搜索

[17949] 2021-04-10_【应急响应】Windows入侵排查流程

文档创建者：s7ckTeam
浏览次数：116
最后更新：2025-01-18
2021-04-10_【应急响应】Windows入侵排查流程 【 应 急 响 应 】 w i n d o w s 入 侵 检 查 流 程 原 创   竹 林   安 全 分 析 与 研 究   2 0 2 1 - 0 4 - 1 0 收 录 于 话 题   # 应 急 响 应   , 1 个 专 注 于 全 球 恶 意 软 件 的 分 析 与 研 究 应 急 响 应 的 时 候 ， 我 们 需 要 判 断 一 个 系 统 是 否 有 被 黑 客 入 侵 ， 本 篇 给 大 家 介 绍 一 些 在 应 急 响 应 时 W i n d o w s 入 侵 检 查 的 一 些 知 识 点 。 检 查 概 述 由 于 无 法 站 在 攻 击 者 视 角 审 视 其 做 过 哪 些 攻 击 行 为 ， 因 此 标 准 化 的 检 查 内 容 可 以 规 避 非 标 准 化 的 风 险 。 例 如 操 作 系 统 虽 然 没 有 异 常 登 录 日 志 ， 但 如 果 不 检 查 操 作 系 统 用 户 即 会 存 在 遗 漏 从 而 产 生 风 险 ， 同 时 也 可 规 避 上 次 检 查 a b 内 容 ， 本 次 检 查 b c 内 容 的 非 标 准 化 风 险 。 因 此 无 论 每 个 人 的 标 准 是 否 统 一 ， 取 长 补 短 逐 渐 完 善 自 己 的 标 准 化 是 建 议 进 行 的 。 w i n d o w s 操 作 系 统 入 侵 检 查 流 程 图 如 下 所 示 ： 现 象 检 查 可 通 过 监 测 告 警 、 日 常 巡 检 等 主 动 机 制 发 现 存 在 的 异 常 事 件 ， 如 果 没 有 主 动 发 现 ， 则 只 能 在 安 全 事 件 发 生 后 被 动 发 现 。 以 下 说 明 在 被 入 侵 后 对 可 能 存 在 的 异 常 现 象 进 行 检 查 。 现 象 检 查 发 现 的 异 常 程 序 不 可 直 接 删 除 ， 应 先 验 证 异 常 进 程 是 否 存 在 自 我 守 护 机 制 ， 否 则 安 全 事 件 无 法 得 到 根 除 。 1 . 1   已 监 听 端 口 已 监 听 端 口 并 非 一 个 独 立 的 对 象 ， 而 是 和 进 程 相 关 联 ， 进 程 如 果 需 要 对 外 提 供 访 问 接 口 ， 则 必 须 通 过 监 听 端 口 的 方 式 对 外 开 放 ， 常 用 于 在 内 网 中 部 署 正 向 后 门 程 序 。 注 意 点 ： 1   在 操 作 系 统 初 始 化 正 常 运 行 后 ， 建 议 记 录 已 监 听 端 口 的 基 线 值 ， 供 日 常 巡 检 使 用 ； 2   受 操 作 系 统 、 关 键 路 径 中 的 网 络 层 访 问 控 制 影 响 。 例 如 检 查 已 监 听 端 口 是 否 存 在 异 常 。 则 运 行 c m d 命 令 行 ， 使 用 n e t s t a t   - a n o   |   f i n d s t r   L I S T 命 令 检 查 已 监 听 端 口 。 示 例 ： 点 击 【 开 始 菜 单 】 ， 搜 索 框 中 输 入 【 c m d 】 ， 右 键 点 击 【 c m d . e x e 】 程 序 ， 选 择 【 以 管 理 员 身 份 运 行 】 。 安 全 分 析 与 研 究 安 全 分 析 与 研 究
使 用 n e t s t a t   - a n o   |   f i n d s t r   L I S T 命 令 检 查 已 监 听 端 口 。 含 义 如 下 ： 1   左 1 列 ， 程 序 协 议 ； 2   左 2 列 ， 本 地 监 听 地 址 和 端 口 ； 3   左 3 列 ， 外 部 地 址 （ 留 空 ） ； 4   左 4 列 ， 状 态 为 监 听 ； 5   左 5 列 ， 程 序 p i d 。 可 根 据 已 知 程 序 不 会 监 听 的 端 口 进 行 判 断 是 否 存 在 异 常 ， 并 根 据 该 链 接 的 p i d 进 行 深 入 分 析 。 1 . 2   已 建 立 连 接 已 建 立 连 接 分 为 入 站 连 接 和 出 站 连 接 ， 入 站 意 为 访 问 操 作 系 统 本 地 的 方 向 ， 出 站 意 为 操 作 系 统 访 问 外 部 的 方 向 。 注 意 点 ： 1   受 操 作 系 统 、 关 键 路 径 中 的 网 络 层 访 问 限 制 影 响 ； 2   服 务 端 如 存 在 主 动 外 联 则 需 要 重 点 检 查 。 例 如 检 查 已 建 立 连 接 是 否 存 在 异 常 。 则 使 用 n e t s t a t   - a n o   |   f i n d s t r   E S T 命 令 检 查 已 建 立 连 接 。 示 例 ： 查 询 结 果 ， 可 根 据 非 常 规 连 接 判 断 是 否 存 在 异 常 ， 并 根 据 该 链 接 的 p i d 进 行 深 入 分 析 ： 1 . 3   系 统 进 程 c p u 资 源 被 占 满 、 异 常 的 已 监 听 端 口 、 异 常 的 已 建 立 连 接 在 深 入 分 析 时 都 会 检 查 系 统 进 程 。 注 意 点 ： 不 建 议 使 用 任 务 管 理 器 进 行 系 统 进 程 检 查 ， 因 为 可 供 分 析 的 维 度 较 少 ， 且 容 易 被 进 程 名 欺 骗 ， 操 作 系 统 允 许 相 同 名 称 但 不 同 执 行 路 径 的 进 程 同 时 存 在 。 例 如 检 查 系 统 进 程 是 否 存 在 异 常 ， 使 用 以 下 命 令 获 取 系 统 进 程 详 细 信 息 。 w m i c   p r o c e s s   g e t   c a p t i o n , c o m m a n d l i n e , c r e a t i o n D a t e , e x e c u t a b l e p a t h , h a n d l e , h a n d l e C o u n t   >   c : y a n l i a n p o r c e s s . t x t 示 例 ：
在 c m d 命 令 行 中 复 制 以 上 命 令 并 回 车 执 行 。 打 开 C : y a n l i a n p r o c e s s . t x t ， 可 看 到 6 列 内 容 ， 含 义 如 下 所 示 ： 1   c a p t i o n ： 进 程 名 ； 2   c o m m a n d l i n e ： 进 程 名 、 程 序 执 行 路 径 、 进 程 执 行 参 数 ； 3   c r e a t i o n D a t e ： 进 程 启 动 时 间 （ 格 式 为 ： 年 月 日 时 分 秒 ） ； 4   e x e c u t a b l e p a t h ： 程 序 执 行 路 径 ； 5   h a n d l e ： 进 程 p i d ； 6   h a n d l e C o u n t ： 该 进 程 的 父 进 程 p i d 。 可 根 据 进 程 名 、 进 程 执 行 参 数 、 进 程 启 动 时 间 、 程 序 执 行 路 径 判 断 是 否 存 在 异 常 ， 并 根 据 异 常 点 进 行 深 入 分 析 。 持 久 化 检 查 如 通 过 现 象 检 查 发 现 异 常 程 序 ， 则 可 以 通 过 停 止 运 行 该 进 程 的 方 式 ， 判 断 其 是 否 会 重 新 启 动 。 1 . 1   任 务 计 划 任 务 计 划 可 以 将 任 何 脚 本 或 程 序 定 时 启 动 。 如 被 黑 客 利 用 则 会 充 当 恶 意 程 序 的 守 护 机 制 。 注 意 点 ： 不 建 议 使 用 图 形 化 任 务 计 划 程 序 进 行 检 查 ， 因 为 数 量 、 层 级 较 多 不 方 便 检 查 。 检 查 任 务 计 划 是 否 存 在 异 常 的 方 法 ： 1   使 用 s c h t a s k s   / q u e r y   / f o   L I S T   / v   > c : y a n l i a n s c h t a s k s . t x t 命 令 获 取 任 务 计 划 ； 2   使 用 正 则 ( F o l d e r | T a s k N a m e | S t a t u s | A u t h o r | T a s k   T o   R u n | S c h e d u l e d   T a s k   S t a t e | S t a r t   T i m e | S t a r t   D a t e ) ( . * ) 过 滤 任 务 计 划 关 键 字 段 ； 3   使 用 正 则 S t a r t   D a t e ( . * ) 和 S t a r t   D a t e $ 0 n 分 割 不 同 任 务 计 划 。 示 例 1 ： 导 出 任 务 计 划 ， 提 示 错 误 。 查 看 当 前 活 动 代 码 页 为 9 3 6 ， 将 其 修 改 为 4 3 7 。
再 次 导 出 任 务 计 划 。 但 导 出 的 任 务 计 划 无 关 信 息 过 多 ， 需 要 过 滤 。 示 例 2 ： 复 制 以 下 正 则 表 达 式 。 ( F o l d e r | T a s k N a m e | S t a t u s | A u t h o r | T a s k   T o   R u n | S c h e d u l e d   T a s k   S t a t e | S t a r t   T i m e | S t a r t   D a t e ) ( . * ) 将 正 则 表 达 式 复 制 到 搜 索 框 中 ， 点 击 【 f i n d   a l l 】 ， 再 【 c t r l + c 】 复 制 匹 配 到 的 内 容 。 同 时 新 建 一 个 文 档 将 复 制 的 内 容 进 行 粘 贴 ， 但 所 有 任 务 计 划 未 分 割 不 方 便 检 查 ， 因 此 还 需 要 对 过 滤 后 的 任 务 计 划 进 行 分 割 。 示 例 3 ： 复 制 以 下 正 则 表 达 式 。 S t a r t   D a t e ( . * ) S t a r t   D a t e $ 0 n 按 【 c t r l + h 】 将 以 上 正 则 进 行 粘 贴 并 替 换 所 有 。 最 后 形 成 如 下 文 档 ： 只 记 录 任 务 计 划 名 称 ， 运 行 状 态 ， 创 建 者 ， 程 序 路 径 ， 计 划 状 态 ， 启 动 时 间 ， 以 方 便 对 可 能 存 在 异 常 的 对 象 进 行 检 查 。
1 . 2   自 启 动 项 自 启 动 项 可 在 系 统 启 动 时 自 动 运 行 相 关 程 序 ， 恶 意 程 序 的 第 二 个 自 启 机 制 。 注 意 点 ： 不 建 议 使 用 图 形 化 m s c o n f i g 工 具 进 行 检 查 ， 因 为 名 称 、 路 径 较 长 则 不 方 便 取 证 。 使 用 以 下 命 令 将 自 启 动 项 导 出 检 查 。 r e g   e x p o r t   H K E Y _ C U R R E N T _ U S E R S o f t w a r e M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n R u n   c : y a n l i a n a u t o r u n . r e g 示 例 ： 输 入 命 令 将 自 启 动 项 配 置 文 件 导 出 。 检 查 导 出 的 自 启 动 项 配 置 是 否 存 在 异 常 。 1 . 3   环 境 变 量 环 境 变 量 用 于 将 系 统 路 径 变 量 化 ， 如 被 黑 客 利 用 则 会 以 最 高 权 限 运 行 恶 意 程 序 ， 例 如 将 环 境 变 量 % s y s t e m r o o t % 变 更 为 其 他 路 径 ， 同 时 建 立 s y s t e m 3 2 文 件 夹 并 将 恶 意 程 序 通 过 服 务 启 动 。 注 意 点 ： 环 境 变 量 % s y s t e m r o o t % 修 改 后 需 进 行 恢 复 ， 否 则 系 统 无 法 正 常 重 启 。 使 用 s e t 命 令 将 环 境 变 量 导 出 检 查 。 示 例 ： 输 入 命 令 将 环 境 变 量 配 置 文 件 导 出 。 检 查 导 出 的 环 境 变 量 配 置 是 否 存 在 异 常 。
1 . 4   系 统 服 务 服 务 可 在 系 统 启 动 时 自 动 运 行 相 关 程 序 或 启 动 后 延 迟 运 行 相 关 程 序 ， 是 恶 意 程 序 的 第 三 个 自 启 机 制 。 注 意 点 ： 不 建 议 使 用 图 形 化 s e r v i c e s . m s c 程 序 进 行 检 查 ， 因 为 数 量 、 层 级 较 多 不 方 便 检 查 。 1   使 用 命 令 将 服 务 配 置 文 件 导 出 检 查 ； 2   过 滤 包 含 D e s c r i p t i o n 、 I m a g e P a t h 、 S e r v i c e D l l 的 字 段 ； 3   过 滤 包 含 ( . * ) ( . d l l | . e x e ) ( . * ) 的 字 段 ； 4   删 除 D e s c r i p t i o n   R E G _ S Z ， D e s c r i p t i o n   R E G _ E X P A N D _ S Z ， I m a g e P a t h         R E G _ E X P A N D _ S Z ， S e r v i c e D l l   R E G _ E X P A N D _ S Z 无 关 字 符 5   将 / P r o c e s s i d ( . * ) 替 换 为 空 ； 6   将 , - ( . * ) 替 换 为 空 ； 7   将 @ 替 换 为 空 ； 8   根 据 环 境 变 量 检 查 结 果 对 % s y s t e m r o o t % ， % w i n d i r % 进 行 替 换 ； 9   将 ^ [ a - z ] * . d l l n 替 换 为 空 ； 1 0   排 序 、 统 一 小 写 和 去 重 后 进 行 服 务 检 查 。 示 例 1 ： 选 择 一 条 命 令 将 服 务 配 置 文 件 导 出 。 r e g   q u e r y   " H K E Y _ L O C A L _ M A C H I N E S Y S T E M C o n t r o l S e t 0 0 1 S e r v i c e s "   / s   >   c : y a n l i a n s e r v i c e _ 0 0 1 . t x t r e g   q u e r y   " H K E Y _ L O C A L _ M A C H I N E S Y S T E M C u r r e n t C o n t r o l S e t S e r v i c e s "   / s   >   c : y a n l i a n s e r v i c e _ s e t . t x t 服 务 配 置 文 件 路 径 说 明 ： 1   C o n t r o l S e t 0 0 1 ： 系 统 真 实 的 服 务 配 置 信 息 ； 2   C o n t r o l S e t 0 0 2 ： 最 后 一 次 成 功 启 动 的 服 务 配 置 信 息 ； 3   C u r r e n t C o n t r o l S e t ： 系 统 运 行 时 的 服 务 配 置 信 息 ； 4   系 统 启 动 时 ， 从 C o n t r o l S e t 0 0 1 复 制 到 C u r r e n t C o n t r o l S e t 中 ； 5   系 统 运 行 时 ， 修 改 的 都 是 C u r r e n t C o n t r o l S e t 中 的 信 息 ； 6   系 统 重 启 时 ， 从 C u r r e n t C o n t r o l S e t 复 制 到 C o n t r o l S e t 0 0 1 中 ； 7   系 统 正 常 启 动 时 ， 从 C o n t r o l S e t 0 0 1 、 C u r r e n t C o n t r o l S e t 复 制 到 C o n t r o l S e t 0 0 2 ； 8   开 机 选 择 “ 最 近 一 次 正 确 配 置 ” 时 ， 从 C o n t r o l S e t 0 0 2 复 制 到 C u r r e n t C o n t r o l S e t 中 。 服 务 配 置 说 明 ： 1   I m a g e P a t h ： 服 务 所 启 动 程 序 的 路 径 ； 2   P a r a m e t e s s e r v i c e d l l ： 程 序 调 用 的 真 实 d l l 文 件 路 径 ； 3   S t a r t ： 0 / b o o t ， 1 / s y s t e m ， 2 / 自 动 ， 3 / 手 动 ， 4 / 禁 用 ； 4   D e l a y e d A u t o s t a r t ： 1 / 延 迟 启 动 ； 5   T y p e ： 程 序 类 型 。 示 例 2 ： 输 入 以 下 正 则 表 达 式 进 行 内 容 过 滤 。 ( D e s c r i p t i o n | I m a g e P a t h | S e r v i c e D l l   ) ( . * ) 点 击 【 . * 】 启 用 正 则 匹 配 ， 输 入 正 则 表 达 式 ， 点 击 【 f i n d   a l l 】 后 复 制 。 示 例 3 ： 输 入 以 下 正 则 表 达 式 进 行 内 容 过 滤 。
( . * ) ( . d l l | . e x e ) ( . * ) 点 击 【 f i n d   a l l 】 后 复 制 。 示 例 4 ： 复 制 以 下 单 行 内 容 并 逐 个 替 换 。 D e s c r i p t i o n         R E G _ S Z         D e s c r i p t i o n         R E G _ E X P A N D _ S Z         I m a g e P a t h         R E G _ E X P A N D _ S Z         S e r v i c e D l l         R E G _ E X P A N D _ S Z         替 换 方 法 为 在 【 f i n d 】 框 中 粘 贴 ， 【 r e p l a c e 】 框 中 内 容 为 空 ， 点 击 【 r e p l a c e   a l l 】 进 行 替 换 。 示 例 5 ： 复 制 以 下 内 容 并 替 换 。 / P r o c e s s i d ( . * ) 替 换 方 法 为 在 【 f i n d 】 框 中 粘 贴 ， 【 r e p l a c e 】 框 中 内 容 为 空 ， 点 击 【 r e p l a c e   a l l 】 进 行 替 换 。 示 例 6 ： 复 制 以 下 内 容 并 替 换 。 , - ( . * ) 替 换 方 法 为 在 【 f i n d 】 框 中 粘 贴 ， 【 r e p l a c e 】 框 中 内 容 为 空 ， 点 击 【 r e p l a c e   a l l 】 进 行 替 换 。 示 例 7 ： 复 制 以 下 内 容 并 替 换 。 @ 替 换 方 法 为 在 【 f i n d 】 框 中 粘 贴 ， 【 r e p l a c e 】 框 中 内 容 为 空 ， 点 击 【 r e p l a c e   a l l 】 进 行 替 换 。
示 例 8 ： 复 制 以 下 内 容 并 替 换 。 % s y s t e m r o o t %   c : w i n d o w s % w i n d i r %   c : w i n d o w s 替 换 方 法 为 在 【 f i n d 】 框 中 粘 贴 ， 【 r e p l a c e 】 框 中 内 容 为 空 ， 点 击 【 r e p l a c e   a l l 】 进 行 替 换 。 示 例 9 ： 复 制 以 下 内 容 并 替 换 。 ^ [ a - z ] * . d l l n 替 换 方 法 为 在 【 f i n d 】 框 中 粘 贴 ， 【 r e p l a c e 】 框 中 内 容 为 空 ， 点 击 【 r e p l a c e   a l l 】 进 行 替 换 。 示 例 1 0 ： 对 过 滤 后 的 程 序 路 径 进 行 排 序 。 全 选 所 有 内 容 将 所 有 大 写 字 母 转 换 为 小 写 。 对 过 滤 后 的 程 序 路 径 进 行 去 重 。
根 据 去 重 后 的 结 果 可 直 观 的 对 服 务 所 调 用 的 程 序 进 行 检 查 。 例 如 异 常 的 程 序 路 径 ， 程 序 名 称 。 同 时 工 作 量 也 会 大 大 减 少 ， 因 为 原 先 需 要 分 析 9 0 6 2 行 ， 现 在 只 需 要 分 析 1 4 5 行 即 可 ， 如 在 1 4 5 行 中 发 现 异 常 则 可 查 看 导 出 的 服 务 配 置 文 件 进 行 深 入 分 析 。 1 . 5   用 户 登 录 用 户 登 录 可 在 系 统 启 动 登 录 、 注 销 登 录 时 自 动 运 行 相 关 程 序 ， 是 恶 意 程 序 的 第 四 个 自 启 机 制 。 注 意 点 ： 操 作 系 统 中 有 两 处 配 置 文 件 可 用 于 在 登 录 时 启 动 相 关 程 序 。 使 用 命 令 将 用 户 登 录 配 置 文 件 导 出 检 查 。 示 例 1 ： 复 制 以 下 命 令 ： r e g   q u e r y   H K E Y _ C U R R E N T _ U S E R E n v i r o n m e n t   / v   U s e r I n i t M p r L o g o n S c r i p t   >   c : y a n l i a n u s e r l o g i n . t x t r e g   q u e r y   " H K E Y _ L O C A L _ M A C H I N E S O F T W A R E M i c r o s o f t W i n d o w s   N T C u r r e n t V e r s i o n W i n l o g o n "   / v   U s e r i n i t   > >   c : y a n l i a n u s e r l o g i n . t x t 在 命 令 行 中 粘 贴 将 用 户 登 录 配 置 文 件 导 出 检 查 。 根 据 导 出 的 登 录 配 置 进 行 检 查 。 1 . 6   s v c h o s t 及 d l l 劫 持 s v c h o s t . e x e 主 要 作 用 是 将 动 态 链 接 库 ( 后 缀 为 . d l l 的 文 件 ) 以 服 务 的 方 式 运 行 。 s v c h o s t . e x e 对 系 统 的 正 常 运 行 非 常 重 要 ， 是 不 能 被 结 束 的 。 通 过 服 务 、 d l l 、 c o m 均 可 劫 持 注 入 到 程 序 中 启 动 。 注 意 点 ： 1   在 入 侵 检 查 方 向 ， 更 倾 向 于 将 s v c h o s t . e x e 作 为 一 个 单 独 的 持 久 化 检 查 项 目 ， 而 非 系 统 服 务 ， 因 为 检 查 方 法 完 全 不 同 ； 2   同 时 s v c h o s t . e x e 不 作 为 常 规 检 查 项 ， 一 般 根 据 【 现 象 检 查 】 的 结 果 寻 找 恶 意 程 序 。 存 在 异 常 监 听 端 口 ， p i d 指 向 s v c h o s t . e x e 程 序 ， 需 检 查 是 否 存 在 异 常 。 通 过 第 三 方 工 具 P r o c e s s E x p l o r e r （ 简 称 p e ） 检 查 s v c h o s t . e x e 程 序 。
示 例 ： 通 过 检 查 已 监 听 端 口 ， 发 现 “ 异 常 ” 监 听 ， p i d 指 向 8 0 0 。 打 开 任 务 管 理 器 ， 发 现 p i d   8 0 0 是 s v c h o s t . e x e 程 序 ， 由 于 该 程 序 的 特 性 ， 需 使 用 第 三 方 工 具 p e 进 行 检 查 。 通 过 p e 工 具 可 发 现 p i d   8 0 0 是 由 服 务 启 动 ， 根 据 启 动 路 径 可 发 现 该 程 序 是 由 正 常 路 径 启 动 ， 但 程 序 是 否 被 替 换 未 知 ， 启 动 的 服 务 是 n e t s v c s （ 小 白 杀 手 ， 当 初 虐 了 我 n 久 ） ， 该 服 务 下 挂 1 2 个 子 服 务 。 在 p e 中 双 击 该 程 序 ， 点 击 【 t c p / i p 】 ， 可 发 现 4 9 1 5 4 端 口 是 服 务 s c h e d u l e 监 听 。 点 击 【 s e r v i c e s 】 ， 可 发 现 s c h e d u l e 服 务 启 动 的 动 态 链 接 库 绝 对 路 径 是 c : w i n d o w s s y s t e m c 3 2 s c h e d s v c . d l l ， 从 而 发 现 4 9 1 5 4 端 口 是 哪 个 程 序 正 在 监 听 。 通 过 点 击 【 v i e w   h a n d l e s 】 可 显 示 该 程 序 所 调 用 的 c l s i d 。 如 存 在 启 动 、 点 击 某 个 程 序 后 恶 意 进 程 重 新 启 动 的 情 况 ， 则 可 以 对 c o m 劫 持 进 行 检 查 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理