新聞中心
【攻防能力實(shí)踐】抽絲剝繭：網(wǎng)絡(luò)邊界突破紀(jì)實(shí)
網(wǎng)絡(luò)安全的本質(zhì)在于對抗，對抗的本質(zhì)在于攻防兩端能力的較量。
某年8月份，安博通安全服務(wù)團(tuán)隊獲邀參加某省監(jiān)管單位組織的攻防演練活動，承接攻擊隊任務(wù)。知攻善防，方能百戰(zhàn)不殆，為企業(yè)網(wǎng)絡(luò)安全保駕護(hù)航。
以下是安服團(tuán)隊部分突破防御系統(tǒng)的實(shí)錄。
案例一：隱藏在JS中的突破口
某目標(biāo)企業(yè)在收斂攻擊面的角度做得很出色，外網(wǎng)暴露的網(wǎng)站屈指可數(shù)，在進(jìn)行一輪資產(chǎn)測繪和漏洞掃描后，并未取得突破。因此，安服團(tuán)隊打開瀏覽器的開發(fā)者工具（DevTools）逐個分析網(wǎng)站的JS文件。在一個名為“XX管控系統(tǒng)”的JS文件中，發(fā)現(xiàn)了一處被注釋掉的JS代碼，其中記載了一個上傳文件的接口。
隨后，通過該接口將后門文件上傳到目標(biāo)服務(wù)器，獲得對服務(wù)器的控制權(quán)，繞過目標(biāo)的防御機(jī)制，進(jìn)入企業(yè)內(nèi)部網(wǎng)絡(luò)。值得一提的是，由于此系統(tǒng)是由某供應(yīng)鏈企業(yè)開發(fā)的商業(yè)系統(tǒng)，在互聯(lián)網(wǎng)上有多家企業(yè)在使用，因此我們將這個漏洞報告為0day漏洞。
獲得服務(wù)器權(quán)限后，安服團(tuán)隊在翻閱WEB應(yīng)用配置文件時，發(fā)現(xiàn)數(shù)據(jù)庫的賬戶密碼已被開發(fā)者加密。為獲取數(shù)據(jù)庫的訪問權(quán)限，團(tuán)隊通過下載位于bin目錄中的所有dll文件到本地進(jìn)行反編譯，并進(jìn)行了詳細(xì)分析，最終在DESUtil類中找到了解密方法。后在本地編寫了一個C#應(yīng)用程序，調(diào)用了對應(yīng)dll文件中的解密方法，成功解密了數(shù)據(jù)庫的信息，從而獲得數(shù)據(jù)庫權(quán)限以及網(wǎng)站后臺權(quán)限。
案例二：備份文件泄漏
在利用資產(chǎn)測繪平臺的過程中，安服團(tuán)隊發(fā)現(xiàn)該目標(biāo)企業(yè)網(wǎng)站的一處根目錄存在bin.zip文件，通過下載分析后，確認(rèn)是網(wǎng)站的代碼備份。
在代碼審計的過程中，團(tuán)隊發(fā)現(xiàn)一處接口存在SQL注入，且可在未登錄的狀態(tài)下訪問該接口。在進(jìn)一步審計中，發(fā)現(xiàn)一處SQL注入可以進(jìn)行堆疊查詢，但需要數(shù)據(jù)庫中真實(shí)存在的一個證件號碼。因此通過使用第一處SQL注入讀取數(shù)據(jù)表中的證件號碼，使用第二處注入調(diào)用xp_cmdshell組件獲得操作系統(tǒng)權(quán)限。隨后向服務(wù)器植入后門，成功控制服務(wù)器，并提交SQL注入0day漏洞兩個。
案例三：AK/SK接管云平臺
在對某企業(yè)進(jìn)行漏洞掃描時，安服團(tuán)隊發(fā)現(xiàn)一處Nacos授權(quán)繞過漏洞，使用漏洞EXP新建用戶進(jìn)入Nacos，翻找配置文件時看到SMS短信的配置中存在某云計算平臺的AK/SK。
此云計算平臺的AK（Access Key）和SK（Secret Key）是用于訪問和管理云資源的一對身份驗(yàn)證憑證。使用AK和SK可以進(jìn)行配置操作，如創(chuàng)建云服務(wù)器、訪問存儲桶、管理數(shù)據(jù)庫等。但由于運(yùn)維人員可能會粗心大意，在創(chuàng)建AK/SK后不對其進(jìn)行精確的權(quán)限配置，因此我們使用此云計算平臺OpenAPI文檔中提供的接口對AK/SK進(jìn)行利用，發(fā)現(xiàn)該AK/SK的權(quán)限非常大，具備賬戶的管理員權(quán)限。因此利用該AK/SK創(chuàng)建一個子用戶，就可以直接接管云平臺賬戶。
根據(jù)以上三起典型攻擊成功案例，可以分析得知企業(yè)安全防護(hù)業(yè)務(wù)系統(tǒng)尚存在一定的高風(fēng)險漏洞。當(dāng)前企業(yè)安全建設(shè)基本滿足國家相關(guān)建設(shè)標(biāo)準(zhǔn)，能夠抵御一般的有組織的攻擊，但對于APT攻擊手段，企業(yè)防護(hù)弱點(diǎn)顯現(xiàn)突出。知彼知己，方能百戰(zhàn)百勝，針對以上風(fēng)險問題，安博通安全服務(wù)團(tuán)隊結(jié)合攻防對抗態(tài)勢，提出以下安全實(shí)踐建議：
企業(yè)安全防護(hù)體系建設(shè)已初具規(guī)模，實(shí)戰(zhàn)演練是檢驗(yàn)安全防護(hù)體系有效性的必要手段。在對抗過程中，站在攻擊者的視角可以重新審視安全防護(hù)體系是否存在薄弱環(huán)節(jié)及高風(fēng)險問題，學(xué)習(xí)攻擊者如何發(fā)現(xiàn)并利用網(wǎng)絡(luò)中潛在的薄弱環(huán)節(jié)完成目標(biāo)攻擊；而站在防御者的角度，可以檢驗(yàn)網(wǎng)絡(luò)安全事件應(yīng)急響應(yīng)流程的可行性和有效性，通過“以攻促建、以攻促防”的網(wǎng)絡(luò)安全建設(shè)思想，充分完善安全防護(hù)體系。
隨著企業(yè)數(shù)字化轉(zhuǎn)型進(jìn)程不斷加快，互聯(lián)網(wǎng)攻擊面也在不斷擴(kuò)大。如果不對攻擊面進(jìn)行收斂，將成為整個網(wǎng)絡(luò)安全體系的重大短板。攻擊面包括已知資產(chǎn)、未知資產(chǎn)、僵尸資產(chǎn)、違規(guī)資產(chǎn)、仿冒資產(chǎn)、未授權(quán)訪問的資產(chǎn)等，其次是公眾號、小程序、APP、郵箱、文檔、電話號等，這些均是攻擊者高度關(guān)注的數(shù)字資產(chǎn)。因此，企業(yè)要常態(tài)化收斂攻擊面，讓攻擊者無機(jī)可乘。
如今，愈加頻繁的攻防演練在促進(jìn)企業(yè)網(wǎng)絡(luò)安全能力不斷提升，系統(tǒng)防護(hù)越來越難以突破。但沒有絕對安全的系統(tǒng)，企業(yè)防護(hù)體系建設(shè)思想要“道高一尺，魔高一丈”，加強(qiáng)對業(yè)務(wù)系統(tǒng)漏洞挖掘的頻率和質(zhì)量，建設(shè)專業(yè)的安服團(tuán)隊從代碼層面進(jìn)行審計，在系統(tǒng)上線前進(jìn)行滲透，在日常運(yùn)營中進(jìn)行檢查，不斷挖掘系統(tǒng)中存在的高風(fēng)險漏洞，進(jìn)而強(qiáng)化系統(tǒng)安全防護(hù)能力。
安博通安全服務(wù)團(tuán)隊依托沉淀多年的安全防護(hù)能力和豐富的實(shí)戰(zhàn)攻防經(jīng)驗(yàn)，在攻防演練期間7*24小時持續(xù)對抗，助力企業(yè)守好實(shí)戰(zhàn)攻防的大門。
未來，安博通將繼續(xù)深耕網(wǎng)絡(luò)安全領(lǐng)域，助力國家、企事業(yè)單位不斷提升網(wǎng)絡(luò)安全攻防水平、構(gòu)建高效安全防御體系，為千行百業(yè)數(shù)字化轉(zhuǎn)型注入安全力量。
