搜索

[14508] 2019-08-24_说说Windows安全应急响应

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-18
2019-08-24_说说Windows安全应急响应 说 说 W i n d o w s 安 全 应 急 响 应 c m d g a g a   F r e e B u f   2 0 1 9 - 0 8 - 2 4 随 着 网 络 安 全 的 快 速 发 展 ， 不 少 的 互 联 网 公 司 都 积 极 的 参 与 到 了 这 个 领 域 ， 随 着 《 网 络 安 全 法 》 颁 布 与 实 施 、 随 着 网 络 安 全 的 快 速 发 展 ， 不 少 的 互 联 网 公 司 都 积 极 的 参 与 到 了 这 个 领 域 ， 随 着 《 网 络 安 全 法 》 颁 布 与 实 施 、 等 保 等 保 2 . 0 的 颁 布 等 为 网 路 安 全 发 展 提 供 了 有 力 的 后 盾 。 一 个 事 物 的 快 速 发 展 ， 也 会 引 起 其 它 不 利 的 事 物 萌 芽 。 不 的 颁 布 等 为 网 路 安 全 发 展 提 供 了 有 力 的 后 盾 。 一 个 事 物 的 快 速 发 展 ， 也 会 引 起 其 它 不 利 的 事 物 萌 芽 。 不 错 ， 就 是 网 络 入 侵 事 件 的 出 现 ， 说 白 了 就 是 黑 产 。 比 如 错 ， 就 是 网 络 入 侵 事 件 的 出 现 ， 说 白 了 就 是 黑 产 。 比 如 F a c e b o o k 泄 露 的 泄 露 的 8 7 0 0 万 用 户 数 据 、 前 程 无 忧 招 聘 网 站 求 万 用 户 数 据 、 前 程 无 忧 招 聘 网 站 求 职 信 息 的 泄 露 、 华 住 下 多 个 连 锁 酒 店 职 信 息 的 泄 露 、 华 住 下 多 个 连 锁 酒 店 5 亿 信 息 泄 露 、 万 豪 喜 达 屋 用 户 信 息 泄 露 等 。 亿 信 息 泄 露 、 万 豪 喜 达 屋 用 户 信 息 泄 露 等 。 由 此 可 见 ， 数 据 经 济 时 代 ， 数 据 越 来 越 走 向 利 益 化 的 边 缘 。 在 互 联 网 高 速 发 展 的 时 代 ， 我 们 应 该 如 何 保 护 个 人 信 息 不 被 窃 取 、 不 被 不 法 分 子 当 作 利 益 的 筹 码 ， 当 我 们 遇 到 入 侵 事 件 的 时 候 ， 我 们 应 该 怎 么 办 ， 第 一 步 怎 么 办 ， 怎 么 推 进 排 查 过 程 、 是 否 有 应 急 预 案 等 ， 这 都 是 我 们 需 要 了 解 的 。 在 护 网 期 间 ， 客 户 遇 到 入 侵 事 件 ， 或 许 谈 不 上 入 侵 ， 只 是 流 量 探 测 一 下 ， 客 户 第 一 反 应 就 是 拔 网 线 、 关 闭 端 口 、 I P 加 入 黑 名 单 等 常 规 操 作 。 说 实 话 这 只 能 解 决 一 时 ， 解 决 不 了 一 世 。 所 以 应 对 入 侵 事 件 需 要 有 一 个 详 细 的 排 查 过 程 ， 能 够 进 行 对 事 件 进 行 溯 源 ， 从 而 找 到 企 业 内 部 的 危 险 缺 口 ， 到 底 是 应 用 问 题 还 是 业 务 逻 辑 缺 陷 导 致 的 。 说 了 这 么 多 下 面 小 白 浅 谈 一 下 应 急 响 应 ， 我 们 看 一 下 w i n d o w s 应 急 处 理 。 W i n d o w s 安 全 应 急 处 置 安 全 应 急 处 置 攻 击 者 入 侵 一 个 网 站 必 然 会 对 企 业 的 业 务 系 统 造 成 不 同 程 度 的 损 害 ， 即 使 入 侵 不 成 功 ， 也 会 使 业 务 系 统 访 问 缓 慢 ， 即 使 在 网 络 良 好 的 情 况 下 。 当 我 们 遇 到 入 侵 事 件 的 时 候 ， 我 们 应 该 怎 么 去 排 查 、 怎 么 找 到 攻 击 源 ？ 下 面 我 们 可 以 从 以 下 几 个 方 面 进 行 排 查 w i n d o w s 主 机 。 1 )   是 否 有 异 常 进 程 、 用 户 2 )   敏 感 端 口 开 放 情 况 3 )   密 码 强 度 4 )   日 志 分 析 5 ) 异 常 启 动 项 、 服 务 、 计 划 任 务 6 )   注 册 表 信 息 7 )   其 它 进 程 信 息 进 程 信 息 我 们 输 入 t a s k l i s 或 者 打 开 任 务 管 理 器 查 看 进 程 信 息 ， 我 们 可 以 根 据 C P U 占 用 率 、 内 存 占 用 率 、 启 动 的 事 件 来 初 步 判 断 一 下 异 常 信 息 ， 根 据 P I D 找 到 异 常 进 程 。 执 行 此 命 令 查 看 进 程 名 ， 路 径 ， p i d   再 配 合 使 用 f i n d 或 f i n d s t r 就 可 以 查 到 p i d 对 应 的 路 径 了 w m i c   p r o c e s s   g e t   n a m e , e x e c u t a b l e p a t h , p r o c e s s i d | f i n d s t r   p i d ， 如 果 查 到 对 应 的 可 疑 文 件 后 ， 我 们 可 以 通 过 多 引 擎 查 杀 看 一 下 是 否 有 异 常 进 程 。

除 了 上 述 命 令 查 询 外 ， 我 们 也 可 以 利 用 D 盾 来 检 测 一 下 主 机 中 的 异 常 信 息 ， 需 要 注 意 的 是 没 有 签 名 验 证 信 息 的 进 程 、 没 有 描 述 信 息 的 进 程 、 进 程 的 属 主 、 进 程 的 路 径 是 否 合 法 C P U 或 内 存 资 源 占 用 长 时 间 过 高 的 进 程 等 方 面 。 提 示 一 下 ， D 盾 是 需 要 在 联 网 的 状 态 下 进 行 的 。 一 般 管 理 员 建 立 临 时 账 号 是 不 会 建 立 隐 藏 账 号 的 ， 所 以 一 旦 查 出 来 有 隐 藏 账 号 ， 那 么 就 顺 藤 摸 瓜 查 一 下 这 个 账 户 的 操 作 日 志 ( 日 志 完 好 的 情 况 下 ， 这 里 重 点 提 示 了 不 仅 主 机 要 开 启 日 志 记 录 的 功 能 ， 还 要 有 日 志 审 计 服 务 器 ) 。 像 这 样 的 隐 藏 账 号 我 们 用 命 令 是 查 询 不 到 的 ， 我 么 只 能 去 注 册 表 中 查 看 是 否 有 隐 藏 账 号 。 注 册 表 位 置 在 D O S 命 令 行 输 r e g e d i t , 找 到 以 下 位 置 即 可 ： H K E Y L O C A L M A C H I N E S A M S A M D o m a i n s A c c o u n t U s e r s N a m e s
敏 感 端 口 开 放 情 况 敏 感 端 口 开 放 情 况 敏 感 端 口 指 的 是 什 么 ， 指 的 就 是 攻 击 者 喜 欢 的 ， 比 如 3 3 8 9 、 4 4 5 、 1 3 5 、 1 3 9 、 1 4 3 3 、 1 5 2 1 、 3 3 0 6 等 ， 如 果 这 样 的 端 口 暴 漏 在 公 网 服 务 器 ， 那 么 后 果 不 堪 设 想 。 今 年 在 护 网 前 期 曾 出 现 过 3 3 8 9 的 0 d a y - C V E 2 0 1 9 - 0 7 0 8 ， 在 当 时 引 起 了 不 少 的 震 动 ， 虽 说 现 在 我 们 拿 到 的 只 是 让 存 在 漏 洞 的 主 机 蓝 屏 的 脚 本 ， 但 是 不 少 的 人 或 许 已 经 有 能 够 g e t s h e l l 的 利 用 工 具 了 ， 只 是 没 有 放 出 来 而 已 。 我 们 来 拿 3 3 8 9 远 程 桌 面 服 务 端 口 来 说 一 下 ， 当 我 们 知 道 攻 击 者 是 通 过 远 程 桌 面 登 陆 到 服 务 器 的 ， 那 么 我 们 就 可 以 查 一 下 他 们 是 怎 么 登 陆 进 来 的 ？ 首 先 我 们 需 要 问 一 下 3 3 8 9 是 否 对 外 网 开 放 ， 是 否 开 启 了 地 址 白 名 单 限 制 、 密 码 是 否 是 弱 口 令 等 问 题 ， 我 们 来 看 一 下 服 务 器 日 志 记 录 了 什 么 ， 通 过 与 管 理 员 沟 通 ， 发 现 密 码 是 1 2 3 4 5 6 ？ ？ ？ ？ ？ 这 是 什 么 操 作 ？ 再 结 合 日 志 分 析 出 攻 击 者 前 期 做 了 密 码 破 解 的 攻 击 ， 我 这 个 是 2 0 0 3 的 服 务 器 ， 无 法 统 计 登 陆 失 败 的 事 件 的 次 数 。 如 果 是 这 样 的 话 我 们 需 要 与 客 户 沟 通 在 不 影 响 业 务 的 前 提 下 封 掉 3 3 8 9 端 口 、 修 改 口 令 强 度 。 小 白 提 醒 一 下 ， 即 使 管 理 员 修 改 了 3 3 8 9 端 口 ， 攻 击 者 也 照 样 会 通 过 端 口 扫 描 扫 出 来 的 。 为 了 避 免 这 种 情 况 发 生 ， 我 们 可 以 采 取 白 名 单 的 策 略 、 绑 定 M A C 地 址 、 设 置 登 陆 失 败 几 次 就 可 以 锁 定 用 户 。 当 然 有 更 好 的 策 略 能 够 限 制 爆 破 也 是 可 以 的 。
日 志 分 析 日 志 分 析 日 志 分 析 的 前 提 是 服 务 器 开 了 日 志 审 核 策 略 ， 记 录 用 户 失 败 、 成 功 的 事 件 ， 这 个 在 做 安 全 基 线 检 查 的 时 候 就 会 有 这 个 。 前 期 对 一 客 户 进 行 故 障 排 查 的 时 候 ， 给 他 们 要 运 维 故 障 时 间 点 日 志 ， 但 是 他 们 说 日 志 缺 失 或 者 没 有 记 录 ， 更 可 笑 的 是 只 是 记 录 登 陆 这 一 个 事 件 ， 用 户 做 了 什 么 操 作 也 不 会 记 录 ， 这 真 是 神 马 操 作 。 言 归 正 传 ， 我 们 首 先 将 服 务 器 的 应 用 日 志 、 安 全 日 志 、 程 序 日 志 拷 贝 下 来 ， 进 行 本 地 分 析 一 下 入 侵 者 的 信 息 或 者 故 障 信 息 。 对 于   W i n d o w s   事 件 日 志 分 析 ， 不 同 的   E V E N T   I D   代 表 了 不 同 的 意 义 ， 摘 录 一 些 常 见 的 安 全 事 件 的 说 明 ： 我 们 可 以 根 据 事 件 I D 进 行 来 筛 选 我 们 需 要 的 事 件 ： 我 们 输 入 事 件 I D ： 4 6 2 5 进 行 日 志 筛 选 ， 发 现 事 件 I D ： 4 6 2 5 ， 事 件 数 1 7 5 9 0 4 ， 即 用 户 登 录 失 败 了 1 7 5 9 0 4 次 ， 那 么 这 台 服 务 器 管 理 员 账 号 可 能 遭 遇 了 暴 力 猜 解 。
可 以 利 用   e v e n t l o g   事 件 来 查 看 计 算 机 开 关 机 的 记 录 ： 1 、 在 “ 开 始 ” 菜 单 上 ， 依 次 指 向 “ 所 有 程 序 ” 、 “ 管 理 工 具 ” ， 然 后 单 击 “ 事 件 查 看 器 ” ； 2 、 在 事 件 查 看 器 中 ， 单 击 “ 系 统 ” ， 查 看 系 统 日 志 ； 3 、 在 系 统 日 志 右 侧 操 作 中 ， 点 击 “ 筛 选 当 前 日 志 ” ， 输 入 事 件 I D 进 行 筛 选 。 其 中 事 件 I D   6 0 0 6 、 I D   6 0 0 5 、 I D   6 0 0 9 就 表 示 不 同 状 态 的 机 器 的 情 况 （ 开 关 机 ） 。 我 们 输 入 事 件 I D ： 6 0 0 5 - 6 0 0 6 进 行 日 志 筛 选 ， 发 现 了 两 条 在 2 0 1 8 / 7 / 6   1 7 : 5 3 : 5 1 左 右 的 记 录 ， 也 就 是 我 刚 才 对 系 统 进 行 重 启 的 时 间 。 这 里 推 荐 使 用   L o g   P a r s e r 工 具 进 行 分 析 ， 个 人 觉 得 比 较 方 便 。 以 下 几 条 是 常 用 的 查 询 命 令 ， 可 以 作 为 参 考 : 1 、 查 询 登 录 成 功 的 事 件
登 录 成 功 的 所 有 事 件 L o g P a r s e r . e x e   - i : E V T   – o : D A T A G R I D   " S E L E C T   *   F R O M   c : S e c u r i t y . e v t x   w h e r e   E v e n t I D = 4 6 2 4 " 指 定 登 录 时 间 范 围 的 事 件 ： L o g P a r s e r . e x e   - i : E V T   – o : D A T A G R I D   " S E L E C T   *   F R O M   c : S e c u r i t y . e v t x   w h e r e   T i m e G e n e r a t e d > ' 2 0 1 8 - 0 6 - 1 9   2 3 : 3 2 : 1 1 '   a n d   T i m e G e n e r a t e d < ' 2 0 1 8 - 0 6 - 2 0   2 3 : 3 4 : 0 0 '   a n d   E v e n t I D = 4 6 2 4 " 提 取 登 录 成 功 的 用 户 名 和 I P ： L o g P a r s e r . e x e   - i : E V T   – o : D A T A G R I D   " S E L E C T   E X T R A C T T O K E N ( M e s s a g e , 1 3 , '   ' )   a s E v e n t T y p e , T i m e G e n e r a t e d   a s   L o g i n T i m e , E X T R A C T T O K E N ( S t r i n g s , 5 , ' | ' )   a s U s e r n a m e , E X T R A C T _ T O K E N ( M e s s a g e , 3 8 , '   ' )   a s   L o g i n i p   F R O M   c : S e c u r i t y . e v t x   w h e r e   E v e n t I D = 4 6 2 4 " 2 、 查 询 登 录 失 败 的 事 件 登 录 失 败 的 所 有 事 件 ： L o g P a r s e r . e x e   - i : E V T   – o : D A T A G R I D   " S E L E C T   *   F R O M   c : S e c u r i t y . e v t x   w h e r e   E v e n t I D = 4 6 2 5 " 提 取 登 录 失 败 用 户 名 进 行 聚 合 统 计 ： L o g P a r s e r . e x e   - i : E V T   " S E L E C T   E X T R A C T T O K E N ( M e s s a g e , 1 3 , '   ' )   a s E v e n t T y p e , E X T R A C T T O K E N ( M e s s a g e , 1 9 , '   ' )   a s   u s e r , c o u n t ( E X T R A C T T O K E N ( M e s s a g e , 1 9 , '   ' ) )   a s T i m e s , E X T R A C T T O K E N ( M e s s a g e , 3 9 , '   ' )   a s   L o g i n i p   F R O M   c : S e c u r i t y . e v t x   w h e r e   E v e n t I D = 4 6 2 5   G R O U P B Y   M e s s a g e " 3 、 系 统 历 史 开 关 机 记 录 ： L o g P a r s e r . e x e   - i : E V T   – o : D A T A G R I D   " S E L E C T   T i m e G e n e r a t e d , E v e n t I D , M e s s a g e   F R O M   c : S y s t e m . e v t x w h e r e   E v e n t I D = 6 0 0 5   o r   E v e n t I D = 6 0 0 6 " x x x   异 常 启 动 项 、 服 务 、 计 划 任 务 x x x 首 先 我 们 要 知 道 攻 击 者 如 果 在 服 务 器 上 面 留 后 门 的 话 不 可 能 直 接 把 后 门 程 序 放 在 显 眼 的 位 置 ， 后 门 程 序 可 能 加 载 到 某 个 程 序 、 开 机 启 动 项 、 计 划 任 务 、 自 建 服 务 等 操 作 。 我 们 先 看 看 一 下 开 启 启 动 项 的 问 题 ， 攻 击 者 会 把 后 门 程 序 放 在 开 机 启 动 项 里 面 ， 这 样 只 要 服 务 器 重 启 服 务 器 就 会 加 载 后 门 程 序 ， 攻 击 端 就 会 就 会 接 收 到 来 自 服 务 器 的 木 马 连 接 程 序 。 M s c o n f i g 命 令 看 一 下 是 否 有 异 常 的 启 动 程 序 在 加 载 ， 这 个 需 要 和 运 维 人 员 来 确 认 。
注 册 表 是 个 好 东 西 ， 我 们 在 排 查 入 侵 事 件 的 时 候 要 重 点 查 询 一 下 注 册 表 ， 其 中 这 三 项 注 册 表 是 必 查 的 , 我 们 可 以 查 一 下 这 几 个 注 册 表 中 是 否 添 加 了 启 动 程 序 。 目 前 ， 只 要 新 出 的 蠕 虫 / 特 洛 伊 类 病 毒 一 般 都 有 修 改 系 统 注 册 表 的 动 作 。 它 们 修 改 的 位 置 一 般 有 以 下 几 个 地 方 : 在 系 统 启 动 时 自 动 执 行 的 程 序 H K L M S o f t w a r e M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n R u n O n c e 在 系 统 启 动 时 自 动 执 行 的 系 统 服 务 程 序 H K L M S o f t w a r e M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n R u n S e r v i c e s 在 系 统 启 动 时 自 动 执 行 的 程 序 ， 这 是 病 毒 最 有 可 能 修 改 / 添 加 的 地 方
H K L M S o f t w a r e M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n R u n H K E Y C L A S S E S R O O T e x e f i l e s h e l l o p e n c o m m a n d 说 明 ： 此 键 值 能 使 病 毒 在 用 户 运 行 任 何 E X E 程 序 时 被 运 行 ， 以 此 类 推 ， . . t x t f i l e . .   或 者   . . c o m f i l e . .   也 可 被 更 改 ， 以 便 实 现 病 毒 自 动 运 行 的 功 能 。 另 外 ， 有 些 健 值 还 可 能 被 利 用 来 实 现 比 较 特 别 的 功 能 ： 有 些 病 毒 会 通 过 修 改 下 面 的 键 值 来 阻 止 用 户 查 看 和 修 改 注 册 表 ： H K C U S o f t w a r e M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n P o l i c i e s S y s t e m D i s a b l e R e g i s t r y T o o l s   = 为 了 阻 止 用 户 利 用 . R E G 文 件 修 改 注 册 表 键 值 ， 以 下 键 值 也 会 被 修 改 来 显 示 一 个 内 存 访 问 错 误 窗 口 例 如 ： W i n 3 2 . S w e n . B   病 毒   会 将 缺 省 健 值 修 改 为 ： H K C R r e g f i l e s h e l l o p e n c o m m a n d ( D e f a u l t )   =   " c x s g r h c l . e x e   s h o w e r r o r " 通 过 对 以 上 地 方 的 修 改 ， 病 毒 程 序 主 要 达 到 的 目 的 是 在 系 统 启 动 或 者 程 序 运 行 过 程 中 能 够 自 动 被 执 行 ， 已 达 到 自 动 激 活 的 目 的 。 服 务 我 们 以 M S F 权 限 维 持 中 的 M e t s v c   模 块 ， 只 要 攻 击 者 使 用 这 个 模 块 的 后 门 ， 在 服 务 中 就 会 自 动 生 成 m e t e r p r e t e r 这 个 服 务 ， 类 型 为 自 动 启 动 。 只 要 遇 见 这 样 的 服 务 ， 我 们 就 可 以 断 定 服 务 器 已 经 被 别 人 盯 上 了 ， 而 且 是 已 经 留 了 后 门 。 其 它 其 它 运 维 内 部 先 自 我 排 查 一 下 ， 网 站 是 否 使 用 了 低 版 本 且 存 在 漏 洞 的 框 架 或 者 组 件 ， 比 如 S t r u s t 2 、 j b o s s （ 弱 口 令 居 多 ） 、 w e b l o g i c 等 常 用 的 ， 查 询 一 下 网 站 管 理 后 台 以 及 其 它 后 台 ( 对 外 的 ) 是 否 存 在 弱 口 令 、 上 传 文 件 的 接 口 是 否 存 在 漏 洞 等 ， 排 查 攻 击 者 可 以 通 过 上 传 、 写 文 件 等 方 法 来 获 取 服 务 器 权 限 的 地 方 。 虽 然 在 这 里 说 这 些 貌 似 没 用 ， 但 是 这 也 是 一 个 排 查 的 思 路 ， 毕 竟 多 一 个 思 路 就 多 一 个 排 查 方 向 。 以 上 就 是 小 白 在 日 常 中 进 行 排 查 w i n d o w s 的 大 体 方 向 ， 只 是 提 供 了 一 下 框 架 ， 至 于 框 架 中 的 日 志 分 析 、 进 程 分 析 等 都 需 要 大 佬 们 结 合 实 际 情 况 来 排 查 的 。 * 本 文 原 创 作 者 ： 本 文 原 创 作 者 ：   c m d g a g a ， 本 文 属 于 ， 本 文 属 于 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载
精 彩 推 荐 精 彩 推 荐
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理