出现以下函数
- eval函数:因为脚本内容必须通过eval来执行
2.luaopen_io函数:因为此攻击必须通过执行luaopen_io函数来获取 io库
3、.popen函数:恶意命令必须通过io库中的popen函数来执行,为什么拦截规则不是io.popen,因为io仅是一个对象名称,是可自定义的
4、loadlib函数,可加载动态链接库luaopen_io
wireshack告警示例:
出现以下函数
4、loadlib函数,可加载动态链接库luaopen_io
wireshack告警示例: