46 lines
2.4 KiB
Markdown
46 lines
2.4 KiB
Markdown
### 如何判断 Log4j 攻击成功
|
||
|
||
**1. 应用程序日志排查**
|
||
|
||
Log4j 漏洞的本质是利用 JNDI 注入，所以攻击者会在 HTTP 请求头（如 **User-Agent**、**Referer**、**X-Api-Version** 等）中注入恶意字符串
|
||
|
||
- **恶意字符串特征**：
|
||
- `${jndi:ldap://...}`
|
||
- `${jndi:rmi://...}`
|
||
- `${jndi:dns://...}`
|
||
- **排查方法**：
|
||
- 检查 Web 服务器（如 Nginx, Apache）的 **access.log** 或 **error.log**，以及应用程序自身的日志
|
||
- 使用 **grep** 命令搜索上述恶意字符串
|
||
- **示例命令**：`grep -r "jndi:ldap" /var/log/apache2/`
|
||
|
||
**2. 外部网络连接排查**
|
||
|
||
当 Log4j 漏洞被成功利用后，受影响的应用程序会向攻击者指定的恶意 LDAP/RMI 服务器发起连接，以加载和执行恶意代码
|
||
|
||
- **排查方法**：
|
||
- 检查系统的网络连接日志
|
||
- 使用 **netstat** 或 **ss** 命令查看是否有异常的、指向外部的 TCP 连接
|
||
- **示例命令**：`netstat -tulnp | grep LISTEN` 和 `netstat -tulnp | grep ESTABLISHED`
|
||
- **需要警惕的连接**：
|
||
- 应用程序进程（如 Java）发起的、指向高端口（例如 8080、9001 等）的外部连接
|
||
- 那些不是正常业务所需、但由 Java 进程发起的异常连接
|
||
|
||
**3. 进程行为排查**
|
||
|
||
如果攻击者成功加载并执行了恶意代码，通常会产生新的进程。这些进程可能是反向 Shell、挖矿程序或其他的后门程序
|
||
|
||
- **排查方法**：
|
||
- 使用 **ps -ef** 或 **top** 命令检查正在运行的进程
|
||
- 关注与 Java 父进程不相关的、异常的子进程。例如，Java 进程下启动了一个名为 `bash` 或 `sh` 的子进程
|
||
- **重点关注**：
|
||
- **异常的进程名**：如 `httpd-`、`kdevtmpfsi` 等，这些通常是挖矿程序的伪装名
|
||
- **异常的 CPU 和内存占用**：如果发现某个进程（尤其是非正常业务进程）占用了大量 CPU 资源，可能是挖矿程序
|
||
|
||
**4. 系统文件和计划任务排查**
|
||
|
||
攻击者为了实现持久化控制，通常会在系统中留下后门
|
||
|
||
- **排查方法**：
|
||
- 检查 **/tmp** 或 **/var/tmp** 目录下是否有异常的可执行文件或脚本
|
||
- 检查 **cron** 计划任务（如 **/etc/cron.d/**）或 Windows 的任务计划程序，看是否有可疑的定时任务
|
||
- 检查用户的 **~/.ssh/authorized_keys** 文件，看是否被添加了未知的公钥 |