搜索

[18906] 2020-09-02_应急响应手册-Linux查看DNS请求

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2020-09-02_应急响应手册-Linux查看DNS请求 应 急 响 应 手 册 - L i n u x 查 看 D N S 请 求 原 创   花 十 一 一   h u a s e c   2 0 2 0 - 0 9 - 0 2 收 录 于 话 题   # 应 急 响 应   , 2 6 个 之 前 分 享 W i n d o w s 下 如 何 查 看 进 程 的 D N S 请 求 应 急 响 应 手 册 - W i n d o w s 排 查 技 巧 （ 一 ） ， 今 天 分 享 下 L i n u x 如 何 查 看 进 程 的 D N S 请 求 。 0 1 — 小 案 例 L i n u x 下 一 般 使 用 t c p d u m p 查 看 当 前 主 机 的 所 有 网 络 请 求 ， 查 看 D N S 请 求 一 般 使 用 如 下 命 令 使 用 微 步 在 线 威 胁 情 报 社 区 X （ h t t p s : / / x . t h r e a t b o o k . c n / ） 查 询 该 域 名 m a i l . x j s b w e b . c o m ， 发 现 主 机 被 A P T 了 。 通 过 d n s 流 量 发 现 该 域 名 存 在 解 析 I P ， 查 看 网 络 连 接 ， 然 后 并 没 有 什 么 卵 用 ， 没 办 法 定 位 是 哪 个 进 程 对 外 发 起 连 接 。 于 是 乎 ， 祭 出 大 杀 器 ， 成 功 获 取 了 进 程 的 p i d 以 及 进 程 名 字 t c p d u m p   - i   e n s 3 2   - n n n   u d p   p o r t   5 3 n e t s t a t   - p a n t u . / l i n u x _ d n s . s h   m a i l . x j s b w e b . c o m
将 木 马 文 件 拉 下 来 ， 传 到 在 线 沙 箱 ， 沙 箱 已 经 识 别 出 为 恶 意 进 而 看 一 下 沙 箱 捕 获 的 网 络 请 求 ， 再 次 确 认 该 文 件 就 是 发 起 对 外 连 接 的 文 件 ， 文 件 删 除 ， 按 照 之 前 的 L i n u x 排 查 流 程 进 行 安 全 核 验 详 情 链 接 参 见 h t t p s : / / s . t h r e a t b o o k . c n / r e p o r t / f i l e / 0 2 4 e d b b e c 4 7 e 7 3 1 2 6 3 2 5 6 0 b 1 d 8 5 5 c b 6 1 c 7 7 4 b 5 8 e 5 9 6 d a f b c c b e 9 1 1 6 d 1 a 6 a 5 6 a 7 / ? e n v = c e n t o s _ 7 _ x 6 4 当 然 也 可 以 丢 到 I D A 里 ， 反 编 译 下 该 文 件 ， 可 以 看 到 在 m a i n 函 数 存 在 C 2 。
0 2 — 后 续 例 如 ， 我 们 获 取 到 I O C 为 m a i l . x j s b w e b . c o m ， 通 过 微 步 在 线 威 胁 情 报 社 区 查 询 该 I O C 关 联 的 样 本 ， 获 取 其 样 本 H a s h 祭 出 大 杀 器 使 用 h a s h 检 索 ， 也 是 可 以 检 索 到 的   . / l i n u x _ d n s . s h   0 2 4 e d b b e c 4 7 e 7 3 1 2 6 3 2 5 6 0 b 1 d 8 5 5 c b 6 1 c 7 7 4 b 5 8 e 5 9 6 d a f b c c b e 9 1 1 6 d 1 a 6 a 5 6 a 7
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理