启明星辰:首例 RedisDDOS 样本捕获背后的故事
mhr18 2024-12-02 17:51 17 浏览 0 评论
2015年11月16日，国内著名安全研究团队启明星辰积极防御实验室成功捕获了国内首例利用Redis漏洞实现的DDOS僵尸网络控制样本。自Redis漏洞被公布以来，网络空间出现了大量利用该漏洞的攻击事件，但利用该漏洞快速部署僵尸程序，并通过僵尸网络实施高强度的分布式拒绝服务攻击还是首例。
深厚的攻防技术积累与全新的检测产品-XDS有效协同是本次样本被捕获的关键。
我们在某企业客户IT系统现场捕获了该僵尸程序样本，并帮助该用户成功清除了该僵尸程序,这得益于该用户部署了XDS产品。在XDS产品上线之时，启明星辰安全运维专家协助用户，结合该用户IT环境特征与应用系统的逻辑特征制定了相应的应用异常检测规则，其中：WEB服务器业务流白名单是本次样本捕获的关键规则集。该WEB服务器对互联网提供某种数据服务，后台具有数据库服务器，企业内部有严格的运维规范，因此制定的业务流白名单规则包含了如下部分关键逻辑：
1)该WEB服务器仅能够被互联网终端通过80端口访问
2)新建连接必须从登陆页面开始访问
3)WEB服务器可以主动访问内部特定终端，禁止主动访问互联网
4)内部运维接口固定IP地址
5)对数据库的访问仅能通过该应用系统的标准数据库访问JDBC接口进行数据库访问。
任何违背以上规则的流量将触发告警，同时XDS产品会连续抓取5分钟的流量数据供安全运维人员分析。
2015年11月15日，该用户发现XDS产品报告了一条WEB服务器对互联网的一次主动访问事件，请求启明星辰安全运维专家协同分析该事件。现场，我们提取了XDS产品留存的5分钟流量信息并进行分析，即刻发现了明显的被控制特征--WEB服务器短时间内向特定IP发送了大量的随机报文，随后安全专家追溯了XDS产品的历史事件，还原了完整的攻击链条，并在WEB服务器某目录下找到了僵尸程序，完成了样本的提取与清除。攻击链条如下：
2015年11月15早晨，黑客利用Redis未授权漏洞，通过6379端口成功入侵了该用户的WEB服务器并植入SSH公钥。该行为触发了上述第一条XDS规则，并发生了告警。
随后，黑客通过SSH向WEB服务器传递了僵尸程序，同样该行为触发了上述第一条XDS规则并产生告警。可惜前两条告警发生时，用户并未关注安全状况，错失了防御的第一时间点。
最后黑客显然为了进行僵尸网络的功能测试，随机发起了一次小规模拒绝服务攻击，此行为触发了上述XDS第三条规则。幸运的是，此时用户注意到了本次报警并开始处理该事件，防止了WEB服务器永久的成为僵尸网络的一部分。
当前黑客的组织性比以往更强，对0DAY，NDAY漏洞的利用效率极高，通常0DAY、NDAY漏洞一旦被黑客圈掌握，在极短的时间内就会形成有效攻击，这导致了传统的入侵检测方法在漏洞刚刚被发现的一段时间内是失效的。启明星辰新推出的XDS产品基于开放式检测架构，可以快速部署与用户应用结合的安全检测规则，实现以不变应万变。该僵尸程序样本被捕获的当日，启明星辰升级了XDS产品的攻击特征库，可以实现对该样本的精确检测。
启明星辰XDS安全事件分析团队
相关推荐
- 【推荐】一个开源免费、AI 驱动的智能数据管理系统，支持多数据库
-
如果您对源码&技术感兴趣，请点赞+收藏+转发+关注，大家的支持是我分享最大的动力！！！.前言在当今数据驱动的时代，高效、智能地管理数据已成为企业和个人不可或缺的能力。为了满足这一需求，我们推出了这款开...
- Pure Storage推出统一数据管理云平台及新闪存阵列
-
PureStorage公司今日推出企业数据云(EnterpriseDataCloud)，称其为组织在混合环境中存储、管理和使用数据方式的全面架构升级。该公司表示，EDC使组织能够在本地、云端和混...
- 对Java学习的10条建议（对java课程的建议）
-
不少Java的初学者一开始都是信心满满准备迎接挑战，但是经过一段时间的学习之后，多少都会碰到各种挫败，以下北风网就总结一些对于初学者非常有用的建议，希望能够给他们解决现实中的问题。Java编程的准备：...
- SQLShift 重大更新:Oracle→PostgreSQL 存储过程转换功能上线!
-
官网：https://sqlshift.cn/6月，SQLShift迎来重大版本更新！作为国内首个支持Oracle->OceanBase存储过程智能转换的工具，SQLShift在过去一...
- JDK21有没有什么稳定、简单又强势的特性?
-
佳未阿里云开发者2025年03月05日08:30浙江阿里妹导读这篇文章主要介绍了Java虚拟线程的发展及其在AJDK中的实现和优化。阅前声明：本文介绍的内容基于AJDK21.0.5[1]以及以上...
- 「松勤软件测试」网站总出现404 bug?总结8个原因，不信解决不了
-
在进行网站测试的时候，有没有碰到过网站崩溃，打不开，出现404错误等各种现象，如果你碰到了，那么恭喜你，你的网站出问题了，是什么原因导致网站出问题呢，根据松勤软件测试的总结如下：01数据库中的表空间不...
- Java面试题及答案最全总结(2025版)
-
大家好，我是Java面试陪考员最近很多小伙伴在忙着找工作，给大家整理了一份非常全面的Java面试题及答案。涉及的内容非常全面，包含：Spring、MySQL、JVM、Redis、Linux、Sprin...
- 数据库日常运维工作内容（数据库日常运维 工作内容）
-
#数据库日常运维工作包括哪些内容?#数据库日常运维工作是一个涵盖多个层面的综合性任务，以下是详细的分类和内容说明：一、数据库运维核心工作监控与告警性能监控：实时监控CPU、内存、I/O、连接数、锁等待...
- 分布式之系统底层原理(上)（底层分布式技术）
-
作者：allanpan，腾讯IEG高级后台工程师导言分布式事务是分布式系统必不可少的组成部分，基本上只要实现一个分布式系统就逃不开对分布式事务的支持。本文从分布式事务这个概念切入，尝试对分布式事务...
- oracle 死锁了怎么办?kill 进程 直接上干货
-
1、查看死锁是否存在selectusername,lockwait,status,machine,programfromv$sessionwheresidin(selectsession...
- SpringBoot 各种分页查询方式详解(全网最全)
-
一、分页查询基础概念与原理1.1什么是分页查询分页查询是指将大量数据分割成多个小块（页）进行展示的技术，它是现代Web应用中必不可少的功能。想象一下你去图书馆找书，如果所有书都堆在一张桌子上，你很难...
- 《战场兄弟》全事件攻略 一般事件合同事件红装及隐藏职业攻略
-
《战场兄弟》全事件攻略，一般事件合同事件红装及隐藏职业攻略。《战场兄弟》事件奖励，事件条件。《战场兄弟》是OverhypeStudios制作发行的一款由xcom和桌游为灵感来源，以中世纪、低魔奇幻为...
- LoadRunner（loadrunner录制不到脚本）
-
一、核心组件与工作流程LoadRunner性能测试工具-并发测试-正版软件下载-使用教程-价格-官方代理商的架构围绕三大核心组件构建，形成完整测试闭环：VirtualUserGenerator(...
- Redis数据类型介绍（redis 数据类型）
-
介绍Redis支持五种数据类型：String（字符串），Hash（哈希），List（列表），Set（集合）及Zset(sortedset：有序集合)。1、字符串类型概述1.1、数据类型Redis支持...
- RMAN备份监控及优化总结（rman备份原理）
-
今天主要介绍一下如何对RMAN备份监控及优化，这里就不讲rman备份的一些原理了，仅供参考。一、监控RMAN备份1、确定备份源与备份设备的最大速度从磁盘读的速度和磁带写的带度、备份的速度不可能超出这两...
欢迎 你 发表评论:
- 一周热门
- 最近发表
- 标签列表
-
- oracle位图索引 (63)
- oracle批量插入数据 (62)
- oracle事务隔离级别 (53)
- oracle 空为0 (50)
- oracle主从同步 (55)
- oracle 乐观锁 (51)
- redis 命令 (78)
- php redis (88)
- redis 存储 (66)
- redis 锁 (69)
- 启动 redis (66)
- redis 时间 (56)
- redis 删除 (67)
- redis内存 (57)
- redis并发 (52)
- redis 主从 (69)
- redis 订阅 (51)
- redis 登录 (54)
- redis 面试 (58)
- 阿里 redis (59)
- redis 搭建 (53)
- redis的缓存 (55)
- lua redis (58)
- redis 连接池 (61)
- redis 限流 (51)