搜索

[14633] 2019-09-26_分享一次应急响应简述

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-18
2019-09-26_分享一次应急响应简述 分 享 一 次 应 急 响 应 简 述 b b b b b b i g   F r e e B u f   2 0 1 9 - 0 9 - 2 6 一 、 背 景 一 、 背 景 几 周 前 接 到 某 单 位 管 理 人 员 电 话 ， 说 “ 您 好 ， 我 单 位 某 系 统 受 到 攻 击 ， 现 系 统 已 瘫 痪 （ 想 到 系 统 已 瘫 痪 ， 心 理 特 别 慌 张 ， 要 写 溯 源 报 告 了 ） ， 应 用 无 法 使 用 ， 需 到 现 场 进 行 排 查 ” ， 随 后 简 单 问 了 一 下 网 络 情 况 ， 就 匆 匆 赶 往 客 户 现 场 。 通 过 电 话 了 解 到 的 大 致 内 容 为 ： 该 系 统 已 处 于 瘫 痪 状 态 、 系 统 属 于 内 网 未 对 互 联 网 开 发 端 口 、 操 作 系 统 为 W i n d o w s s e r v e r   2 0 0 8 、 已 做 断 网 处 理 。 二 、 现 场 排 查 二 、 现 场 排 查 经 过 2 小 时 后 到 达 客 户 现 场 ， 再 次 与 系 统 管 理 人 员 确 认 情 况 ， 得 到 的 信 息 与 电 话 沟 通 的 内 容 差 不 多 。 原 本 想 先 进 入 系 统 看 看 情 况 ， 确 认 一 下 问 题 ， 可 是 有 其 他 厂 家 的 人 员 在 看 ， 也 不 好 意 思 ， 就 等 着 看 他 操 作 ， 一 等 就 等 了 1 个 小 时 。 这 期 间 他 主 要 操 作 还 是 在 看 系 统 安 全 日 志 ， 日 志 查 看 一 直 追 溯 到 事 发 前 1 周 时 间 ， 在 日 志 的 查 看 中 并 没 有 发 现 问 题 ， 如 果 是 我 在 操 作 我 也 会 先 查 看 一 下 日 志 。 2 . 1 、 着 手 排 查 、 着 手 排 查 通 过 之 前 的 等 待 和 其 他 人 员 的 排 查 ， 在 系 统 安 全 日 志 上 并 未 发 现 存 异 常 问 题 。 到 这 里 想 到 网 络 瘫 痪 于 是 有 了 以 下 想 法 ： 想 法 1 ： 系 统 遭 受 到 类 似 于 D O S 或 者 D D O S 之 类 的 攻 击 ； 想 法 2 ： 系 统 存 在 w e b 应 用 类 漏 洞 ， 可 能 被 上 传 了 s h e l l ， 系 统 被 控 制 了 。 但 想 到 该 系 统 未 开 发 应 用 到 互 联 网 上 ， 以 上 想 法 就 不 能 成 立 ， 黔 驴 技 穷 了 ， 一 下 子 没 思 路 了 ， 不 能 刚 刚 接 手 鼠 标 和 键 盘 就 没 有 操 作 呀 。 顿 时 冷 静 了 一 下 ， 想 到 既 然 是 应 用 瘫 痪 了 ， 那 先 看 看 网 络 活 动 的   T C P   连 接 情 况 。 于 是 我 用 n e s t a t   - a n o 查 看 了 t c p 的 连 接 情 况 ， 输 入 完 n e t s t a t   - a n o 回 车 后 ， 我 的 妈 呀 ！ 什 么 情 况 ， 为 什 么 会 有 那 么 多 t c p 的 连 接 ， 我 倒 是 惊 讶 了 ， 足 足 登 录 2 分 钟 信 息 才 刷 新 完 ， 刷 新 完 成 后 ， 发 现 有 太 多 的 T I M E _ W A I T 等 待 了 。 为 了 看 的 更 清 楚 ， 我 使 用 了 n e t s t a t   - a n o   |   m o r e 命 令 ， 然 后 一 页 一 页 的 翻 ， 发 现 单 位 内 部 与 该 应 用 系 统 有 通 信 I P 的 4 0 0 0 0 或 5 0 0 0 0 以 上 的 端 口 均 处 于 T I M E _ W A I T 状 态 。 这 让 我 想 到 了 W i n d o w s   2 0 0 8 R 2 大 量 回 话 在 T I M E _ W A I T 状 态 的 一 个 B U G ， 在 系 统 启 动 时 从   4 9 7   天 后 所 有 在 T I M E _ W A I T 状 态 的   T C P / I P   端 口 都 不 会 被 关 闭 。 因 此 ，   T C P / I P   端 口
可 能 会 被 用 光 ， 并 且 可 能 不 会 创 建 新 的   T C P / I P   会 话 。 到 这 里 我 将 得 到 的 信 息 反 馈 给 管 理 人 员 ， 并 询 问 了 系 统 的 开 机 时 间 ， 该 系 统 已 开 启 了 5 0 0 多 天 。 管 理 人 员 并 不 是 很 接 受 ， 并 说 出 了 新 的 问 题 （ 这 是 我 有 开 始 有 点 慌 了 ， 难 道 不 是 这 个 问 题 嘛 ） “ 后 台 程 序 出 现 接 口 无 法 调 用 的 问 题 ” ： 看 到 相 关 报 错 后 ， 我 更 确 认 了 我 之 前 的 想 法 。 为 了 验 证 我 的 想 法 ， 我 将 之 前 看 到 的 博 客 与 微 软 的 通 告 信 息 给 管 理 人 员 看 ， 最 终 确 认 问 题 。 相 关 连 接 如 下 ： h t t p s : / / s u p p o r t . m i c r o s o f t . c o m / z h - c n / h e l p / 2 5 5 3 5 4 9 / a l l - t h e - t c p - i p - p o r t s - t h a t - a r e - i n - a - t i m e - w a i t - s t a t u s - a r e - n o t - c l o s e d - a f t w i n d o w s   2 0 0 8   R 2   大 量 会 话 在 T I M E _ W A I T 状 态 s o c k e t - 详 细 分 析 N o   b u f f e r   s p a c e   a v a i l a b l e （ 转 载 ） 该 问 题 确 认 后 ， 我 又 对 系 统 进 程 和 服 务 进 行 排 查 ， 发 现 该 系 存 在 W a n n a C r y 勒 索 病 毒 的 服 务 ， 但 未 发 现 相 关 勒 索 病 毒 进 程 ， 并 在 杀 毒 软 件 的 恢 复 区 发 现 了 W a n n a C r y 的 文 件 。
通 过 询 问 后 ， 发 现 该 病 毒 在 1 8 年 6 月 份 已 被 删 除 过 ， 但 是 由 于 系 统 未 重 启 ， 该 服 务 还 存 在 ， 最 后 我 清 理 注 册 表 。 相 关 操 作 完 成 后 ， 联 系 管 理 员 重 启 系 统 ， 整 个 过 程 花 费 时 间 不 到 半 个 小 时 ， 最 终 解 决 问 题 。 三 、 总 结 三 、 总 结 通 过 这 次 应 急 ， 我 认 为 管 理 人 员 有 时 提 供 的 信 息 与 应 急 人 员 所 需 求 的 可 能 不 同 ， 很 可 能 会 误 导 应 急 人 员 。 作 为 应 急 人 员 ， 应 该 有 很 强 的 逻 辑 能 力 和 分 析 能 力 ， 另 外 还 需 要 拥 有 自 信 。 新 手 上 路 ， 大 佬 勿 喷 ， 感 谢 。 * 本 文 原 创 作 者 ： 本 文 原 创 作 者 ： b b b b b b i g ， 本 文 属 于 ， 本 文 属 于 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 精 彩 推 荐 精 彩 推 荐

阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理