搜索

[16389] 2021-02-01_应急响应之入侵排查

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-18
2021-02-01_应急响应之入侵排查 应 急 响 应 之 入 侵 排 查 耍 性 子   F r e e B u f   2 0 2 1 - 0 2 - 0 1 一 、 前 言 一 、 前 言 常 见 的 应 急 响 应 事 件 分 类 ： 二 、 二 、 W i n d o w s 入 侵 排 查 入 侵 排 查 检 查 系 统 账 号 安 全 检 查 系 统 账 号 安 全 查 看 服 务 器 是 否 有 弱 口 令 ， 远 程 管 理 端 口 3 3 8 9 ， 2 2 等 端 口 是 否 对 公 网 开 放 查 看 服 务 器 是 否 存 在 可 疑 账 号 、 新 增 账 号 查 看 服 务 器 是 否 存 在 隐 藏 账 号 、 克 隆 账 号 W e b 入 侵 ： 网 页 挂 马 、 主 页 篡 改 、 W e b s h e l l 系 统 入 侵 ： 病 毒 木 马 、 勒 索 软 件 、 远 控 后 门 网 络 攻 击 ： D D O S 攻 击 、 D N S 劫 持 、 A R P 欺 骗 检 查 方 法 ： 问 服 务 器 管 理 员 ， 简 单 直 接 要 么 简 单 扫 描 测 试 一 下 也 可 以 W i n + R - > l u s r m g r . m s c 使 用 D 盾 或 者 其 他 小 工 具 都 可 以 查 看 隐 藏 账 号
结 合 日 志 ， 查 看 管 理 员 登 录 时 间 、 用 户 名 是 否 存 在 异 常 检 查 异 常 端 口 、 进 程 检 查 异 常 端 口 、 进 程 检 查 端 口 连 接 情 况 ， 是 否 有 远 程 连 接 、 可 疑 连 接 进 程 W i n + R - > e v e n t v w r . m s c 导 出 W i n d o w s 的 安 全 日 志 ， 利 用 L o g P a r s e r 进 行 分 析 n e t s t a t   - a n o t a s k l i s t   |   f i n d   " P I D " 使 用 D 盾 ， 查 看 可 以 进 程 ， 查 看 有 没 有 签 名 信 息 或 者 可 以 使 用 P r o c e s s   E x p l o r e r 等 工 具 查 看
检 查 启 动 项 、 计 划 任 务 、 服 务 检 查 启 动 项 、 计 划 任 务 、 服 务 检 查 服 务 器 是 否 有 异 常 的 启 动 项
检 查 计 划 任 务 服 务 自 启 动 检 查 系 统 相 关 信 息 检 查 系 统 相 关 信 息 查 看 系 统 版 本 以 及 补 丁 信 息 查 看 可 以 目 录 及 文 件 自 动 化 查 杀 自 动 化 查 杀 病 毒 查 杀 W e b s h e l l 查 杀 日 志 分 析 日 志 分 析 系 统 日 志 W e b 访 问 日 志 火 绒 等 安 全 软 件 查 看 W i n + R - > r e g e d i t ， 打 开 注 册 表 ， 查 看 开 机 启 动 项 是 否 正 常 ， 特 别 注 意 一 下 三 个 注 册 表 项 H K E Y _ C U R R E N T _ U S E R S o f t w a r e M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n r u n H K E Y _ L O C A L _ M A C H I N E S o f t w a r e M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n R u n H K E Y _ L O C A L _ M A C H I N E S o f t w a r e M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n R u n o n c e 控 制 面 板 - > 计 划 任 务 W i n + R - > c m d - > s c h t a s k s / a t W i n + R - > s e r v i c e s . m s c W i n + R - > c m d - > s y s t e m i n f o 查 看 用 户 目 录 ， 新 建 账 号 会 生 成 一 个 用 户 目 录 W i n + R - > c m d - > % U s e r P r o f i l e % R e c e n t ： 查 看 最 近 打 开 的 文 件 进 行 分 析 文 件 夹 / 文 件 可 以 根 据 时 间 排 序 ， 可 以 看 看 最 近 有 没 有 什 么 可 疑 的 文 件 夹 / 文 件 下 载 安 全 软 件 ， 更 新 病 毒 库 ， 进 行 全 盘 扫 描 选 择 具 体 站 点 路 径 进 行 w e b s h e l l 查 杀 建 议 最 少 选 择 两 款 查 杀 工 具 可 以 互 相 补 充 规 则 库 的 不 足 前 提 ： 开 启 审 核 策 略 W i n + R - > e v e n t v w r . m s c - > 导 出 安 全 日 志 - > L o g P a r s e r 进 行 分 析
三 、 三 、 L i n u x 入 侵 排 查 入 侵 排 查 账 号 安 全 账 号 安 全 必 看 文 件 必 会 命 令 ： w h o ， w ， u p t i m e ， u s e r m o d ， u s e r d e l 入 侵 排 查 历 史 命 令 历 史 命 令 必 会 命 令 ： h i s t o r y 入 侵 排 查 ： c a t   . b a s h _ h i s t o r y   > > h i s t o r y . t x t 检 查 异 常 端 口 检 查 异 常 端 口 检 查 异 常 进 程 检 查 异 常 进 程 检 查 开 机 启 动 项 检 查 开 机 启 动 项 检 查 定 时 任 务 检 查 定 时 任 务 检 查 以 下 目 录 下 是 否 有 可 疑 文 件 找 到 中 间 件 的 w e b 日 志 ， 打 包 到 本 地 进 行 分 析 L i n u x 下 可 以 使 用 S h e l l 命 令 组 合 查 询 分 析 / e t c / p a s s w d / e t c / s h a d o w 查 询 特 权 用 户 ： a w k   - F :   ‘ $ 3 = = 0 { p r i n t   $ 1 } ’   / e t c / p a s s w d 查 询 可 以 远 程 登 录 的 账 号 ： a w k   ‘ / $ 1 | $ 6 / { p r i n t   $ 1 } ’   / e t c / s h a d o w 查 询 具 有 s u d o 权 限 的 账 号 ： m o r e   / e t c / s u d o e r s   |   g r e p   - v   “ ^ # | ^ $ ”   g r e p   “ A L L = ( A L L ) ” n e t s t a t   - a n t l p p s   a u x m o r e   / e t c / r c . l o c a l / e t c / r c . d / r c [ 0 - 6 ] . d l s   - l   / e t c / r c . d / r c 3 . d / / v a r / s p o o l / c r o n / *   / e t c / c r o n t a b / e t c / c r o n . d / * / e t c / c r o n . d a i l y / *   / e t c / c r o n . h o u r l y / *   / e t c / c r o n . m o n t h l y / * / e t c / c r o n . w e e k l y / / e t c / a n a c r o n t a b / v a r / s p o o l / a n a c r o n / * / e t c / c r o n . d a i l y / *
检 查 服 务 检 查 服 务 检 查 异 常 文 件 检 查 异 常 文 件 检 查 系 统 日 志 检 查 系 统 日 志 日 志 默 认 存 放 位 置 ： / v a r / l o g 日 志 分 析 技 巧 四 、 常 见 四 、 常 见 W e b s h e l l 查 杀 工 具 查 杀 工 具 D 盾 ： 盾 ： 百 度 百 度 W E B D I R + 河 马 河 马 W e b   S h e l l   D e t e c t o r c h k c o n f i g 修 改 / e t c / r e . d / r c . l o c a l 文 件 ， 加 入 / e t c / i n i t . d / h t t p d   s t a r t 使 用 n e s y s v 命 令 管 理 自 启 动 查 看 敏 感 目 录 ， 如 t m p 目 录 下 的 文 件 同 时 注 意 隐 藏 文 件 夹 以 ” . . ” 为 名 的 文 件 夹 具 有 隐 藏 属 性 1 、 定 位 有 多 少 I P 在 爆 破 主 机 的 r o o t 帐 号 ： g r e p   " F a i l e d   p a s s w o r d   f o r   r o o t "   / v a r / l o g / s e c u r e   |   a w k   ' { p r i n t   $ 1 1 } '   |   s o r t   |   u n i q   - c   |   s o r t   - n r   |   m o r e 定 位 有 哪 些 I P 在 爆 破 ： g r e p   " F a i l e d   p a s s w o r d "   / v a r / l o g / s e c u r e | g r e p   - E   - o   " ( 2 5 [ 0 - 5 ] | 2 [ 0 - 4 ] [ 0 - 9 ] | [ 0 1 ] ? [ 0 - 9 ] [ 0 - 9 ] ? ) . ( 2 5 [ 0 - 5 ] | 2 [ 0 - 4 ] [ 0 - 9 ] | [ 0 1 ] ? [ 0 - 9 ] [ 0 - 9 ] ? ) . ( 2 5 [ 0 - 5 ] | 2 [ 0 - 4 ] [ 0 - 9 ] | [ 0 1 ] ? [ 0 - 9 ] [ 0 - 9 ] ? ) . ( 2 5 [ 0 - 5 ] | 2 [ 0 - 4 ] [ 0 - 9 ] | [ 0 1 ] ? [ 0 - 9 ] [ 0 - 9 ] ? ) " | u n i q   - c 爆 破 用 户 名 字 典 是 什 么 ？ g r e p   " F a i l e d   p a s s w o r d "   / v a r / l o g / s e c u r e | p e r l   - e   ' w h i l e ( $ _ = < > ) {   / f o r ( . * ? )   f r o m / ;   p r i n t   " $ 1 n " ; } ' | u n i q   - c | s o r t   - n r 2 、 登 录 成 功 的 I P 有 哪 些 ： g r e p   " A c c e p t e d   "   / v a r / l o g / s e c u r e   |   a w k   ' { p r i n t   $ 1 1 } '   |   s o r t   |   u n i q   - c   |   s o r t   - n r   |   m o r e 登 录 成 功 的 日 期 、 用 户 名 、 I P ： g r e p   " A c c e p t e d   "   / v a r / l o g / s e c u r e   |   a w k   ' { p r i n t   $ 1 , $ 2 , $ 3 , $ 9 , $ 1 1 } '   3 、 增 加 一 个 用 户 k a l i 日 志 ： J u l   1 0   0 0 : 1 2 : 1 5   l o c a l h o s t   u s e r a d d [ 2 3 8 2 ] :   n e w   g r o u p :   n a m e = k a l i ,   G I D = 1 0 0 1 J u l   1 0   0 0 : 1 2 : 1 5   l o c a l h o s t   u s e r a d d [ 2 3 8 2 ] :   n e w   u s e r :   n a m e = k a l i ,   U I D = 1 0 0 1 ,   G I D = 1 0 0 1 ,   h o m e = / h o m e / k a l i ,   s h e l l = / b i n / b a s h J u l   1 0   0 0 : 1 2 : 5 8   l o c a l h o s t   p a s s w d :   p a m _ u n i x ( p a s s w d : c h a u t h t o k ) :   p a s s w o r d   c h a n g e d   f o r   k a l i # g r e p   " u s e r a d d "   / v a r / l o g / s e c u r e   4 、 删 除 用 户 k a l i 日 志 ： J u l   1 0   0 0 : 1 4 : 1 7   l o c a l h o s t   u s e r d e l [ 2 3 9 3 ] :   d e l e t e   u s e r   ' k a l i ' J u l   1 0   0 0 : 1 4 : 1 7   l o c a l h o s t   u s e r d e l [ 2 3 9 3 ] :   r e m o v e d   g r o u p   ' k a l i '   o w n e d   b y   ' k a l i ' J u l   1 0   0 0 : 1 4 : 1 7   l o c a l h o s t   u s e r d e l [ 2 3 9 3 ] :   r e m o v e d   s h a d o w   g r o u p   ' k a l i '   o w n e d   b y   ' k a l i ' #   g r e p   " u s e r d e l "   / v a r / l o g / s e c u r e 5 、 s u 切 换 用 户 ： J u l   1 0   0 0 : 3 8 : 1 3   l o c a l h o s t   s u :   p a m _ u n i x ( s u - l : s e s s i o n ) :   s e s s i o n   o p e n e d   f o r   u s e r   g o o d   b y   r o o t ( u i d = 0 ) s u d o 授 权 执 行 : s u d o   - l J u l   1 0   0 0 : 4 3 : 0 9   l o c a l h o s t   s u d o :         g o o d   :   T T Y = p t s / 4   ;   P W D = / h o m e / g o o d   ;   U S E R = r o o t   ;   C O M M A N D = / s b i n / s h u t d o w n   - r   n o w h t t p : / / w w w . d 9 9 n e t . n e t h t t p s : / / s c a n n e r . b a i d u . c o m h t t p s : / / w w w . s h e l l p u b . c o m h t t p : / / w w w . s h e l l d e t e c t o r . c o m
C l o u d W a l k e r ( 牧 云 牧 云 ) S a n g f o r   W e b S h e l l K i l l 深 度 学 习 模 型 检 测 深 度 学 习 模 型 检 测 P H P   W e b s h e l l P H P   M a l w a r e   F i n d e r f i n d W e b s h e l l 在 线 在 线 W e b s h e l l 查 杀 工 具 查 杀 工 具 五 、 如 何 发 现 隐 藏 的 五 、 如 何 发 现 隐 藏 的 W e b s h e l l 后 门 后 门 那 么 多 代 码 里 不 可 能 我 们 一 点 点 去 找 后 门 ， 另 外 ， 即 使 最 好 的 W e b s h e l l 查 杀 软 件 也 不 可 能 完 全 检 测 出 来 所 有 的 后 门 ， 这 个 时 候 我 们 可 以 通 过 检 测 文 件 的 完 整 性 来 寻 找 代 码 中 隐 藏 的 后 门 。 文 件 文 件 M D 5 校 验 校 验 绝 大 部 分 软 件 ， 我 们 下 载 时 都 会 有 M D 5 文 件 ， 这 个 文 件 就 是 软 件 开 发 者 通 过 m d 5 算 法 计 算 出 该 如 软 件 的 “ 特 征 值 ” ， 下 载 下 来 后 ， 我 们 可 以 对 比 m d 5 的 值 ， 如 果 一 样 则 表 明 这 个 软 件 是 安 全 的 ， 如 果 不 一 样 则 反 之 。 L i n u x 中 有 一 个 命 令 ： m d 5 s u m 可 以 查 看 文 件 的 m d 5 值 ， 同 理 ， W i n d o w s 也 有 命 令 或 者 工 具 可 以 查 看 文 件 的 m d 5 值 D i f f 命 令 命 令 文 件 对 比 工 具 文 件 对 比 工 具 六 、 勒 索 病 毒 六 、 勒 索 病 毒 勒 索 病 毒 搜 索 引 擎 勒 索 病 毒 搜 索 引 擎 h t t p s : / / w e b s h e l l c h o p . c h a i t i n . c n h t t p : / / e d r . s a n g f o r . c o m . c n / b a c k d o o r _ d e t e c t i o n . h t m l ( 已 停 止 访 问 ) h t t p : / / w e b s h e l l . c d x y . m e h t t p s : / / g i t h u b . c o m / j v o i s i n / p h p - m a l w a r e - f i n d e r h t t p s : / / g i t h u b . c o m / h e 1 m 4 n 6 a / f i n d W e b s h e l l h t t p : / / t o o l s . b u g s c a n e r . c o m / k i l l w e b s h e l l L i n u x 中 的 命 令 ， 可 以 查 看 两 个 文 本 文 件 的 差 异 B e y o n d   C o m p a r e W i n M e r g e
勒 索 软 件 解 密 工 具 集 勒 索 软 件 解 密 工 具 集 精 彩 推 荐 精 彩 推 荐 3 6 0 ： h t t p : / / l e s u o b i n g d u . 3 6 0 . c n 腾 讯 ： h t t p s : / / g u a n j i a . q q . c o m / p r / l s 启 明 ： h t t p s : / / l e s u o . v e n u s e y e . c o m . c n 奇 安 信 ： h t t p s : / / l e s u o b i n g d u . q i a n x i n . c o m 深 信 服 ： h t t p s : / / e d r . s a n g f o r . c o m . c n / # / i n f o r m a t i o n / r a n s o m _ s e a r c h 腾 讯 哈 勃 ： h t t p s : / / h a b o . q q . c o m / t o o l 金 山 毒 霸 ： h t t p : / / w w w . d u b a . n e t / d b t / w a n n a c r y . h t m l 火 绒 ： h t t p : / / b b s . h u o r o n g . c n / f o r u m - 5 5 - 1 . h t m l 瑞 星 ： h t t p : / / i t . r i s i n g . c o m . c n / f a n g l e s u o / i n d e x . h t m l N o m o r e r a n s o m ： h t t p s : / / w w w . n o m o r e r a n s o m . o r g / z h / i n d e x . h t m l M a l w a r e H u n t e r T e a m ： h t t p s : / / i d - r a n s o m w a r e . m a l w a r e h u n t e r t e a m . c o m 卡 巴 斯 基 ： h t t p s : / / n o r a n s o m . k a s p e r s k y . c o m A v a s t ： h t t p s : / / w w w . a v a s t . c o m / z h - c n / r a n s o m w a r e - d e c r y p t i o n - t o o l s E m s i s o f t ： h t t p s : / / w w w . e m s i s o f t . c o m / r a n s o m w a r e - d e c r y p t i o n - t o o l s / f r e e - d o w n l o a d G i t h u b 勒 索 病 毒 解 密 工 具 收 集 汇 总 ： h t t p s : / / g i t h u b . c o m / j i a n s i t i n g / D e c r y p t i o n - T o o l s
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理