终端安全

浏览器VB脚本越权执行恶意代码防御演示

 

  1. 本次演示利用浏览器VB脚本越权执行恶意代码，以及sdedr对此攻击过程的防御效果
  2.  
  4.  
  5. 演示流程说明
  6.     1、演示环境说明
  7.     2、攻击过程描述
  8.     3、在不启动sdedr时，演示攻击过程，及攻击效果
  9.     4、在启动sdedr时，演示攻击过程，及防御效果
  10.     5、平台上查看攻击事件的日志
  11.     
  12.     
  13. 一、演示环境说明
  14.     靶机是win7 32位的虚机，如左边显示
  15.     靶机IP：192.168.12.128
  16.     
  17.     
  18. 二、攻击过程描述
  19.     在靶机上使用IE访问钓鱼网站，打开钓鱼页面，触发恶意代码的执行
  20.     恶意代码会在靶机内启动程序calc.exe，模拟启动木马程序
  21.     钓鱼页面放在平台上，由平台模拟钓鱼网站
  22.     
  23.     calc.exe是系统自带的计算器程序
  24.     
  25.     
  26. 三、演示攻击效果
  27.     在不启动sdedr时，演示攻击过程，及攻击效果
  28.     
  29.     为了方便演示，我把钓鱼页面放在了靶机内
  30.     直接双击打开页面即可
  31.     
  32.     
  33. 四、演示防御效果
  34.     先登录平台查看下当前系统威胁日志，最新ID是
  35.     
  36.     启动sdedr，再次执行攻击过程
  37.     
  38.     攻击被检测到，并被成功拦截，calc.exe没有被启动
  39.     同时上报事件的日志到平台
  40.     
  41.     
  42. 五、查看攻击日志
  43.     登录平台，查看系统威胁日志，新的日志ID为
  44.     
  45.     在日志详情页面，可以看到执行恶意代码的具体进程信息
  46.     
  47.     源源树中显示出进程的层次结构，即进程的父子关系
  48.     调用堆栈中显示了恶意代码在执行时进程的堆栈信息
  49.     加载模块中显示了恶意代码在执行时进程所加载的所有模块
  50.     
  51.     
  52.     sdedr为防止频繁上报事件，会在本地暂存一分钟
  53.     然后集中上报
  54.     所以平台上查看时，要等一分钟才能看到事件日志
  55.     
  56.     
  57.     注：
  58.     本项目是一个demo，所以webui做的并不漂亮
  59.     但是，数据间的逻辑关系还是能看明白的
  60.  
  61.