器&#xff0c;根服务器&#xff0c;权威服务器 
首先是递…




阅读更多...


















推荐文章












最新文章


















Copyright @ 2022~2023