Бывало ли у вас так, что в логах веб-приложения начинают появляться запросы к несуществующим путям? А может, бывало даже так, что ваше приложение начинает на них отвечать что-то непонятное? И даже делает запросы ко внутренним ресурсам? Такое было возможно в прошлом, но если вы следуете всем лучшим практикам миркосервисной архитектуры, то вы должны быть защищены от подобного. Или нет?

Если вы при этом ещё и видите в своей системе детекта создание файлов вида /tmp/.java_pid17234 и .attach17234, то выбирайте плейбук по реагированию с воблой: вас заливают PIWAS-ом. Это новая тулза по загрузке шеллов и соксов в память процессов для пентестеров – Process Injected Webshell And Socks.

Объяснение этой и других похожих техник эксплуатации вы можете услышать завтра, в докладе Павла Топоркова на VolgaCTF (Самара, 17 сентября, 15:00).