溯源取证-简单的内存取证与流量分析

原创

Vlan911
Vlan911

我不懂安全

2026年11月10日 14:40
北京

去阅读

场景：

安全运维人员发现开放在公网服务的一台IIS服务器出现了可疑的外联行为；通过安全设备，运维人员捕获了一段网络流量包、内存转储文件以及可疑的木马文件；作为安全运营工程师，你需要针对上述的三个素材进行分析取证，找到攻击者的攻击手法。

提供的文件：

1. capture.pcapng

2. memdump.mem

3. updatenow.exe

使用的工具：

1. wireshark

2. volatility3

首先使用wireshark工具，打开capture.pcapng分析，通过分析统计信息可以看见，10.0.2.4 向 10.0.2.15的访问流量是最高的

通过筛选http.request，可以看到10.0.2.4的user-agent携带nmap特征，并且10.0.2.4源地址对web服务进行了简单的枚举，由此可以推测攻击者地址为10.0.2.4，曾经使用nmap工具对web系统进行了枚举

后续分析，发现攻击者访问了目标SMB2服务，分别连接了\\10.0.2.15\IPC$ 以及\\10.0.2.15\Documents

追踪数据流，发现攻击者写入了一个名为shell.aspx的恶意文件

通过wireshark的导出功能，可以将aspx反向连接木马导出保存

很明显里面夹了一套shellcode，其中：

VirtualAlloc 申请 RWX（可读可写可执行） 内存页

CreateThread 在进程内新开线程执行 Shellcode → 进程镂空/线程注入

shellcode全程在w3wp.exe(IIS工作进程)内存中执行，磁盘上不留可执行痕迹

通过http流量分析也可以确定，攻击者通过smb2协议将webshell上传至/Documents目录，此目录疑似xxx\inetpub\wwwroot\Documents\ 目录，访问此webshell文件后，里面的shellcode被加载

观察流量包，发现后续出现了大量4443端口的请求，由此可以大致推测shellcode反向连接端口疑似4443

还原shellcode，通过分析shellcode也可以确认，这是一个IIS/ASP.NET内存加载型WebShell：页面被访问时Page\_Load会把页面中硬编码的200,774 字节 Shellcode（一个带反射加载器的Meterpreter x64 DLL） 写入 RWX，通过提取内嵌载荷，其回连地址为tcp://10.0.2.4:4443

分析转储的内存镜像，首先看到的是内核基址地址，获取他的作用是：

符号表重定位、定位内核数据结构、校验内存状态等，只有他是正确的才能保证后去的内存取证的有效性

由于已经知道本地落地的恶意文件为updatenow.exe，因此我们只需要关注和他相关的进程即可，执行python vol.py -f memdump.mem windows.cmdline 查看进程命令行参数，发现他在系统启动菜单做了一个进程守护

通过继续排查，发现该进程以进程注入的方式挂载在pid为4332的w3wp.exe下面

可以导出恶意进程对应的文件

把file.0xce0657f15760.0xce0654c55d50.ImageSectionObject.updatenow.exe.img扔到vt可以看到，马子使用了upx的压缩方式

但是很遗憾，导出来的东西不全，只能把原始的updatenow.exe重新导入vt看一下，可以看到是有恶意的关联域名了，并且恶意软件家族为AgentTesla

总结如下：

侦查阶段：源ip 10.0.2.4使用nmap对10.0.2.15进行服务枚举

攻击阶段：连接SMB2服务，通过\\10.0.2.15\Documents 上传webshell文件shell.aspx，而后通过web服务，访问路径/Documents/shell.aspx从而加载webshell里面的shellcode，获取反向连接

权限维持阶段：通过w3wp.exe，PID为4332，启动了updatenow.exe (PID 900)，该文件被放置在Startup文件夹中，以便登录时自动执行

恶意软件分析摘要：

updatenow.exe是一个UPX压缩的二进制文件，会向cp8nl.hyperhost.ua发送信标，此恶意软件属于AgentTesla家族，其实际归属于商用的信息窃取器/远程访问工具