溯源利器OG东方厅NFT
颁布功夫 2022-11-11今儿双十一
安全界什么样的产品能够“闭眼入”？？？
那当然少不了OG东方厅NFT
凭什么它成为口碑爆品
备受信任且经久不衰、回购无数？？？
要想知晓它的奥秘
请一路看下面这个场景案例吧~
警铃大作
2022年7月的某一天，，蟋蟀鸣，，晚风静，，国度级攻防演练正如火如荼地进行着。
监控大屏上，，“117.xx.xx.xxx疑似存在Webshell内存马通讯行为”的告警忽然浮现。一线安服工程师小伟警惕起来，，凭据与资产上Webshell通讯的入侵者IP持续跟进，，发现其与资产Web利用服务器的交互流量中有“dir”号令执行回显了局。小伟顿感大事不妙，，根基确认资产失陷，，要求措置响应组立即封禁任何IP地址对该资产/xxx/xx路由的接见，，并匆匆呼叫后方增援。
初步溯源
入侵作为的实时发现只是攻防匹敌的起头，，对入侵作为的实时阻断也不是匹敌的终点，，只有对入侵作为的齐全溯源分析才是匹敌中防守方能力的彰显。
话不多说，，立刻着手！
凭据小伟描述，，该失陷资产117.xx.xx.xxx运行着客户OA系统，，现场溯源分析组发现OA的sysadmin账号19时58分登录IP异常，，在全流量分析取证系统（简称NFT）中向前检索该IP的流量时，，找到了入侵者在19时50分将sysadmin的密码批改为“XXXXXXX”后登录系统。紧接着，，小伟使用NFT再向前排查发现入侵者对指标资产进行了SQL注入入侵。
但是看失陷资产117.xx.xx.xxx有关的入侵告警均为入侵失败露务，，小伟奇怪起来了，，怎么可能都是入侵失败但资产却失陷了呢，，这极大可能是0day啊！
刨根究底
0day缝隙第一弹：： 未授权获取session key
从一线小伟反馈的SQL注入缝隙利用信息可知，，该SQL注入接口是必要认证的。利用NFT回溯发现入侵payload中附有合法session key，，这显著有悖常理。二线小卓方便用NFT持续向前溯源，，发现原来入侵者利用该系统的一个信息泄露缝隙获取了session key。
入侵者通过GET要求URL“/xxxx/public."text-align: center;">
入侵者于2022.7.28 21:02:45 批改sysadmin密码
入侵者于同日21:03分利用sysadmin账号登录OA系统
0day缝隙第三弹：： 肆意文件上传缝隙
“能登陆了，，再结合一个文件上传缝隙不就OK了？？？”“没错，，所以接下来的重点就是在sysadmin账号登陆后的流量里面找找有没有文件上传吧�！薄袄�，，开干！”
在小伟和小卓的通力共同下，，最终通过NFT检索发现入侵者最早于21：：05分尝试上传Webshell，，后续尝试入侵上传6次，，其中3次成功。
入侵者于当日22:05分上传魔改的冰蝎服务端
入侵者于当日22:14分上传的oaGet."text-align: center;">
当晚22:17:58小马执行号令成功
原形毕露
至此，，原形毕露。入侵者从信息泄露拿到session key、授权sql注入查问用户，，继而批改用户sysadmin密码登录，，再到文件上传0day上传压缩文件，，自解压得到魔改Webshell及内存马。通过3个0day缝隙的一连串操作，，最终获得了系统权限。
所有的入侵作为尽收在全流量NFT产品视角下，，这也为全威胁发现和实时措置响应打下了坚实的基础。
后续，，小卓联系前场对木马进行了算帐和取证，，给出相应的系统缝隙修复建议。同时，，也将这次溯源过程中发现的0day缝隙上报给了国度有关部门。
OG东方厅全流量分析取证系统（NFT）是基于网络全流量存储的攻击取证溯源产品，，具备攻击取证溯源、未知威胁狩猎和加密攻击流量检测等多种安全能力，，在全流量存储的基础上提供全量数据的急剧取证检索，，解决威胁取证和溯源难题。
NFT产品还内置多种分析模型，，通过还原汗青流量真实场景，，实现精准无争议的已知和未知威胁的调查取证和溯源工作，，有效应对0day等荫蔽性较强的新型入侵，，极大地提高用户的网络安全运营效能。目前，，该产品已在当局、公检法、运营商、金融、电力等重要行业部署使用，，得到了用户的高度认可与青睐。
OG东方厅根植于自主创新的技术基因，，结合丰硕深厚的实战经验，，不休改革安全产品状态，，升级美满安全解决规划，，赋能用户在数字经济时期成立网络防御系统。作为网络安全行业领军企业，，OG东方厅将为“护航数字中国 领航信息安全 ” 持续致力、勤耕不辍。
京公网安备11010802024551号