HW蓝队：天眼告警监测分析之Web攻击

Web攻击

信息泄露

敏感数据包括但不限于:口令、密钥、证书、会话标识、License、隐私数据(如短消息的内容)、授权凭据、个人数据(如姓名、住址、电话等)等，在程序文件、配置文件、日志文件、备份文件及数据库中都有可能包含敏感数据

信息收集方法

漏洞分类

备份文件泄露

天眼告警

可能存在备份文件泄露

漏洞影响

可能导致网站敏感信息泄露，被利用来进一步攻击等危害

URI中 "1.zip" 触发规则告警，访问URI地址，下载备份文件，分析备份文件，判断漏洞影响

修复建议

删除该网站目录下的备份文件

自动目录列表

天眼告警

发现目录启用了自动目录列表功能

漏洞影响

任何人可以访问该路下的文件，可能造成敏感信息泄露

响应体中 "Directory" 触发规则告警，访问URI地址下目录文件，分析目录信息，判断漏洞影响

修复建议

修改配置文件，禁止目录列表列出

目录穿越

天眼告警

目录穿越漏洞(成功)(机器学习)

漏洞影响

利用此漏洞，黑客可以发现一些敏感信息，包括读取服务器敏感文件等

请求头 ../../ 触发规则告警，

修复建议

禁止目录遍历，对输入参数过滤 ../ 等字符

.svn源码泄露

天眼告警

漏洞影响

攻击利用该漏洞，可以获取到服务器源码、svn服务器账号密码等信息

URI "/.svn/entries" 与响应体svn信息触发规则告警

修复建议

禁止或删除 .svn 文件浏览

弱口令

密码过于简单，不满足复杂度要求，攻击者通过穷举方法尝试web登录的帐号名与密码

密码复杂度要求：口令长度不得小于8位，且为数字、字母、字符混合组合，用户名和口令不得相同， 且无明显规律

漏洞分类

字典

常见的弱口令字典有 默认型弱口令字典 和 社工型弱口令字典

默认型的弱口令包括

• 系统服务弱口令
• 应用组件弱口令
• 设备弱口令

web弱口令

天眼告警

漏洞影响

弱口令容易被人猜解，造成个人信息等数据丢失严重者可导致网站被攻陷

请求体中"password=123456"弱口令，服务器返回"success"

修复建议

整改为强密码

中间件tomcat弱口令

天眼告警

中间件弱口令登录