终端安全

永恒之黑本地提权防御演示

 

  1. 本次演示利用永恒之黑进行本地提权的攻击过程，以及sdedr对此攻击过程的防御效果
  2.  
  4.  
  5. 演示流程说明
  6.     1、演示环境说明
  7.     2、攻击过程描述
  8.     3、在不启动sdedr时，演示攻击过程，及攻击效果
  9.     4、在启动sdedr时，演示攻击过程，及防御效果
  10.     5、平台上查看攻击事件的日志
  11.     
  12.     
  13. 一、演示环境说明
  14.     靶机是win10 1909的虚机，如左边显示
  15.     靶机IP：192.168.12.155
  16.     
  17.     
  18. 二、攻击过程描述
  19.     在靶机上以普通用户启动cmd.exe，并执行提权程序
  20.     程序首先检测漏洞是否存在
  21.     当发现漏洞存在时，发送攻击数据包，完成提权，最后启动另一个进程cmd.exe
  22.     
  23.     
  24. 三、演示攻击效果
  25.     在不启动sdedr时，先看看利用永恒之黑攻击的效果
  26.     
  27.     
  28. 四、演示防御效果
  29.     先登录平台查看下当前本地攻击日志，最新ID是
  30.     
  31.     启动sdedr，再次执行攻击过程
  32.     
  33.     攻击被检测到，并被成功拦截，提权失败，cmd.exe没有启动
  34.     同时上报事件的日志到平台
  35.     
  36.     
  37. 五、查看攻击日志
  38.     登录平台，查看本地攻击日志，新的日志ID为
  39.     
  40.     在日志详情页面，可以看到执行恶意代码的具体进程信息
  41.     
  42.     源源树中显示出进程的层次结构，即进程的父子关系
  43.     
  44.     
  45.     sdedr为防止频繁上报事件，会在本地暂存一分钟
  46.     然后集中上报
  47.     所以平台上查看时，要等一分钟才能看到事件日志
  48.     
  49.     
  50.     注：
  51.     本项目是一个demo，所以webui做的并不漂亮
  52.     但是，数据间的逻辑关系还是能看明白的
  53.  
  54.