搜索

[14965] 2020-02-02_TuxResponse：一款针对Linux平台的事件响应工具

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2020-02-02_TuxResponse：一款针对Linux平台的事件响应工具 T u x R e s p o n s e ： 一 款 针 对 L i n u x 平 台 的 事 件 响 应 工 具 A l p h a _ h 4 c k   F r e e B u f   2 0 2 0 - 0 2 - 0 2 T u x R e s p o n s e T u x R e s p o n s e 是 一 款 采 用 是 一 款 采 用 B a s h 语 言 开 发 编 写 的 专 门 针 对 语 言 开 发 编 写 的 专 门 针 对 L i n u x 系 统 平 台 的 事 件 响 应 脚 本 。 它 可 以 在 系 统 平 台 的 事 件 响 应 脚 本 。 它 可 以 在 L i n u x 系 统 上 以 自 动 化 的 形 式 执 行 各 种 事 件 响 应 任 务 ， 以 帮 助 安 全 分 析 人 员 快 速 对 系 系 统 上 以 自 动 化 的 形 式 执 行 各 种 事 件 响 应 任 务 ， 以 帮 助 安 全 分 析 人 员 快 速 对 系 统 中 的 安 全 应 急 事 件 进 行 分 类 ， 同 时 不 会 影 响 最 终 的 处 理 结 果 。 当 然 了 ， 通 常 情 况 下 公 司 或 企 业 的 系 统 中 都 会 部 署 一 些 安 全 监 视 和 控 制 软 件 ， 但 由 于 存 在 各 种 非 标 准 镜 像 以 及 其 他 网 络 统 中 的 安 全 应 急 事 件 进 行 分 类 ， 同 时 不 会 影 响 最 终 的 处 理 结 果 。 当 然 了 ， 通 常 情 况 下 公 司 或 企 业 的 系 统 中 都 会 部 署 一 些 安 全 监 视 和 控 制 软 件 ， 但 由 于 存 在 各 种 非 标 准 镜 像 以 及 其 他 网 络 组 件 ， 因 此 组 件 ， 因 此 T u x R e s p o n s e 便 应 运 而 生 。 在 便 应 运 而 生 。 在 T u x R e s p o n s e 的 帮 助 下 ， 研 究 人 员 只 需 按 一 下 按 钮 ， 就 可 以 完 成 的 帮 助 下 ， 研 究 人 员 只 需 按 一 下 按 钮 ， 就 可 以 完 成 1 0 个 命 令 的 输 入 和 测 试 。 个 命 令 的 输 入 和 测 试 。 当 前 版 本 的 T u x R e s p o n s e 已 在 U b u n t u   1 4 + 和 C e n t O S   7 + 上 进 行 了 测 试 。 功 能 特 性 功 能 特 性 1 、 利 用 了 L i n u x 的 内 置 工 具 以 及 各 种 功 能 ， 其 中 包 括 但 不 限 于 d d 、 a w k 、 g r e p 、 c a t 和 n e t s t a t 等 。 2 、 减 少 了 事 件 响 应 工 具 所 需 的 命 令 数 量 。 3 、 自 动 化 任 务 实 现 。 除 了 L i n u x 内 置 工 具 即 功 能 组 件 之 外 ， T u x R e s p o n s e 还 引 入 了 下 列 外 部 工 具 包 ： - L i M E - E x i f - C h c k r o o t k i t - Y a r a   +   L i n u x 扫 描 规 则 工 具 下 载 工 具 下 载 广 大 用 户 可 以 直 接 使 用 下 列 命 令 将 项 目 代 码 克 隆 至 本 地 : 工 具 使 用 样 例 工 具 使 用 样 例 在 对 某 个 安 全 事 件 进 行 应 急 响 应 处 理 时 ， 如 果 你 还 要 手 动 输 入 所 有 命 令 来 安 装 L i M E 的 话 ， 肯 定 会 花 费 你 大 量 的 时 间 ， 这 样 一 来 效 率 就 非 常 低 了 。 功 能 介 绍 功 能 介 绍 一 、 实 时 响 应 一 、 实 时 响 应 （ （ 1 ） 足 迹 系 统 ） 足 迹 系 统 （ （ 2 ） 文 件 系 统 工 具 ） 文 件 系 统 工 具 （ （ 3 ） ） Y A R A ,   C H K R O O T K I T ,   E X I F T o o l （ （ 4 ） 处 理 分 析 工 具 ） 处 理 分 析 工 具 （ （ 5 ） 网 络 连 接 分 析 ） 网 络 连 接 分 析 （ （ 6 ） 用 户 ） 用 户 g i t   c l o n e   h t t p s : / / g i t h u b . c o m / l a 3 a r 0 v / T u x R e s p o n s e . g i t I N S T A L L   L i M E         f u n c t i o n   i n i t _ l i m e ( ) {             i f   [   - f   / u s r / b i n / y u m   ] ;   t h e n                 y u m   - y   i n s t a l l   m a k e   k e r n e l - h e a d e r s   k e r n e l - d e v e l   g c c             e l i f   [   - f   / u s r / b i n / a p t - g e t   ] ;   t h e n                 a p t - a d d - r e p o s i t o r y   u n i v e r s e                 a p t - g e t   - y   S y s t e m   i n f o ,   I P ,   D a t e ,   T i m e ,   l o c a l   T Z ,   l a s t   b o o t   -   ' h o s t n a m e c t l ;   w h o   - b ;   u n a m e   - a ;   u p t i m e ;   i f c o n f i g ;   d a t e ;   l a s t   r e b o o t ' ' d f   - h ' ： 检 查 已 加 载 的 文 件 系 统   -         ' f i n d   / u s r / b i n   - t y p e   f   - e x e c   f i l e   " { } "   ;   |   g r e p   - i   " e l f "   |   c u t   - f 1   - d :   |   x a r g s   - I   " { } "   - n   1   m d 5 s u m   { } ' ： 可 执 行 文 件 哈 希   ( M D 5 )             ' m o d i f i e d _ f i l e s _ p e r i o d _ s e l e c t ' ' c h k r o o t k i t ' ： 检 查 r o o t k i t s           ' y a r a _ s e l e c t ' ： Y a r a 扫 描         ' e x i f t o o l _ s e l e c t ' ： E X I F T o o l ' p s   - a x u ' ： 枚 举 运 行 进 程         ' l s   - a l R   / p r o c / * / e x e   2 >   / d e v / n u l l   |   g r e p   d e l e t e d ' ： 删 除 仍 在 运 行 的 代 码         ' s s   - t u n a p   |   s e d   " s / [   t ] + / | / g " ' ： 活 动 网 络 连 接 - T C P 或 U D P         ' d u m p _ p r o c e s s _ s e l e c t ' ' n e t s t a t   - n a l p ;   n e t s t a t   - p l a n t ' ： 枚 举 所 有 活 动 的 网 络 连 接 / 元 套 接 字
‘ w ’   ： 枚 举 当 前 接 入 的 用 户 ‘ g e t e n t   p a s s w d ’ ： 使 用 密 码 获 取 用 户 信 息 （ （ 7 ） ） B a s h （ （ 8 ） 持 久 化 痕 迹 ） 持 久 化 痕 迹 （ （ 9 ） 导 出 所 有 日 志 （ ） 导 出 所 有 日 志 （ / v a r / l o g ） ） 二 、 建 立 连 接 ， 使 用 二 、 建 立 连 接 ， 使 用 S S H 传 输 脚 本 并 分 析 远 程 系 统 传 输 脚 本 并 分 析 远 程 系 统 该 选 项 允 许 您 连 接 到 远 程 系 统 ， 复 制 所 有 脚 本 和 工 具 并 分 析 系 统 。 三 、 导 出 内 存 （ 三 、 导 出 内 存 （ L K M   L i M E ） ） 该 选 项 可 以 让 我 们 从 源 代 码 处 编 译 L i M E ， 并 将 R A M 内 存 转 储 到 系 统 之 外 ， 这 是 最 简 单 的 方 法 。 因 为 另 一 种 方 法 是 从 源 代 码 编 译 所 有 主 要 内 核 版 本 ， 并 插 入 L K M 。 四 、 获 取 磁 盘 镜 像 （ 四 、 获 取 磁 盘 镜 像 （ D D ） ） 该 选 项 可 以 帮 助 我 们 使 用 著 名 的 工 具 - d d 来 获 取 目 标 系 统 的 完 整 磁 盘 映 像 。 该 函 数 将 源 地 址 和 目 的 地 址 作 为 参 数 ， 并 将 它 们 插 入 以 下 命 令 之 中 ： 如 果 您 正 在 调 查 和 分 析 一 个 远 程 系 统 ， 那 么 脚 本 首 先 会 在 远 程 系 统 中 进 行 自 我 复 制 。 如 果 你 设 置 了 参 数 $ { T A R G E T _ H O S T } ， 那 么 脚 本 将 使 用 以 下 命 令 将 镜 像 下 载 到 分 析 系 统 中 注 意 ： p v 的 使 用 可 以 帮 助 我 们 跟 踪 进 度 。 五 、 生 成 五 、 生 成 H T M L 报 告 报 告 我 们 所 有 的 操 作 记 录 以 及 分 析 结 果 都 将 存 储 在 一 个 文 本 文 件 中 ， 因 此 我 们 可 以 轻 松 返 回 并 查 看 输 出 。 这 样 做 的 好 处 是 ， 我 们 可 以 将 它 上 传 到 任 何 一 个 日 志 分 析 工 具 中 ， 并 在 后 期 加 以 解 析 。 除 此 之 外 ， 我 们 还 可 以 使 用 该 函 数 来 生 成 H T M L 格 式 的 分 析 报 告 ， 并 以 可 读 性 更 高 的 形 式 查 看 工 具 生 成 的 事 件 响 应 结 果 。 项 目 地 址 项 目 地 址 T u x R e s p o n s e ： h t t p s : / / g i t h u b . c o m / l a 3 a r 0 v / T u x R e s p o n s e * 参 考 来 源 ： 参 考 来 源 ： l a 3 a r 0 v ， ， F B 小 编 小 编 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐 ' c a t   ~ / . b a s h _ h i s t o r y   |   n l ' ： 检 查 B a s h 历 史 文 件 ' l i s t _ a l l _ c r o n t a b ' ： 枚 举 所 有 的 C r o n 任 务         ' l i s t _ a l l _ o n s t a r t u p ' ： 枚 举 所 有 的 自 启 动 程 序 ' c a t _ a l l _ b a s h _ h i s t o r y ' ： 导 出 用 户 的 . b a s h _ h i s t o r y         ' g r e p   [ [ : c n t r l : ] ]   / v a r / l o g / * . l o g ' ： 查 找 日 志 ' d d   i f = $ { i m a g e _ i n } p v   |   d d   o f = ' $ { i m a g e _ O U T } ' b s = 4 K   c o n v = n o e r r o r ， s y n c ' > > “ s s h - p $ { T A R G E T _ P O R T } $ { T A R G E T _ U S E R } @ $ { T A R G E T _ H O S T } ” d d   i f = $ { i m a g e _ I N } b s = 4 K   c o n v = n o e r r o r ， s y n c ' { p v | d d   o f = ' $ { i m a g e _ O U T } '
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理