搜索

[18885] 2019-08-22_聊聊应急响应

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2019-08-22_聊聊应急响应 聊 聊 应 急 响 应 原 创   花 十 一 一   h u a s e c   2 0 1 9 - 0 8 - 2 2 收 录 于 话 题   # 应 急 响 应   , 2 6 个         “ 俗 话 说 ： 好 记 性 不 如 烂 笔 头 ， 最 近 做 了 几 个 应 急 响 应 就 来 总 结 下 。 俗 话 说 ： 好 记 性 不 如 烂 笔 头 ， 最 近 做 了 几 个 应 急 响 应 就 来 总 结 下 。 ”         应 急 响 应 分 为 四 个 阶 段 ： 前 期 沟 通 ， 事 件 处 理 ， 事 件 分 析 ， 报 告 交 付 ， 前 期 沟 通 主 要 是 和 客 户 交 流 事 件 情 况 ， 了 解 是 什 么 安 全 事 件 ， 客 户 是 否 做 了 处 理 ， 如 果 做 了 处 理 ， 做 了 那 些 处 理 。 了 解 相 关 情 况 后 后 ， 下 一 步 ， 就 是 帮 助 客 户 止 血 ， 即 处 理 安 全 事 件 ， 减 轻 客 户 损 失 。 服 务 器 恢 复 正 常 后 ， 进 行 事 件 分 析 ， 通 过 排 查 日 志 还 原 攻 击 者 的 入 侵 轨 迹 ， 最 后 一 步 就 是 整 理 报 告 。         沟 通 沟 通 贯 穿 整 个 应 急 响 应 流 程 ， 也 是 最 重 要 的 ， 切 记 不 要 一 上 来 就 查 ， 了 解 事 件 原 因 才 会 事 半 功 倍 。 0 1 — " 止 血 "         应 急 响 应 事 件 分 为 五 大 类 ， 网 络 攻 击 事 件 ， 恶 意 程 序 事 件 ， w e b 恶 意 代 码 ， 信 息 破 坏 事 件 和 其 他 事 件 ， 每 个 事 件 的 具 体 描 述 如 下
（ 图 片 来 源 ： h t t p s : / / h e l p . a l i y u n . c o m / d o c u m e n t _ d e t a i l / 5 3 5 4 9 . h t m l ? s p m = a 2 c 4 g . 1 1 1 8 6 6 2 3 . 6 . 5 4 6 . 2 1 0 1 7 1 6 e p 7 3 8 z G ）         不 同 的 安 全 事 件 止 血 的 办 法 也 不 一 样 ， 下 面 介 绍 几 种 常 规 事 件 “ 止 血 ” 办 法 。 （ 1 ） w e b 攻 击 事 件         例 如 网 站 存 在 注 入 、 上 传 、 或 者 R C E ， 首 先 给 服 务 器 加 w a f ， 阻 断 大 部 分 攻 击 源 ， 提 升 攻 击 成 本 ， 如 果 客 户 使 用 C M S 建 站 ， 那 么 一 定 要 按 官 方 修 复 建 议 修 要 按 官 方 修 复 建 议 修 复 。 复 。 （ 2 ） 支 付 安 全 事 件         首 先 禁 用 支 付 密 钥 或 者 关 闭 提 现 功 能 ， 避 免 金 额 进 一 步 损 失 。 然 后 了 解 支 付 / 提 现 的 业 务 流 程 ， 如 果 是 第 三 方 支 付 ， 那 么 需 要 第 三 方 提 供 相 关 支 持 。 ( 3 ） 数 据 泄 露 事 件         首 先 确 认 泄 露 数 据 的 真 实 性 ， 根 据 数 据 时 间 、 数 据 字 段 、 数 据 内 容 、 数 据 的 大 小 来 定 位 什 么 漏 洞 产 生 的 ， 是 拖 库 还 是 越 权 遍 历 。 如 果 是 拖 库 ， 那 么 下 一 步 排 查 S Q L 注 入 、 数 据 库 密 钥 、 g e t s h e l l 、 备 份 文 件 等 等 。 常 规 的 业 务 场 景 通 过 越 权 获 取 到 数 据 不 是 全 量 的 。 （ 4 ） 恶 意 程 序 事 件         首 先 k i l l 掉 进 程 ， 如 果 是 从 远 程 下 载 的 恶 意 程 序 ， 可 以 修 改 h o s t s 绑 定 远 程 地 址 为 0 . 0 . 0 . 0 ， 然 后 在 排 查 原 因 。 （ 5 ） w e b s h e l l 事 件         服 务 器 上 存 在 w e b s h e l l ， 攻 击 者 的 攻 击 思 路 可 能 是 业 务 存 在 上 传 点 ， 且 未 对 上 传 做 严 格 限 制 ， 或 者 是 系 统 存 在 R C E 漏 洞 可 以 写 w e b s h e l l ， 如 果 无 法 彻 底 删 除 w e b s h e l l ， 那 么 通 过 计 划 任 务 删 除 w e b s h e l l ， 封 禁 上 传 w e b s h e l l 的 i p ， 添 加 w a f 等 一 系 列 措 施 ， 阻 止 w e b s h e l l 的 产 生 。
0 2 — L i n u x 排 查 思 路 1 . 用 户 ， 查 系 统 是 否 存 在 异 常 用 户 2 . 进 程 ， 查 看 是 否 存 在 异 常 进 程 ， 名 字 特 别 ， C P U 使 用 率 高 3 . 网 络 连 接 ， 查 看 服 务 器 当 前 是 否 有 异 常 连 接 ， 例 如 2 2 端 口 连 接 的 I P 是 国 外 的 ， 那 就 要 注 意 了 。 判 断 i p 归 属 地 脚 本 1 . 0 版 4 . 计 划 任 务 c a t     / e t c / p a s s w d t o p p s   a u x n e t s t a t   - a n t p # ! / b i n / b a s h # l i n u x # p r i n t   F o r e i g n   A d d r e s s c o n n e c t = ` b u s y b o x   n e t s t a t   - p a n t   |   g r e p   " : "   |   a w k   ' { p r i n t   $ 5 } ' ` ; # e c h o   $ c o n n e c t ; # l o o p   t o   g e t   a d d r e s s f o r   i   i n   $ c o n n e c t ; d o t e m p _ i p = ` e c h o   - e   $ i   |   c u t   - d   " : "   - f 1 ` # e c h o   $ t e m p _ i p t e m p = ` e c h o   - e   $ t e m p _ i p   |   g r e p   - E   ' ^ 0 ' ` # e c h o   $ t e m p i f   [ [   $ t e m p   ! =   $ t e m p _ i p   ] ] t h e n         m = ` c u r l   - s   h t t p s : / / w w w . i p . c n / i n d e x . p h p ? i p = $ t e m p _ i p `         e c h o   $ m f i d o n e c a t   / v a r / l o g / c r o n   |   g r e p   " b a s h " c a t   / v a r / l o g / c r o n   |   g r e p   " w g e t " c a t   / v a r / l o g / c r o n   |   g r e p   " c a t " c a t   / v a r / l o g / c r o n   |   g r e p   " i d " c a t   / v a r / l o g / c r o n   |   g r e p   - E   - o   " ( ( [ 0 - 9 ] { 1 , 3 } ) . ( [ 0 - 9 ] { 1 , 3 } ) . ( [ 0 - 9 ] { 1 , 3 } ) . ( [ 0 - 9 ] { 1 , 3 } ) ) " c a t   / e t c / c r o n t a b l s   - a l   / v a r / s p o o l / c r o n / * c a t   / v a r / s p o o l / c r o n / * l s   - a l   / e t c / c r o n . d / *
5 . 开 机 启 动 项 6 . 查 看 登 录 情 况 ， 历 史 登 录 成 功 i p 和 账 号 ， 当 前 登 录 成 功 账 号 i p 7 . 查 看 s s h   k e y 8 . 查 杀 w e b s h e l l   使 用 河 马 ， 但 是 误 报 有 点 大 ， 或 者 自 写 的 脚 本 。 9 . 查 看 日 志         关 于 日 志 分 析 ， 一 般 是 通 过 和 客 户 沟 通 定 位 攻 击 点 或 者 i p ， 然 后 在 日 志 中 查 询 完 整 路 径 ， 分 析 日 志 一 般 常 用 的 命 令 有 a w k 、 g r e p 、 f i n d 。 统 计 t o p   1 0   I P 统 计 访 问 a d m i n / d a s h b o a r d . h t m l 这 个 路 径 的 i p 日 志 分 析 根 据 业 务 场 景 构 造 相 应 的 命 令 ， 这 里 只 是 抛 砖 引 玉 。 最 近 了 解 到 一 个 p y t h o n 库   n g x t o p ， 可 以 辅 助 日 志 分 析 ， 有 兴 趣 的 小 伙 伴 可 以 了 解 下 。 0 3 — W i n d o w s 排 查 思 路 1 . 用 户 ， 查 看 当 前 系 统 用 户 是 否 存 在 隐 藏 账 号 ， 或 者 g u e s t 账 号 被 激 活 2 . 进 程 3 . 网 络 连 接 4 . 开 机 启 动 项 5 . 补 丁 情 况 6 . 漏 洞 情 况 7 . w e b s h e l l 查 杀 8 . 日 志 分 析 f o r   u   i n   ` c a t   / e t c / p a s s w d   | c u t   - d   " : "   - f 1 ` ; d o   c r o n t a b   - l   - u   $ u ;   d o n e c h k c o n f i g   - - l i s t l a s t c a t   / e t c / s e c u r e c a t   . s s h / a u t h o r i z e d _ k e y s   c a t   w w w . l o g   |   a w k   ' { p r i n t   $ 1 } '   |   s o r t   |   u n i q   - c   |   s o r t   - n r   |   m o r e c a t   w w w . l o g   |   g r e p   " a d m i n / d a s h b o a r d . h t m l "   |   a w k   ' { p r i n t   $ 1 } '   |   s o r t   |   u n i q   - c   |   s o r t   - n r     |   m o r e ( 1 ) n e t   u s e r ( 2 ) 查 看 注 册 表 H K E Y _ L O C A L _ M A C H I N E S A M S A M D o m a i n s A c c o u n t U s e r s N a m e s
针 对 上 述 排 查 项 ， 推 荐 几 款 工 具 （ 1 ） 3 6 0 全 家 桶 （ 2 ） A u t o r u n s （ 3 ） D 盾 w e b s h e l l 查 杀 （ 4 ） D 盾 防 火 墙 （ 5 ） 火 绒 剑 0 4 — 总 结       从 前 期 的 沟 通 确 认 ， 到 异 常 发 现 与 追 踪 ， 最 后 刻 画 攻 击 行 为 ， 应 急 响 应 不 仅 仅 是 一 场 事 件 的 处 理 ， 我 觉 得 更 重 要 的 是 攻 击 者 的 攻 击 思 路 ， 他 在 这 个 系 统 里 做 了 什 么 ， 他 为 什 么 要 这 么 做 ， 他 这 么 做 得 到 了 什 么 ， 换 作 是 你 ， 你 发 现 了 这 个 漏 洞 ， 你 会 怎 么 做 ， 向 高 手 学 习 ， 才 能 成 长 更 快 ， 总 而 言 之 ， 应 急 响 应 ， 任 重 道 远 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理