搜索

[14238] 2019-06-17_Linux应急响应之工具篇

文档创建者：s7ckTeam
浏览次数：8
最后更新：2025-01-18
2019-06-17_Linux应急响应之工具篇 L i n u x 应 急 响 应 之 工 具 篇 F r e e B u f   2 0 1 9 - 0 6 - 1 7 以 下 文 章 来 源 于 T i d e S e c 安 全 团 队   ， 作 者 菜 鸟 的 菜 当 企 业 被 攻 击 者 入 侵 ， 系 统 被 挂 暗 链 、 内 容 遭 到 恶 意 篡 改 ， 服 务 器 出 现 异 常 链 接 、 卡 顿 等 情 况 时 ， 需 要 进 行 紧 当 企 业 被 攻 击 者 入 侵 ， 系 统 被 挂 暗 链 、 内 容 遭 到 恶 意 篡 改 ， 服 务 器 出 现 异 常 链 接 、 卡 顿 等 情 况 时 ， 需 要 进 行 紧 急 处 理 ， 使 系 统 在 最 短 时 间 内 恢 复 正 常 。 由 于 应 急 处 理 往 往 时 间 紧 ， 所 以 尝 试 将 应 急 中 常 见 处 理 方 法 整 合 到 脚 急 处 理 ， 使 系 统 在 最 短 时 间 内 恢 复 正 常 。 由 于 应 急 处 理 往 往 时 间 紧 ， 所 以 尝 试 将 应 急 中 常 见 处 理 方 法 整 合 到 脚 本 中 ， 可 自 动 化 实 现 部 分 应 急 工 作 。 应 急 脚 本 采 用 本 中 ， 可 自 动 化 实 现 部 分 应 急 工 作 。 应 急 脚 本 采 用 p y t h o n 2 . 0 完 成 ， 由 于 所 有 需 要 执 行 的 命 令 都 是 依 靠 完 成 ， 由 于 所 有 需 要 执 行 的 命 令 都 是 依 靠 s s h 进 行 进 行 远 程 链 接 ， 所 以 在 运 行 脚 本 之 前 ， 需 要 输 入 正 确 的 主 机 远 程 链 接 ， 所 以 在 运 行 脚 本 之 前 ， 需 要 输 入 正 确 的 主 机 i p 地 址 、 地 址 、 s s h 远 程 连 接 端 口 、 远 程 连 接 端 口 、 s s h 远 程 登 录 账 户 、 远 程 登 录 账 户 、 s s h 远 程 远 程 登 录 密 码 。 登 录 密 码 。 一 、 脚 本 实 现 的 主 要 功 能 一 、 脚 本 实 现 的 主 要 功 能 1 、 获 取 主 机 信 息 获 取 的 主 机 信 息 包 括 ： 主 机 i p 地 址 、 主 机 名 、 当 前 系 统 内 核 版 本 、 当 前 系 统 版 本 、 系 统 当 前 时 间 ； 2 、 获 取 异 常 进 程 获 取 异 常 进 程 主 要 是 采 用 两 种 方 式 ， 第 一 种 ， 通 过 执 行 n e t s t a t   - a n t p 获 取 当 前 主 机 存 在 哪 些 链 接 ， 并 通 过 判 断 外 部 链 接 地 址 归 属 地 ， 如 果 归 属 地 不 是 中 国 ， 则 会 提 取 相 关 p i d ， 并 根 据 p i d 定 位 出 文 件 所 在 位 置 。 第 二 种 ， 通 过 c p u 占 有 率 ， 一 旦 发 现 c p u 占 用 率 高 于 % 1 5 时 ， 会 提 取 对 应 程 序 的 p i d ， 根 据 p i d 定 位 异 常 文 件 位 置 。 3 、 判 断 常 见 命 令 是 否 被 篡 改 在 之 前 的 应 急 响 应 中 出 现 过 常 见 命 令 被 非 法 篡 改 情 况 ， 如 p s 、 n e t s t a t 命 令 被 恶 意 替 换 ， 利 用 s t a t 查 看 文 件 详 细 信 息 ， 通 过 比 对 时 间 的 方 式 判 断 命 令 是 否 被 篡 改 。 4 、 查 看 系 统 启 动 项 很 多 恶 意 程 序 会 修 改 系 统 启 动 项 ， 这 样 即 使 系 统 进 行 重 启 时 ， 恶 意 程 序 也 能 自 动 启 动 ， 查 看 i n i t . d 目 录 下 的 启 动 文 件 ， 根 据 修 改 时 间 提 取 最 近 被 修 改 的 启 动 文 件 ， 并 根 据 时 间 排 序 列 出 前 5 个 。 5 、 查 看 历 史 命 令 查 看 . b a s h _ h i s t o r y 历 史 命 令 ， 通 过 匹 配 关 键 字 ， 如 w g e t 、 c u r 等 ， 来 查 看 系 统 在 被 入 侵 后 是 否 被 执 行 了 恶 意 操 作 。 6 、 判 断 非 系 统 默 认 账 户 恶 意 程 序 可 能 会 在 系 统 中 新 建 账 户 ， 通 过 查 看 l o g i n . d e f s 文 件 获 取 最 小 u i d ， 从 而 根 据 u i d 查 看 p a s s w d 文 件 ， 获 取 之 后 新 建 的 系 统 用 户 。 7 、 获 取 当 前 登 录 用 户 通 过 调 用 w h o ， 查 看 当 前 登 录 用 户 （ t t y 为 本 地 登 录 ， p t s 为 远 程 登 录 ） ， 判 断 是 否 存 在 异 常 用 户 登 录 情 况 。 8 、 查 看 系 统 当 前 用 户 通 过 查 看 e t c / p a s s w d , 查 看 相 关 用 户 信 息 ， 确 定 是 否 存 在 异 常 用 户 。 T i d e S e c 安 全 团 队 安 全 团 队   . T i d e 安 全 团 队 以 信 安 技 术 研 究 为 目 标 ， 致 力 于 分 享 高 质 量 原 创 文 章 、 开 源 安 全 工 具 、 交 流 安 全 技 术 ， 研 究 方 向 覆 盖 网 络 攻 防 、 W e b 安 全 、 移 动 终 端 、 安 全 开 发 、 物 联 网 / 工 控 安 全 / A I 安 全 等 多 个 领 域 ， 对 安 全 感 兴 趣 的 小 伙 伴 可 以 关 注 我 们 。
9 、 查 看 c r o n t a b 定 时 任 务 查 看 / e t c / c r o n t a b 定 时 任 务 ， 并 将 输 出 结 果 保 存 到 l o g 中 1 0 、 查 看 、 保 存 最 近 三 天 系 统 文 件 修 改 情 况 通 过 f i n d 命 令 ， 查 找 最 近 三 天 修 改 过 的 文 件 ， 由 于 修 改 的 系 统 文 件 较 多 ， 所 以 修 改 文 件 被 单 独 保 存 在 本 地 f i l e _ e d i t 文 件 中 1 1 、 查 找 特 权 用 户 。 查 看 p a s s w d 文 件 ， 查 找 用 户 i d 为 0 的 特 权 用 户 1 2 、 s e c u r e 日 志 分 析 日 志 分 析 是 应 急 的 重 头 工 作 ， 尤 其 是 在 应 急 后 期 的 溯 源 阶 段 ， 日 志 分 析 更 显 得 尤 为 重 要 ， 由 于 日 志 种 类 包 括 服 务 器 日 志 、 应 用 日 志 ， 此 处 只 是 分 析 了 s e c u r e 服 务 器 日 志 ， 提 取 日 志 的 i p 地 址 进 行 判 断 ， 并 对 i p 归 属 地 进 行 判 断 ， 查 看 的 s e c u r e 日 志 单 独 保 存 在 本 地 s e c u r e 中 。 脚 本 运 行 后 输 出 如 下 信 息 ： 最 终 在 当 前 目 录 下 生 成 如 下 文 件 脚 本 运 行 完 毕 后 ， 在 当 前 目 录 下 生 成 l o g . t x t ， 记 录 脚 本 检 查 结 果 ：
同 时 在 当 前 目 录 下 生 成 的 n e t s t a t . t x t , 保 存 系 统 链 接 情 况 当 前 目 录 下 s e c u r e . t x t ， 记 录 当 前 s e c u r e 日 志 当 前 目 录 下 f i l e _ e d i t . t x t . 记 录 最 近 三 天 文 件 修 改 情 况
脚 本 整 体 的 思 路 比 较 简 单 ， 就 是 远 程 登 录 到 l i n u x 执 行 常 见 的 应 急 命 令 ， 脚 本 中 的 命 令 在 c e n t o s 下 都 是 可 正 常 运 行 的 ， 可 以 在 根 据 实 际 环 境 自 行 在 对 命 令 做 调 整 。 上 面 的 部 分 功 能 如 果 有 好 的 实 现 方 法 也 可 灵 活 调 整 ， 如 判 断 常 见 命 令 是 否 被 篡 改 ， 脚 本 中 是 根 据 时 间 进 行 判 断 ， 在 实 际 应 用 中 也 可 根 据 文 件 大 小 进 行 判 断 。 最 后 ， 代 码 整 体 写 的 比 较 渣 ， 有 意 见 欢 迎 大 家 多 多 指 出 ， 希 望 通 过 改 进 能 让 功 能 更 加 完 善 。 链 接 地 址 ： h t t p s : / / g i t h u b . c o m / t i d e - e m e r g e n c y / y i n g j i 二 、 参 考 资 料 二 、 参 考 资 料 在 编 写 此 脚 本 中 的 很 多 命 令 都 是 借 鉴 了 大 牛 的 的 一 些 经 验 ， 多 谢 大 牛 的 分 享 ， 具 体 参 考 链 接 如 下 ： h t t p : / / b l o g . n s f o c u s . n e t / e m e r g e n c y - r e s p o n s e - c a s e - s t u d y / h t t p s : / / g i t h u b . c o m / g r a y d d q h t t p s : / / g i t h u b . c o m / T 0 x s t / l i n u x * 本 文 作 者 ： 菜 鸟 的 菜 ， 转 载 请 注 明 来 自 本 文 作 者 ： 菜 鸟 的 菜 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理