Praktyczna analiza powłamaniowa
Aplikacja webowa w środowisku Linux
W dzisiejszych czasach bezpieczeństwo aplikacji webowych jest jednym z
najważniejszych elementów bezpieczeństwa Internetu, w tym serwerów udostępniających
usługi w sieci. Włamania na serwery HTTP niosą jednak za sobą o wiele większe ryzyko
niż podmiana zawartości strony. Cyberprzestępcy mogą uzyskać dostęp nie tylko do
poświadczeń logowania użytkowników danej witryny ale również plików serwera co
niesie za sobą o wiele szersze konsekwencje.
Książka o tematyce DFIR (Digital Forensics and Incident Response) z jednej strony
pokazuje tradycyjne podejście informatyki śledczej, a drugiej reagowania na incydenty
(Live Forensics). Tematem przewodnim jest analiza powłamaniowa aplikacji webowej w
środowisku Linux. Szczegółowo ukazuje techniczne podejście w tym analizę logów
serwera Apache2 i systemu plików Linux Debian oraz zwraca uwagę na możliwości
anti-forensics. Z książki czytelnicy dowiedzą się jak przeanalizować incydent
związany z włamaniem na stronę w tym jakie operacje przeprowadzał atakujący dzięki
analizie osi czasu czy pamięci procesu backdoora. Poruszone zostały też tematy pokrewne
takie jak pisanie jednolinijkowych skryptów w powłoce bash czy wykorzystywanie narzędzi
anti-forensics do analizy.
Pozycja ta polecana jest osobom związanym z bezpieczeństwem informatycznym. Zawiera
informacje przydatne szczególnie w pracy na stanowiskach technicznych wliczając w to
informatyków śledczych, specjalistów bezpieczeństwa w SOC oraz CERT jak również
biegłych sądowych z zakresu informatyki. Książka może być również z powodzeniem
wykorzystywana do nauki przez studentów kierunków szczególnie związanych z
informatyką śledczą czy samym bezpieczeństwem komputerowym.
1. Wstęp
Strona internetowa, btędy oraz errata
O autorze
Podziękowania
2. Zabezpieczanie danych
3. Podstawowe informacje o systemie Linux
4. Przyspieszony kurs pisania one-linerów
5. Analiza włamania na aplikację webową
5.1. Informacje o konfiguracji Apache2
5.2. Zapytania HTTP
5.3. Format logów
5.4. Najczęściej występujące ataki
5.4.1. SQL Injection (SQLi)
5.4.2. Remote Code Execution (RCE)
5.4.3. Local File Inclusion (LFI)
5.4.4. Remote File Inclusion (RFI)
5.4.5. Cross-Site Scripting (XSS)
5.4.6. Cross-Site Reąuest Forgery (CSRF)
5.4.7. Server-Side Request Forgery (SSRF)
5.4.8. Shellshock (CVE-2014-6271)
5.4.9. Denial-of-Service (DoS)
5.5. Odzyskiwanie skasowanych logów
5.6. Łączenie wielu plików logów
5.7. Selekcja względem czasu
5.8. Wstępne rozpoznanie za pomocą automatycznych narzędzi
5.8.1. Wykorzystanie apache-scalp z regułami PHP-IDS
5.9. Wizualizacja logów
5.10. Wykorzystanie osi czasu
5.11. Analiza z wykorzystaniem programów powłoki
5.11.1. Konfiguracja oprogramowania wtop (logrep)
5.11.2. Wykorzystanie programu logrep (wtop)
5.12. Wykrywanie anomalii w logach
5.13. Analiza z wykorzystaniem programu Splunk
5.14. Wykrywanie backdoorów
5.15. Studium przypadków
5.15.1. Włamanie przez CMS Joomla
5.15.2. Atak słownikowy na CMS Wordpress
5.15.3. Wykonanie kodu z wykorzystaniem podatności LFI
5.16. Pisanie własnych narzędzi do analizy logów
5.17. Podsumowanie
6. Powłamaniowa analiza systemu Linux
6.1. Wykonanie kopii dysku
6.1.1. Zdalne wykonywanie obrazu dysku
6.2. Praca z obrazem dysku
6.2.1. Różnice w systemie plików
6.2.2. Weryfikacja pakietów
6.2.3. Baza hashy
6.2.4. Oś czasu
6.2.5. Weryfikacja na podstawie inode
6.2.6. Jądro systemu (kernel)
6.2.7. Moduły kernela
6.2.8. Narzędzia do wyszukiwania złośliwego oprogramowania
6.2.9. Analiza initrd (RAM dysk)
6.2.10. Logi
6.2.11. Konta użytkowników
6.2.12. Bity SUID i SGID
6.2.13. "Ukryte" pliki i katalogi
6.2.14. Odzyskiwanie usuniętych plików
6.2.15. Słowa kluczowe
6.2.16. Analiza pliku known_hosts
6.3. Praca na działającym systemie (Live Forensics)
6.3.1. Sudoers
6.3.2. Wirtualny system plików /proc
6.3.3. Zmienne środowiskowe
6.3.4. Biblioteki
6.3.5. Pakiety
6.3.6. Wykrywanie rootkitów
6.3.7. Weryfikacja konfiguracji
6.3.8. Otwarte pliki
6.3.9. Otwarte porty
6.3.10. "Ukryte" procesy
6.3.11. Sysdig
6.3.12. Podstawowa analiza działania programów
6.3.13. Zewnętrzne źródła
6.4. Analiza pamięci RAM
6.4.1. Wykonanie zrzutu pamięci
6.4.2. Tworzenie profilu pamięci
6.4.3. Analiza pamięci
6.5. Wykorzystywanie narzędzi anti-forensics do analizy
6.6. Podsumowanie
7. Analiza behawioralna złośliwego oprogramowania
7.1. Reguły Yara
8. Podsumowanie
150 stron, Format: 14.3x20.5, oprawa miękka
