Wazuh检测反弹shell

Wazuh通过在agent服务器上执行指定的命令，并收集命令结果，可以在一定程度上发现反弹shell的入侵行为。

目前有2中常见的检测方法，一种是通过netstat输出网络连接中的shell进程来识别，另一种是通过ps输出进程信息中的反弹shell命令特征来识别。

1. 在agent的/var/ossec/etc/ossec.conf文件末尾增加自定义的命令，并重启

  
    command
    ps -eo user,pid,cmd
    60
  

  
    command
    netstat -anptl
    60
  

2. 在wazuh-manager端修改/var/ossec/etc/rules/local_rules.xml，增加自定义规则，并重启

  
    530
    ^ossec: output: 'ps -eo user,pid,cmd'
    List of running process.
    process_monitor,
  
  
    100050
    bash -i|dash -i|sh -i$|perl -e|perl -MIO -e|php -r|ruby -rsocket|xterm -display|Xnest |xhost |nc -e /bin/|lua -e require|python -c import socket|python -c import subprocess|python -c import os|python -c exec
    Reverse shell listening for incoming connections.
    process_monitor,attacks
  

  
    530
    ^ossec: output: 'netstat -anptl'
    List of listening tcp ports.
    process_monitor,
  
  
    100052
    /bash|/dash|/sh|/nc
    Find shell processes that have open sockets.
    process_monitor,attacks
  

 

3. 进行反弹shell，收到告警