01 事件背景介紹
某內(nèi)部應(yīng)急演練中，安全部門在安全設(shè)備上觀察到大量Tomcat控制臺(tái)登錄請(qǐng)求，現(xiàn)需根據(jù)流量情況進(jìn)行安全事件分析。
Apache Tomcat是Apache 軟件基金會(huì)的一款中間件。其中Manager App控制臺(tái)容易被攻擊者利用，通過弱口令爆破或者默認(rèn)口令登錄。
控制臺(tái)頁面存在Deploy功能，且可以通過上傳war包進(jìn)行快速部署。則此功能存在被攻擊者利用進(jìn)行上傳webshell則可能唄攻擊者獲取服務(wù)器權(quán)限。
02 流量分析過程
發(fā)現(xiàn)攻擊者對(duì)10.X.X.10的Apache Tomcat的控制臺(tái)進(jìn)行大量的賬號(hào)密碼暴力破解攻擊，觸發(fā)安全設(shè)備的攻擊告警事件，進(jìn)一步查看服務(wù)器響應(yīng)包，發(fā)現(xiàn)存在200狀態(tài)碼，即攻擊者爆破口令成功，成功登錄Tomcat的控制臺(tái)。
進(jìn)一步追溯攻擊者IP，以攻擊者IP作為源地址進(jìn)行安全事件檢索，進(jìn)一步發(fā)現(xiàn)攻擊者使用Tomcat控制臺(tái)upload功能war包部署webshell
而后攻擊者進(jìn)一步試圖連接x.jsp，執(zhí)行命令且服務(wù)器成功返回命令執(zhí)行結(jié)果
據(jù)此判斷主機(jī)10.X.X.10失陷，繼續(xù)觀察其他流量，未發(fā)現(xiàn)其余明顯異常行為。
03 事件分析結(jié)果
攻擊者使用弱口令爆破方式對(duì)Tomcat控制臺(tái)進(jìn)行登錄嘗試，登錄成功后利用upload模塊功能寫入webshell，從而獲取服務(wù)器權(quán)限。
04 安全加固建議
1、通過流量分析得知的webshell上傳路徑，對(duì)Webshell文件進(jìn)行刪除處理。以下圖請(qǐng)求包為例，得知webshell上傳的路徑為/x/x.jsp。則webshell實(shí)際目錄應(yīng)為tomcat/webapps/x/x.jsp，檢查文件目錄進(jìn)行確認(rèn)。
2、利用Webshell查殺攻擊對(duì)網(wǎng)站目錄進(jìn)行進(jìn)一步的掃描排查，如使用D盾查殺工具等。
文章來源：http://www.zghlxwxcb.cn/news/detail-514371.html
文章來源地址http://www.zghlxwxcb.cn/news/detail-514371.html
3、及時(shí)修改tomcat控制臺(tái)用戶口令，確保密碼強(qiáng)度符合要求，建議大小寫字母+數(shù)字+特殊字符+8位以上。避免Tomcat控制臺(tái)常見用戶名，如admin、manager、role、root、tomcat、both；Tomcat控制臺(tái)常見密碼，如admin、manager、role、root、tomcat、both。
到了這里，關(guān)于記一次Tomcat控制臺(tái)弱口令爆破事件應(yīng)急響應(yīng)的文章就介紹完了。如果您還想了解更多內(nèi)容，請(qǐng)?jiān)谟疑辖撬阉鱐OY模板網(wǎng)以前的文章或繼續(xù)瀏覽下面的相關(guān)文章，希望大家以后多多支持TOY模板網(wǎng)！
