網(wǎng)安實(shí)戰(zhàn)能力怎么練新手→資深 3 階段從基礎(chǔ)工具到應(yīng)急響應(yīng)全覆蓋我在帶新人、也偶爾被朋友拉著做技術(shù)交流的時(shí)候最常聽到的一句話就是“我教程看了幾十個(gè)工具也裝了一大堆怎么一遇到真實(shí)的環(huán)境還是不知道從哪下手”說白了網(wǎng)安這個(gè)行當(dāng)看起來門檻不高裝個(gè)虛擬機(jī)、跑幾個(gè)掃描器就能玩出點(diǎn)動(dòng)靜但真正從“會(huì)用工具”到“能處理問題”中間隔著一條巨大的認(rèn)知鴻溝。這條溝靠什么填只能是實(shí)戰(zhàn)。而這個(gè)實(shí)戰(zhàn)又不像寫代碼那樣有明確的單元測(cè)試你很難知道自己到底練到位沒有。這篇文章就是想給走在網(wǎng)安學(xué)習(xí)路上的朋友一條相對(duì)清晰的主線從最底層的基礎(chǔ)工具開始把思路理順再往上走到靶場(chǎng)里打完整攻擊鏈最后翻到防守側(cè)學(xué)會(huì)應(yīng)急響應(yīng)這一整套動(dòng)作。三個(gè)階段下來不說你能成什么大神至少在面對(duì)一臺(tái)被入侵的服務(wù)器、一個(gè)被打穿的網(wǎng)站時(shí)你腦子里會(huì)有一套可執(zhí)行的流程而不是站在原地等別人發(fā)話。內(nèi)容里所有操作都是我實(shí)際跑過、踩過坑之后總結(jié)出來的適合那些不想被速成班忽悠、愿意自己動(dòng)手折騰的人。1. 先想清楚網(wǎng)安實(shí)戰(zhàn)能力到底卡在哪1.1 三個(gè)普遍誤區(qū)看看你中了幾個(gè)第一個(gè)誤區(qū)是把“刷課”當(dāng)學(xué)習(xí)。市面上網(wǎng)安相關(guān)的視頻課程多到你看不過來從入門到精通、從原理到實(shí)戰(zhàn)標(biāo)題一個(gè)比一個(gè)響亮。但聽課的時(shí)候你覺得自己全懂了關(guān)上視頻打開終端面對(duì)一個(gè)陌生IP卻還是不知道該先敲哪條命令。原因很簡(jiǎn)單網(wǎng)安是門手藝活手藝活只能靠手練眼睛看會(huì)了不算會(huì)手會(huì)了才算。第二個(gè)誤區(qū)是把“囤工具”當(dāng)實(shí)力。很多新手電腦里躺著Nmap、Burp Suite、sqlmap、Metasploit、Cobalt Strike甚至還有一堆亂七八糟的掃描器界面打開得飛起但問他“Nmap的-sV參數(shù)和-O參數(shù)分別探測(cè)什么信息”他只能含糊地說“版本、系統(tǒng)吧”。工具是拐杖不是腿你不知道每一步在做什么就永遠(yuǎn)只能跟著教程的截圖走換個(gè)環(huán)境就抓瞎。第三個(gè)誤區(qū)是把“CTF刷題”當(dāng)全部。CTF確實(shí)能鍛煉腦洞和代碼能力但它偏重解題思路和真實(shí)生產(chǎn)環(huán)境的差距不小。真實(shí)攻擊不是給你一個(gè)靶標(biāo)然后告訴你“flag藏在某個(gè)參數(shù)里”而是要你自己去發(fā)現(xiàn)入口、繞過防御、維持權(quán)限還得提防日志被人看到。所以我一直跟新人說CTF可以玩但別把它當(dāng)成實(shí)戰(zhàn)能力的全部。1.2 實(shí)戰(zhàn)能力的本質(zhì)是“流程思維”拋開各種花哨的名詞網(wǎng)安實(shí)戰(zhàn)能力歸根結(jié)底是兩件事攻擊路徑的構(gòu)建能力和防御響應(yīng)的處置能力。攻擊側(cè)你需要知道一條完整的攻擊鏈長(zhǎng)什么樣信息收集→漏洞發(fā)現(xiàn)→漏洞利用→權(quán)限提升→橫向移動(dòng)→痕跡清理每個(gè)環(huán)節(jié)用什么工具、看什么數(shù)據(jù)、怎么判斷下一步這是流程。防守側(cè)你則需要反過來從異常現(xiàn)象出發(fā)倒推攻擊者干了什么看進(jìn)程、看連接、看日志、看文件改動(dòng)一點(diǎn)一點(diǎn)還原現(xiàn)場(chǎng)這也是流程。這兩個(gè)流程不是割裂的而是互為鏡像。你只有自己動(dòng)手打過靶機(jī)知道Webshell一般藏在哪里、計(jì)劃任務(wù)是怎么被利用的做應(yīng)急響應(yīng)的時(shí)候才會(huì)敏銳地察覺到“這個(gè)目錄怎么多了一個(gè)不認(rèn)識(shí)的PHP文件”。反過來說你有過應(yīng)急響應(yīng)的排查經(jīng)驗(yàn)寫攻擊腳本的時(shí)候也會(huì)下意識(shí)地考慮怎么做得更隱蔽。所以我給這篇文章定的主線就是拿三條線把這套流程串起來讓每個(gè)階段都有明確的練習(xí)對(duì)象和檢驗(yàn)標(biāo)準(zhǔn)。1.3 三階段框架總覽我自己把這套練習(xí)框架分成下面三個(gè)階段每個(gè)階段對(duì)應(yīng)不同的能力目標(biāo)階段核心任務(wù)能力目標(biāo)主要練習(xí)載體大致周期階段一基礎(chǔ)工具閉環(huán)能在本地環(huán)境獨(dú)立完成一次完整的掃描→利用→提權(quán)→清理操作Kali虛擬機(jī) 漏洞靶機(jī)2~4周階段二靶場(chǎng)攻擊鏈實(shí)戰(zhàn)能獨(dú)立分析并利用常見Web/系統(tǒng)漏洞打通完整權(quán)限鏈DVWA、Vulhub、綜合靶場(chǎng)1~3個(gè)月階段三應(yīng)急響應(yīng)處置能對(duì)入侵事件做日志分析、進(jìn)程排查、后門清除、溯源反推自建實(shí)驗(yàn)環(huán)境 應(yīng)急響應(yīng)案例復(fù)現(xiàn)持續(xù)積累很多人一上來就想直接做階段三覺得應(yīng)急響應(yīng)聽著高級(jí)。但我勸你別急前面的地基不打牢后面你連日志里哪條記錄可疑都判斷不了更別提快速定位攻擊源了。按順序來每步都走扎實(shí)才是最快的路徑。2. 階段一用一臺(tái)虛擬機(jī)把基礎(chǔ)工具跑通2.1 本地實(shí)驗(yàn)環(huán)境搭建一臺(tái)電腦就夠了先解決環(huán)境問題。經(jīng)常有人問我練網(wǎng)安是不是需要一臺(tái)很高配置的電腦這個(gè)問題的答案挺實(shí)在練網(wǎng)安對(duì)配置的要求其實(shí)不算高核心是內(nèi)存要多一些。我自己帶過的學(xué)員里有人拿一臺(tái)8G內(nèi)存的ThinkPad照樣練得飛起就是稍微卡一點(diǎn)如果預(yù)算允許建議直接上16G內(nèi)存處理器主流i5或R5以上就夠用了硬盤最好留出100G以上空閑空間因?yàn)樘摂M機(jī)鏡像很占地方。如果你正在挑電腦認(rèn)準(zhǔn)“內(nèi)存16G、CPU 4核以上、固態(tài)硬盤”這個(gè)配置就可以完全沒必要追求頂配顯卡——網(wǎng)安實(shí)訓(xùn)不吃顯卡。具體搭建方案我推薦最省事的一套VMware Workstation Pro或者免費(fèi)的VirtualBox也行裝兩個(gè)虛擬機(jī)一個(gè)裝Kali Linux一個(gè)裝靶機(jī)系統(tǒng)。Kali就不用多介紹了業(yè)內(nèi)做滲透測(cè)試最常用的發(fā)行版自帶幾百個(gè)工具省去你自己一個(gè)個(gè)編譯安裝的麻煩。靶機(jī)首選Metasploitable 2這是個(gè)故意做成“渾身是洞”的Ubuntu鏡像專門用來練習(xí)基礎(chǔ)漏洞利用官方下載地址現(xiàn)在不太好找但很多鏡像站都有你自己搜一下就能找到。裝好之后要做的第一件事不是亂掃而是先把網(wǎng)絡(luò)模式搞明白。我建議把兩臺(tái)虛擬機(jī)放在同一個(gè)NAT網(wǎng)絡(luò)或自定義的Host-Only網(wǎng)絡(luò)里簡(jiǎn)單說就是讓它們互相能ping通但不能被你家里路由器的其他設(shè)備直接訪問這樣既安全又方便練習(xí)。為了后面方便你還可以在Kali的/etc/hosts里給靶機(jī)配一個(gè)靜態(tài)IP比如把靶機(jī)IP固定成192.168.56.101別每次開機(jī)都變不然練習(xí)的時(shí)候你光找IP就煩死了。2.2 五個(gè)必會(huì)動(dòng)作串成一條基礎(chǔ)閉環(huán)環(huán)境準(zhǔn)備好以后你要練的不是某個(gè)單獨(dú)的工具而是用五個(gè)動(dòng)作串成一條完整的鏈路。我按照實(shí)際攻擊中出現(xiàn)的順序給你拆開講。第一步是信息收集用Nmap。命令長(zhǎng)這樣nmap -sV -O -A 192.168.56.101這條命令的意思是-sV探測(cè)開放端口上運(yùn)行的服務(wù)的版本-O推測(cè)操作系統(tǒng)類型-A開啟全面探測(cè)包括腳本掃描。這是你認(rèn)識(shí)一臺(tái)“獵物”的第一眼輸出結(jié)果里會(huì)告訴你目標(biāo)開放了21、22、80、3306等端口對(duì)應(yīng)著FTP、SSH、HTTP、MySQL服務(wù)。這一步的價(jià)值在于你知道了它用什么服務(wù)才能去查這些服務(wù)的已知漏洞。沒有信息收集就盲目打漏洞就像不看門牌號(hào)就踹門純屬碰運(yùn)氣。第二步是漏洞掃描用Nikto或者Nmap的漏洞腳本。比如nikto -h http://192.168.56.101 nmap --scriptvuln 192.168.56.101這里的思路是讓工具幫你把靶機(jī)上的常見漏洞列出來比如哪個(gè)網(wǎng)頁文件存在目錄遍歷、哪個(gè)FTP服務(wù)允許匿名登錄。你不需要把所有輸出全看懂但至少要能從報(bào)告里提取出一個(gè)候選漏洞作為下一步的目標(biāo)。第三步是漏洞利用最典型的是用Metasploit框架也就是msfconsole。比如Metasploitable 2上有一個(gè)著名的vsftpd 2.3.4后門漏洞你可以在msf里這樣操作msfconsole search vsftpd use exploit/unix/ftp/vsftpd_234_backdoor set RHOST 192.168.56.101 run跑通之后你會(huì)得到一個(gè)shell也就是以目標(biāo)系統(tǒng)權(quán)限執(zhí)行的命令行環(huán)境。到這里你已經(jīng)完成了一次“從掃描到拿權(quán)限”的閉環(huán)。很多人第一次彈回shell的時(shí)候特別興奮但我得潑一盆冷水這一步只是開始。第四步是權(quán)限提升。你拿到的shell通常權(quán)限很低普通用戶沒法讀敏感文件、沒法安裝持久化后門。提權(quán)的具體方法在這個(gè)階段不用深挖你只要明白一個(gè)概念拿到低級(jí)shell之后要去查系統(tǒng)里有沒有SUID文件、有沒有sudo配置錯(cuò)誤、有沒有內(nèi)核漏洞可以利用。在Metasploitable 2上你可以先用uname -a查內(nèi)核版本然后search對(duì)應(yīng)的內(nèi)核漏洞模塊一通操作下來就變成root了。這一步最練耐心因?yàn)楹芏鄷r(shí)候不是一條命令就能搞定的得試好幾條路。第五步是痕跡清理與自檢。命令歷史要清、臨時(shí)文件要?jiǎng)h、日志里留下的記錄要想辦法處理。在真實(shí)攻擊中這一步?jīng)Q定了你能不能活得更久在練習(xí)中這一步則是幫你建立“攻防一體”意識(shí)的關(guān)鍵。比如你可以檢查一下你剛才的掃描連接有沒有被記錄到靶機(jī)的/var/log/auth.log里想一想哪些動(dòng)作是會(huì)留下痕跡的。2.3 這個(gè)階段我最想提醒的三件事第一千萬別把命令當(dāng)咒語背。你每敲一條命令都應(yīng)該知道它的含義、參數(shù)、輸出結(jié)構(gòu)。第一次不知道可以查手冊(cè)但如果跑了一個(gè)月還不知道-sV是什么意思那這臺(tái)虛擬機(jī)白裝了。第二一定要做實(shí)驗(yàn)記錄。我見過太多人跑通一個(gè)msf模塊就覺得自己厲害了到下禮拜問他上次是怎么打進(jìn)去的他會(huì)說“好像用了什么CVE”具體細(xì)節(jié)全忘了。我的建議是每次練習(xí)都寫一份簡(jiǎn)短的實(shí)驗(yàn)報(bào)告哪怕只是幾十行字目標(biāo)是什么、用了哪些命令、輸出結(jié)果里關(guān)鍵信息是什么、為什么能成功、如果失敗可能是什么原因。寫筆記的過程其實(shí)就是幫你把操作邏輯固化成流程思維的過程很多你以為自己懂了的細(xì)節(jié)一寫才發(fā)現(xiàn)根本沒搞明白。第三要在失敗的時(shí)候多停一會(huì)兒?；A(chǔ)靶場(chǎng)成功率很高有時(shí)候你照著網(wǎng)上的教程一條命令打進(jìn)去就成功了這種順利反而會(huì)讓你忽略環(huán)境差異和變量。下次故意改一下靶機(jī)IP、換一個(gè)漏洞版本、關(guān)掉默認(rèn)的匿名FTP制造一點(diǎn)阻礙再去打你會(huì)發(fā)現(xiàn)自己的思路清晰了很多。3. 階段二在靶場(chǎng)里練完整攻擊鏈3.1 為什么“看教程”和“打靶場(chǎng)”完全是兩碼事過了基礎(chǔ)階段你已經(jīng)能在本地的Metasploitable上跑通流程了。但說實(shí)話Metasploitable這靶機(jī)太舊也太脆了現(xiàn)實(shí)中基本找不到這么“配合”的目標(biāo)。階段二就是要換一批更接近真實(shí)環(huán)境的靶場(chǎng)逼著你把攻擊鏈拉長(zhǎng)把每個(gè)環(huán)節(jié)都做深。我常打的一個(gè)比方是階段一的練習(xí)像是駕校里在空?qǐng)龅鼐毜箮?kù)標(biāo)線清晰、場(chǎng)地平整階段二就是上路練了路上有別的車、有紅綠燈、還有各種突發(fā)狀況你得學(xué)會(huì)隨機(jī)應(yīng)變。來看靶場(chǎng)的意義也正在于此——你面對(duì)的是有真實(shí)漏洞邏輯的應(yīng)用程序和系統(tǒng)而不是一個(gè)“故意讓你打穿”的玩具。這個(gè)階段我建議你重點(diǎn)使用三類靶場(chǎng)一類是DVWADamn Vulnerable Web Application運(yùn)行在PHP環(huán)境里的Web漏洞練習(xí)平臺(tái)SQL注入、XSS、文件上傳、命令執(zhí)行都有適合練Web基礎(chǔ)一類是Vulhub這是一個(gè)基于Docker的漏洞環(huán)境集合你只要裝了Docker一條命令就能復(fù)現(xiàn)一個(gè)真實(shí)CVE環(huán)境比如某些歷史上有名的中間件漏洞用于重點(diǎn)練習(xí)已知漏洞的利用還有一類是綜合型靶場(chǎng)比如我偶爾會(huì)用本地方便部署的一些開源靶場(chǎng)或者自己按照紅隊(duì)報(bào)告里的思路去搭建實(shí)驗(yàn)環(huán)境這類靶場(chǎng)沒有現(xiàn)成攻略最能逼你自己去摸索。3.2 一條典型Web攻擊鏈的實(shí)操拆解我用一個(gè)例子把階段二要做的事講清楚。假設(shè)靶場(chǎng)里有一個(gè)網(wǎng)站首頁是一個(gè)登錄框。你要做的第一步不是拿sqlmap對(duì)著登錄框一頓懟而是先靜下心做信息收集。先在瀏覽器里按F12打開開發(fā)者工具看這個(gè)請(qǐng)求是怎么發(fā)的、參數(shù)叫什么、響應(yīng)里有沒有Set-Cookie、有沒有隱藏字段。再用Nmap掃一下端口和服務(wù)nmap -sV -p- 靶機(jī)IP nmap -sC 靶機(jī)IP如果發(fā)現(xiàn)目標(biāo)網(wǎng)站是nginx PHP那你腦子里要立刻浮現(xiàn)一張漏洞清單文件上傳、包含文件、SQL注入、未知反序列化點(diǎn)等等。接下來手工測(cè)兩個(gè)點(diǎn)最容易出東西一個(gè)是輸入框一個(gè)是URL里的參數(shù)。比如有一個(gè)入?yún)⑹莍d1的頁面你先改成id1看看報(bào)錯(cuò)信息如果數(shù)據(jù)庫(kù)報(bào)錯(cuò)信息原樣回顯那大概率存在注入。這時(shí)候再上sqlmap就順理成章了sqlmap -u http://靶機(jī)/query?user1 --batch --dbs sqlmap -u http://靶機(jī)/query?user1 -D dvwa --tables --batch sqlmap -u http://靶機(jī)/query?user1 -D dvwa -T users --dump --batch一步步從庫(kù)名、表名到數(shù)據(jù)這個(gè)過程能讓你直觀地體會(huì)到“數(shù)據(jù)是怎么被拖走的”。但SQL注入只是入口真正完整的攻擊鏈通常不止這一環(huán)。比如你拿到數(shù)據(jù)庫(kù)里的登錄口令哈希能不能解出來解出來登錄后臺(tái)之后后臺(tái)有沒有文件上傳功能上傳一個(gè)偽裝成圖片的PHP腳本有些靶場(chǎng)不過濾文件頭能不能直接getshell拿到shell之后是普通用戶還是www-data用戶用socat或bash反彈一個(gè)交互式shell再跑sudo -l查當(dāng)前用戶的sudo權(quán)限如果發(fā)現(xiàn)某個(gè)啟動(dòng)腳本可以被當(dāng)前用戶修改那你就能把啟動(dòng)腳本改成反向Shell的啟動(dòng)命令等待系統(tǒng)重啟后你就是root了。看明白沒有這就是一條標(biāo)準(zhǔn)的攻擊鏈。每個(gè)節(jié)點(diǎn)之間都有清晰的遞進(jìn)關(guān)系每個(gè)節(jié)點(diǎn)你都要自己去嘗試、去查資料、去碰壁然后再換一條路。靶場(chǎng)的意義不是讓你把某個(gè)單點(diǎn)漏洞打一遍而是讓你把這個(gè)鏈條完整地走通。3.3 怎么安排練習(xí)節(jié)奏和檢驗(yàn)自己的水平很多新人問我要練多久才能到下一階段我給不出一個(gè)準(zhǔn)確的數(shù)字但我可以告訴你我自己是怎么安排的每天只抽出1到2小時(shí)固定時(shí)間打靶場(chǎng)。工作日不貪多每天只搞定一個(gè)環(huán)節(jié)比如今天只做信息收集并寫清楚這個(gè)站點(diǎn)的指紋明天只做漏洞識(shí)別并列出三個(gè)可能的攻擊面周末集中精力打通一條完整的攻擊鏈然后花半小時(shí)寫一篇復(fù)盤筆記。檢驗(yàn)自己有沒有進(jìn)步有一個(gè)很硬的標(biāo)準(zhǔn)給你一個(gè)從沒見過的靶場(chǎng)環(huán)境你從零開始能不能在沒有教程的情況下自己找到入口并拿到完整權(quán)限如果能說明你已經(jīng)具備“獨(dú)立攻擊思路”了。如果在某個(gè)環(huán)節(jié)卡了兩個(gè)小時(shí)以上那就別硬撐去查資料、去社區(qū)提問、去看別人寫的writeup里這一步是怎么想的。注意看writeup不是讓你抄答案而是讓你對(duì)照思路我卡住的這步別人用了什么技巧是信息收集做漏了還是工具參數(shù)沒用對(duì)把這個(gè)想明白你才算真正吸收了。還有一個(gè)容易走偏的坑過分追求“多”。有人一個(gè)禮拜把Vulhub里七八十個(gè)環(huán)境全跑了一遍結(jié)果每個(gè)都是跑一條命令就出shell什么原理都沒看。這純粹是浪費(fèi)時(shí)間和硬盤空間。我的經(jīng)驗(yàn)是一個(gè)環(huán)境至少做三遍。第一遍照文檔打通第二遍關(guān)掉文檔自己打第三遍換一種攻擊思路再打一次。三遍之后這個(gè)環(huán)境里涉及的知識(shí)點(diǎn)才真正長(zhǎng)在你身上。4. 階段三應(yīng)急響應(yīng)——把攻擊者的思路反過來練4.1 應(yīng)急響應(yīng)不是“查殺病毒”而是“還原現(xiàn)場(chǎng)”到了這個(gè)階段你要轉(zhuǎn)換身份了。前面兩個(gè)階段你是進(jìn)攻方想盡辦法打進(jìn)去現(xiàn)在你是防守方要在一臺(tái)已經(jīng)被入侵的機(jī)器上搞清楚三件事攻擊者是怎么進(jìn)來的、進(jìn)來之后做了什么、現(xiàn)在還有沒有后門在運(yùn)行。這個(gè)能力在真實(shí)工作中非常值錢因?yàn)槿魏我粋€(gè)上了規(guī)模的企事業(yè)單位的服務(wù)器都有被打的可能而應(yīng)急響應(yīng)就是防線崩潰之后的最后一道保險(xiǎn)。我得先糾正一個(gè)常見的認(rèn)知偏差應(yīng)急響應(yīng)不等于殺毒也不等于重裝系統(tǒng)。現(xiàn)實(shí)中確實(shí)有那種嫌麻煩直接重裝系統(tǒng)的但在很多場(chǎng)景下這是不可接受的——你丟失了業(yè)務(wù)數(shù)據(jù)也丟失了攻擊證據(jù)。真正的應(yīng)急響應(yīng)是帶著“法醫(yī)”的心態(tài)去操作每一步都盡量保全證據(jù)、還原時(shí)間線然后才是清除和后期的加固。我在帶實(shí)訓(xùn)時(shí)經(jīng)常強(qiáng)調(diào)藍(lán)隊(duì)的核心技能不是工具多而是思路清晰。你的排查順序應(yīng)該永遠(yuǎn)是先摸清當(dāng)前狀態(tài)再分析歷史痕跡最后行動(dòng)。而不是一上來就殺進(jìn)程、刪文件這樣只會(huì)把線索毀掉。4.2 四項(xiàng)排查基本功進(jìn)程、連接、登錄、文件我給你梳理一個(gè)標(biāo)準(zhǔn)的初檢流程照著這個(gè)順序走基本能覆蓋80%的常見入侵痕跡。以下命令都是在Linux服務(wù)器上執(zhí)行的Windows服務(wù)器思路類似但命令有別。第一項(xiàng)是看進(jìn)程。重點(diǎn)排查CPU和內(nèi)存占用異常的進(jìn)程、名稱可疑的進(jìn)程比如一串隨機(jī)字母、常見系統(tǒng)進(jìn)程的拼寫變體、以及命令行里帶curl、wget、base64等關(guān)鍵詞的進(jìn)程。ps aux --sort-%cpu | head -20 ps aux --sort-%mem | head -20 top -c這里我要多說一句看進(jìn)程別只看名字要看它的完整命令行。有很多挖礦木馬喜歡把進(jìn)程名偽裝成“kworker”或“systemd”但命令行里會(huì)暴露它執(zhí)行的腳本路徑。所以上面那個(gè)-c參數(shù)很重要它能顯示完整命令。第二項(xiàng)是看網(wǎng)絡(luò)連接。哪些進(jìn)程在對(duì)外發(fā)包連到了哪些地址這一步能直接幫你找到木馬的回連地址C2地址。netstat -antp ss -antp lsof -i重點(diǎn)看ESTABLISHED狀態(tài)的外連地址尤其是連到不常見端口比如8443、6666的連接。如果你發(fā)現(xiàn)某個(gè)進(jìn)程連著一個(gè)陌生的海外IP那基本上可以判定這個(gè)進(jìn)程有問題。第三項(xiàng)是看登錄記錄還原攻擊者的進(jìn)入路徑。last -20 lastb -20 cat /var/log/auth.log | grep Accepted第一條看最近成功登錄的會(huì)話第二條看失敗的暴力破解嘗試第三條專門篩選出誰從哪個(gè)IP成功登錄過。如果發(fā)現(xiàn)某個(gè)賬號(hào)在凌晨三點(diǎn)從陌生IP登錄而且登錄成功后歷史命令很快被清空這就很能說明問題了。第四項(xiàng)是看文件和文件系統(tǒng)變化。重點(diǎn)找最近被修改過的文件、新建的可執(zhí)行腳本、上傳的Webshell以及計(jì)劃任務(wù)里有沒有可疑項(xiàng)。find / -mtime -3 -type f 2/dev/null | grep -v -E proc|sys|tmp ls -la /tmp /var/tmp /dev/shm crontab -l cat /etc/cron.* /var/spool/cron/*這里有個(gè)細(xì)節(jié)很多人會(huì)忽略/tmp、/var/tmp、/dev/shm這些目錄是攻擊者最愛放臨時(shí)文件的地方因?yàn)槟J(rèn)權(quán)限寬松還經(jīng)常被管理員忽略。我處理過的一個(gè)案例里攻擊者的挖礦腳本就藏在/dev/shm里進(jìn)程名偽裝成“rsyslogd”要不是lsof顯示它連著一個(gè)礦池地址光看名字真的很容易漏掉。4.3 一個(gè)完整的應(yīng)急響應(yīng)案例復(fù)盤我給你還原一個(gè)我實(shí)際處理過的真實(shí)場(chǎng)景為了安全我這里把敏感信息都做了脫敏。某天下午接到同事電話說一臺(tái)內(nèi)網(wǎng)業(yè)務(wù)服務(wù)器“很卡”CPU一直100%。我先讓同事把服務(wù)器先斷外網(wǎng)這個(gè)動(dòng)作很重要防止攻擊者繼續(xù)控制機(jī)器然后登錄上去按上面的流程排查。第一步看進(jìn)程發(fā)現(xiàn)一個(gè)名為“java-update”的進(jìn)程占用了300%多CPU命令行指向/var/tmp/.java-update/a.sh。這個(gè)名字一眼就是仿冒的Java更新不可能從/tmp目錄跑。第二步看連接netstat -antp發(fā)現(xiàn)這個(gè)進(jìn)程不斷連向一個(gè)境外IP的8443端口連接狀態(tài)一直ESTABLISHED。到這里基本可以確定這臺(tái)機(jī)器中了挖礦木馬還被作為跳板機(jī)向外回傳數(shù)據(jù)。第三步看登錄記錄last發(fā)現(xiàn)兩天前有個(gè)root賬號(hào)在凌晨1點(diǎn)從一批不同IP登錄過中間間隔只有幾分鐘典型的暴力破解特征。繼續(xù)翻auth.log發(fā)現(xiàn)當(dāng)天從某個(gè)IP嘗試了上萬次ssh登錄這就找到了突破口SSH弱口令被爆破。第四步看文件和定時(shí)任務(wù)/var/spool/cron/crontabs/root里多了一條每分鐘執(zhí)行一次的命令內(nèi)容就是從/var/tmp/.java-update/a.sh拉腳本運(yùn)行。同時(shí)在/root/.ssh/authorized_keys里發(fā)現(xiàn)了一把陌生的公鑰這是攻擊者給自己留的后門——即使改了密碼他也能用私鑰連進(jìn)來。整個(gè)事件就非常清楚了攻擊者通過SSH弱口令爆破進(jìn)入系統(tǒng)寫入公鑰做持久化創(chuàng)建定時(shí)任務(wù)拉取挖礦腳本然后這臺(tái)機(jī)器就成了肉雞。處置方案也就很清晰了清掉定時(shí)任務(wù)、殺掉挖礦進(jìn)程、刪掉惡意文件、刪掉authorized_keys里的陌生公鑰、徹底禁用root密碼登錄改為密鑰登錄、對(duì)全服務(wù)器做一次完整掃描確認(rèn)沒有其他后門。這個(gè)案例看起來不復(fù)雜但里面每一項(xiàng)檢查都是平時(shí)練習(xí)過的內(nèi)容。把這類場(chǎng)景自己演練幾遍速度就會(huì)越來越快判斷也會(huì)越來越準(zhǔn)。4.4 從應(yīng)急響應(yīng)反推攻擊思路做應(yīng)急響應(yīng)做多了你會(huì)發(fā)現(xiàn)一個(gè)有趣的事情你再回頭看階段一、階段二里練的那些攻擊手段視角完全不一樣了。你不再只關(guān)心“怎么打進(jìn)去”而會(huì)開始琢磨“如果我是攻擊者我打進(jìn)來之后會(huì)怎么做才不會(huì)被發(fā)現(xiàn)”。這種換位思考的能力才是紅藍(lán)對(duì)抗里最核心的競(jìng)爭(zhēng)力。所以我在這個(gè)階段會(huì)刻意做一些“自攻自防”的練習(xí)先用自己在階段二里學(xué)到的手法攻擊一臺(tái)自己的實(shí)驗(yàn)機(jī)然后第二天再用應(yīng)急響應(yīng)的流程去排查它。你會(huì)發(fā)現(xiàn)自己留下的一堆痕跡里哪些會(huì)被輕易發(fā)現(xiàn)哪些能藏很久。然后就能有意識(shí)地優(yōu)化自己的攻擊方式同時(shí)反推出防守方應(yīng)該重點(diǎn)關(guān)注哪些線索。這個(gè)循環(huán)練得越多你的網(wǎng)安實(shí)戰(zhàn)能力才會(huì)真正上一個(gè)臺(tái)階。5. 網(wǎng)安學(xué)習(xí)路線常見問題與避坑實(shí)錄5.1 高頻問題速查表我把這幾年被問得最多的問題整理成了一張表你遇到類似困惑的時(shí)候可以翻一翻。常見問題我的回答零基礎(chǔ)學(xué)網(wǎng)安多久能入門如果你每天能投入2小時(shí)按三階段路線走2~3個(gè)月可以完成階段一和階段二的大部分基礎(chǔ)內(nèi)容到能獨(dú)立處理應(yīng)急響應(yīng)至少半年以上的持續(xù)積累要不要先考證再學(xué)實(shí)戰(zhàn)證書是敲門磚不是能力本身。我建議先把實(shí)戰(zhàn)路線走了大半再去考個(gè)含金量高的認(rèn)證來背書順序反過來容易變成“持證不會(huì)干活”工具太多了不知道學(xué)哪個(gè)好基礎(chǔ)階段你就死磕Nmap、Burp Suite、sqlmap、msfconsole、netstat這幾樣其他工具用到再學(xué)。工具是跟著思路走的思路清楚了工具就是順手拈來英語不好影響大嗎影響不大但建議最基本的英文命令行輸出能看懂。絕大多數(shù)工具的參數(shù)都用不到復(fù)雜英語查文檔的時(shí)候配合翻譯工具就能解決學(xué)網(wǎng)安是不是一定要選某個(gè)方向前期不用先把攻擊鏈和應(yīng)急響應(yīng)這套通識(shí)練熟再根據(jù)自己的興趣往Web安全、紅隊(duì)、藍(lán)隊(duì)、安全開發(fā)等方向發(fā)展5.2 我最想提醒的三件小事第一保持記錄習(xí)慣。我自己的實(shí)驗(yàn)筆記寫了上百萬字這些筆記既是我的技術(shù)沉淀也是我后來做培訓(xùn)和帶人的素材庫(kù)。每次都記錄操作過程和踩坑點(diǎn)三個(gè)月后回頭看你會(huì)驚訝自己原來已經(jīng)積累了這么多內(nèi)容。第二別怕在網(wǎng)上問問題但問之前要做足功課。很多新手一上來就拋一句“有沒有人教教我Web安全”這種問題沒人愿意理的。正確姿勢(shì)是把我的實(shí)驗(yàn)過程、報(bào)錯(cuò)信息、已經(jīng)嘗試過的方案都貼出來然后問“這個(gè)報(bào)錯(cuò)有人遇到過嗎”這樣別人愿意幫你你也能學(xué)到具體的排查思路。第三注意邊界。學(xué)網(wǎng)安一定要有底線意識(shí)只在自己的實(shí)驗(yàn)環(huán)境、靶場(chǎng)和目標(biāo)授權(quán)的環(huán)境中練習(xí)。沒有授權(quán)任何看似“炫技”的掃描和利用都是非法行為。這個(gè)行業(yè)拼的是能不能解決問題不是誰能闖更大的禍時(shí)刻守住法律和道德的紅線才能走得長(zhǎng)遠(yuǎn)。5.3 電腦配置與日常訓(xùn)練習(xí)慣的最后建議再說回學(xué)習(xí)環(huán)境的問題?？傆信笥褑栁摇坝袥]有帶網(wǎng)安實(shí)訓(xùn)的電腦推薦”其實(shí)你手頭那臺(tái)電腦只要內(nèi)存夠、硬盤夠完全可以撐起整個(gè)三階段訓(xùn)練。階段一和階段二用虛擬機(jī)裝Kali和靶場(chǎng)內(nèi)存16G就夠了階段三做應(yīng)急響應(yīng)練習(xí)最多再開一臺(tái)Ubuntu服務(wù)器虛擬機(jī)也不會(huì)多吃性能。真正吃資源的是同時(shí)開多個(gè)虛擬機(jī)做復(fù)雜的紅藍(lán)對(duì)抗那時(shí)候建議32G內(nèi)存。但那是后話新手階段真的不需要為了網(wǎng)安買一臺(tái)多貴的電腦省下預(yù)算去吃頓好的對(duì)身體好。日常訓(xùn)練習(xí)慣上我給自己的要求是三個(gè)“一”每天至少敲一次命令每周至少打通一條攻擊鏈每月至少?gòu)?fù)現(xiàn)并總結(jié)一個(gè)應(yīng)急響應(yīng)案例。你把這個(gè)節(jié)奏堅(jiān)持半年你自己的實(shí)戰(zhàn)能力會(huì)給你答案。網(wǎng)安這條路沒有終點(diǎn)你每解決一個(gè)新問題都是在往自己能力樹上添一根枝條。我能教給你的就是把主干修直基礎(chǔ)工具打底、靶場(chǎng)錘煉思路、應(yīng)急響應(yīng)換位思考。剩下那些枝葉靠你自己長(zhǎng)。最后再分享一個(gè)我個(gè)人的小習(xí)慣每次做完應(yīng)急響應(yīng)或打完靶場(chǎng)我會(huì)手動(dòng)把這次用到的關(guān)鍵命令整理成一個(gè)單獨(dú)的腳本文件順手加注釋。時(shí)間長(zhǎng)了這個(gè)腳本文件就成了我最私有的“工具箱”。遇到相似場(chǎng)景先翻自己的筆記再查外部資料解決問題的速度會(huì)快很多。希望這個(gè)習(xí)慣對(duì)你也有用。