› › ›

Web Shell 检测：常见 Web 进程的脚本子进程

编辑

Web Shell 检测：常见 Web 进程的脚本子进程

编辑

识别通过 Web 服务器执行的可疑命令，这可能表明存在漏洞和远程 shell 访问。

规则类型：eql

规则索引:

winlogbeat-*
logs-endpoint.events.process-*
logs-windows.sysmon_operational-*
endgame-*
logs-system.security*
logs-sentinel_one_cloud_funnel.*
logs-m365_defender.event-*
logs-crowdstrike.fdr*

严重性：高

风险评分: 73

运行频率：5 分钟

搜索索引时间范围：now-9m (日期数学格式，另请参阅 额外回溯时间)

每次执行的最大警报数: 100

参考:

标签:

域：端点
操作系统：Windows
用例：威胁检测
策略：持久化
策略：初始访问
策略：执行
资源：调查指南
数据源：Elastic Endgame
数据源：Elastic Defend
数据源：SentinelOne
数据源：系统
数据源：Microsoft Defender for Endpoint
数据源：Sysmon
数据源：Crowdstrike

版本: 416

规则作者:

Elastic

规则许可：Elastic License v2

调查指南

编辑

分类和分析

调查 Web Shell 检测：常见 Web 进程的脚本子进程

攻击者可能会在 Web 服务器中植入 Web Shell 后门，以建立对系统的持久访问。Web Shell 是一种放置在公开访问的 Web 服务器上的 Web 脚本，允许攻击者使用该 Web 服务器作为进入网络的网关。Web Shell 可以提供一组执行函数或在托管 Web 服务器的系统上的命令行界面。

此规则检测 Web 服务器进程生成脚本和命令行界面程序，这可能表明攻击者正在使用 Web Shell 执行命令。

可能的调查步骤

调查主题进程观察到的异常行为，例如网络连接、注册表或文件修改以及任何其他生成的子进程。
检查命令行以确定执行了哪些命令或脚本。
调查过去 48 小时内与用户/主机相关的其他警报。
通过查找跨主机的类似事件来评估此行为是否在环境中普遍存在。
如果丢弃了脚本或可执行文件，请检索这些文件并确定它们是否是恶意文件
使用私有沙盒恶意软件分析系统执行分析。
观察并收集有关以下活动的信息
尝试联系外部域和地址。
文件和注册表访问、修改和创建活动。
服务创建和启动活动。
计划任务创建。
使用 PowerShell Get-FileHash cmdlet 获取文件的 SHA-256 哈希值。
在 VirusTotal、Hybrid-Analysis、CISCO Talos、Any.run 等资源中搜索哈希的存在和信誉。

误报分析

此活动不太可能合法发生。触发警报并且并非本质上是恶意的任何活动都必须由安全团队监控。

响应和补救

根据分类结果启动事件响应流程。
隔离相关主机，以防止进一步的后渗透行为。
如果分类确定为恶意软件，请在环境中搜索其他受感染的主机。
实施临时网络规则、程序和分段以遏制恶意软件。
停止可疑进程。
立即阻止识别的入侵指标 (IoC)。
检查受影响的系统中是否存在其他恶意软件后门，例如反向 shell、反向代理或攻击者可能用于重新感染系统的 dropper。
删除并阻止分类期间识别的恶意工件。
调查攻击者入侵或使用的系统上的凭据泄露，以确保识别出所有受感染的帐户。重置这些帐户和其他可能泄露的凭据的密码，例如电子邮件、业务系统和 Web 服务。
运行完整的反恶意软件扫描。这可能会揭示系统中遗留的其他工件、持久性机制和恶意软件组件。
确定攻击者滥用的初始向量，并采取行动以防止通过同一向量重新感染。
使用事件响应数据，更新日志记录和审计策略，以缩短平均检测时间 (MTTD) 和平均响应时间 (MTTR)。

规则查询

编辑

process where host.os.type == "windows" and event.type == "start" and
  process.parent.name : ("w3wp.exe", "httpd.exe", "nginx.exe", "php.exe", "php-cgi.exe", "tomcat.exe") and
  process.name : ("cmd.exe", "cscript.exe", "powershell.exe", "pwsh.exe", "powershell_ise.exe", "wmic.exe", "wscript.exe") and
  not
  (
    process.parent.name : ("php.exe", "httpd.exe") and process.name : "cmd.exe" and
    process.command_line : (
      "cmd.exe /c mode CON",
      "cmd.exe /s /c \"mode CON\"",
      "cmd.exe /c \"mode\"",
      "cmd.exe /s /c \"tput colors 2>&1\""
    )
  )

框架：MITRE ATT&CK^TM

策略
- 名称：持久化
- ID：TA0003
- 参考 URL：https://attack.mitre.org/tactics/TA0003/
技术
- 名称：服务器软件组件
- ID：T1505
- 参考 URL：https://attack.mitre.org/techniques/T1505/
子技术
- 名称：Web Shell
- ID：T1505.003
- 参考 URL：https://attack.mitre.org/techniques/T1505/003/
策略
- 名称：初始访问
- ID：TA0001
- 参考 URL：https://attack.mitre.org/tactics/TA0001/
技术
- 名称：利用面向公众的应用程序
- ID：T1190
- 参考 URL：https://attack.mitre.org/techniques/T1190/
策略
- 名称：执行
- ID：TA0002
- 参考 URL：https://attack.mitre.org/tactics/TA0002/
技术
- 名称：命令和脚本解释器
- ID：T1059
- 参考 URL：https://attack.mitre.org/techniques/T1059/
子技术
- 名称：PowerShell
- ID：T1059.001
- 参考 URL：https://attack.mitre.org/techniques/T1059/001/
子技术
- 名称：Windows 命令 Shell
- ID：T1059.003
- 参考 URL：https://attack.mitre.org/techniques/T1059/003/
子技术
- 名称：Visual Basic
- ID：T1059.005
- 参考 URL：https://attack.mitre.org/techniques/T1059/005/
技术
- 名称：Windows Management Instrumentation
- ID：T1047
- 参考 URL：https://attack.mitre.org/techniques/T1047/

« 通过 Python 生成的 Web 服务器 WebProxy 设置修改 »