搜索

[21593] 2021-01-13_Windows主机入侵痕迹排查办法

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2021-01-13_Windows主机入侵痕迹排查办法 W i n d o w s 主 机 入 侵 痕 迹 排 查 办 法 L e m o n S e c   2 0 2 1 - 0 1 - 1 3 一 、 一 、 排 查 思 路 排 查 思 路 在 攻 防 演 练 保 障 期 间 ， 一 线 工 程 师 在 实 施 主 机 入 侵 痕 迹 排 查 服 务 时 可 能 面 临 时 间 紧 、 任 务 急 、 需 要 排 查 的 主 机 数 量 众 多 情 况 。 为 了 确 保 实 施 人 员 在 有 限 的 时 间 范 围 内 ， 可 以 高 效 且 保 证 质 量 的 前 提 下 完 成 主 机 入 侵 痕 迹 排 查 工 作 ， 本 人 总 结 了 自 己 的 一 些 经 验 ， 下 面 的 内 容 特 此 分 享 主 机 入 侵 痕 迹 排 查 服 务 中 重 点 、 关 键 的 排 查 项 ， 仅 作 为 参 考 使 用 。 1 . 1 初 步 筛 选 排 查 资 产 初 步 筛 选 排 查 资 产 一 般 情 况 下 ， 客 户 资 产 都 比 较 多 ， 想 要 对 所 有 的 资 产 主 机 进 行 入 侵 痕 迹 排 查 基 本 不 太 现 实 ， 等 你 全 部 都 排 查 完 了 ， 攻 击 者 该 做 的 事 早 就 做 完 了 ， 想 要 的 目 的 也 早 就 达 到 了 。 那 么 针 对 客 户 资 产 量 大 的 情 况 ， 我 们 应 该 怎 么 处 理 ？ 首 先 ， 在 排 查 前 ， 作 为 项 目 经 理 ， 应 该 与 客 户 沟 通 好 ， 取 得 授 权 ， 确 认 排 查 范 围 和 排 查 方 案 和 办 法 ， 客 户 若 是 没 有 授 意 或 者 同 意 ， 那 么 下 面 的 操 作 都 是 违 规 操 作 ， 甚 至 有 的 还 违 法 。 取 得 客 户 同 意 后 ， 我 们 再 从 资 产 面 临 的 风 险 等 级 、 资 产 的 重 要 程 度 、 攻 击 者 的 攻 击 思 路 、 手 法 及 目 标 选 择 倾 向 几 个 方 面 去 初 步 筛 选 出 排 查 资 产 。 这 里 建 议 从 以 下 资 产 范 围 选 取 ： ① 曾 失 陷 资 产 ： 在 以 前 的 红 蓝 对 抗 、 攻 防 演 练 、 或 者 真 实 的 黑 客 攻 击 事 件 中 被 攻 陷 的 主 机 ， 曾 失 陷 资 产 应 作 为 排 查 的 重 点 对 象 。 ② 互 联 网 暴 露 脆 弱 资 产 ： 从 互 联 网 暴 露 资 产 中 筛 选 出 使 用 了 高 危 漏 洞 频 发 的 组 件 / 应 用 （ 组 件 如 W e b l o g i c 、 J B o s s 、 F a s t j s o n 、 S h i r o 、 S t r u t s 2 等 ） 。 还 有 一 个 点 需 要 注 意 ， 就 是 客 户 是 否 具 有 有 效 的 资 产 管 理 ， 是 否 能 够 清 晰 明 确 识 别 出 哪 些 资 产 用 了 什 么 组 件 ， 如 果 不 能 的 话 ， 只 能 通 过 之 前 的 渗 透 测 试 结 果 来 筛 选 出 脆 弱 资 产 。 ③ 关 键 资 产 ： 如 域 控 等 可 以 导 致 大 量 主 机 失 陷 的 集 权 类 资 产 。 1 . 2 确 定 排 查 资 产 确 定 排 查 资 产 主 机 入 侵 痕 迹 排 查 工 作 建 议 在 一 周 内 对 数 量 控 制 在 2 0 台 以 内 的 主 机 进 行 排 查 。 经 过 初 步 筛 选 的 资 产 数 量 如 果 远 远 大 于 2 0 台 主 机 ， 需 要 从 资 产 里 面 进 行 二 次 筛 选 ， 如 果 存 在 曾 失 陷 资 产 ， 排 查 主 机 范 围 可 以 定 为 曾 失 陷 资 产 ； 如 果 不 存 在 曾 失 陷 资 产 ， 排 查 主 机 范 围 可 以 定 为 脆 弱 资 产 ， 具 体 可 以 根 据 客 户 自 身 实 际 情 况 调 整 。 需 要 注 意 是 ， 如 果 排 查 资 产 中 包 含 曾 失 陷 资 产 的 话 ， 需 要 向 客 户 索 要 历 史 攻 防 演 练 / 应 急 等 报 告 ， 在 排 查 时 需 结 合 历 史 报 告 和 指 导 手 册 内 容 一 起 进 行 排 查 ， 需 要 特 别 留 意 历 史 报 告 中 攻 击 者 的 入 侵 痕 迹 是 否 已 经 完 全 清 理 。 1 . 3 入 侵 痕 迹 排 查 入 侵 痕 迹 排 查 在 实 际 情 况 下 ， 攻 击 者 在 进 行 攻 击 时 使 用 的 攻 击 手 法 、 攻 击 思 路 、 行 为 等 各 有 差 异 ， 无 论 是 考 虑 实 现 成 本 还 是 效 率 问 题 ， 都 难 以 通 过 很 精 细 很 全 面 的 排 查 项 去 实 施 主 机 入 侵 痕 迹 排 查 ， 但 是 我 们 可 以 从 攻 击 中 可 能 会 产 生 的 一 些 比 较 共 性 的 行 为 特 征 、 关 键 的 项 进 行 排 查 。
对 于 主 机 的 入 侵 痕 迹 排 查 ， 主 要 从 网 络 连 接 、 进 程 信 息 、 后 门 账 号 、 计 划 任 务 、 登 录 日 志 、 自 启 动 项 、 文 件 等 方 面 进 行 排 查 。 比 如 ， 如 果 存 在 存 活 后 门 ， 主 机 可 能 会 向 C 2 发 起 网 络 连 接 ， 因 此 可 以 从 网 络 连 接 排 查 入 手 ， 如 果 存 在 异 常 的 网 络 连 接 ， 则 必 然 说 明 存 在 恶 意 的 进 程 正 在 运 行 ， 则 可 以 通 过 网 络 连 接 定 位 到 对 应 进 程 ， 再 根 据 进 程 定 位 到 恶 意 文 件 。 如 果 攻 击 者 企 图 维 持 主 机 控 制 权 限 的 话 ， 则 可 能 会 通 过 添 加 后 门 账 号 、 修 改 自 启 动 项 ， 或 者 添 加 计 划 任 务 等 方 式 来 维 持 权 限 ， 对 应 的 我 们 可 以 通 过 排 查 账 号 、 自 启 动 项 、 计 划 任 务 来 发 现 相 应 的 入 侵 痕 迹 。 二 、 二 、 排 查 内 容 排 查 内 容 2 . 1 w i n d o w s 主 机 主 机 攻 击 者 一 般 使 用   a t t r i b   < 程 序 >   + s   + h   命 令 隐 藏 恶 意 程 序 ， 故 在 排 查 痕 迹 前 需 打 开 “ 工 具 — 文 件 夹 选 项 — 查 看 ” 。 按 照 下 图 中 的 设 置 ， 即 可 显 示 所 有 文 件 。
2 . 1 . 1 网 络 连 接 网 络 连 接 排 查 步 骤 : 在 C M D 中 执 行   n e t s t a t   - a n o   查 看 目 前 的 网 络 连 接 。
这 种 情 况 一 般 都 比 较 正 常 ， 只 有 8 0 和 4 4 3 端 口 ， 一 般 都 是 正 常 业 务 开 放 端 口 。 分 析 方 法 ： 分 析 方 法 ： 如 果 网 络 连 接 出 现 以 下 情 况 ， 则 当 前 主 机 可 能 已 经 失 陷 ： 1 、 主 机 存 在 对 内 网 网 段 大 量 主 机 的 某 些 端 口 （ 常 见 如 2 2 ， 4 4 5 ， 3 3 8 9 ， 6 3 7 9 等 端 口 ） 或 者 全 端 口 发 起 网 络 连 接 尝 试 ， 这 种 情 况 一 般 是 当 前 主 机 被 攻 击 者 当 作 跳 板 机 对 内 网 实 施 端 口 扫 描 或 者 口 令 暴 力 破 解 等 攻 击 。 2 、 主 机 和 外 网 I P 已 经 建 立 连 接 （ E S T A B L I S H E D 状 态 ） 或 者 尝 试 建 立 连 接 （ S Y N _ S E N T 状 态 ） ， 可 以 先 查 询 I P 所 属 地 ， 如 果 I P 为 国 外 I P 或 者 归 属 各 种 云 厂 商 ， 则 需 要 重 点 关 注 。 进 一 步 可 以 通 过 威 胁 情 报 （ h t t p s : / / x . t h r e a t b o o k . c n / 等 ） 查 询 I P 是 否 已 经 被 标 注 为 恶 意 I P 。
3 、 如 果 无 法 直 接 从 网 络 连 接 情 况 判 断 是 否 为 异 常 连 接 ， 可 以 根 据 网 络 连 接 找 到 对 应 的 进 程 I D ， 判 断 进 程 是 否 异 常 。 如 果 不 能 从 进 程 判 断 ， 可 以 进 一 步 找 到 进 程 对 应 文 件 ， 将 对 应 文 件 上 传 至 v i r u s t o t a l （ h t t p s : / / w w w . v i r u s t o t a l . c o m ） 进 行 检 测 。 如 上 面 截 图 中 对 内 网 扫 描 的 进 程 I D 是 2 1 4 4 ， 在 任 务 管 理 器 中 发 现 对 应 的 文 件 是 s v c h o s t . e x e 。 上 传 至 v i r u s t o t a l 检 测 的 结 果 为 恶 意 文 件 。 若 在 排 查 网 络 连 接 中 ， 任 务 管 理 器 只 能 看 到 有 命 令 行 工 具 （ 如 p o w e r s h e l l 、 c m d ） p o w e r s h e l l 进 程 与 外 联 I P 建 立 会 话 ， 无 法 看 到 进 程 对 应 的 运 行 参 数 。 此 时 可 借 助 P r o c e s s   E x p l o r e r 进 一 步 观 察 p o w e r s h e l l 的 运 行 参 数 。 如 下 在 P r o c e s s E x p l o r e r 中 发 现 p o w e r s h e l l 执 行 了 c o b a l t   s t r i k e 脚 本 的 痕 迹 。
2 . 1 . 2 敏 感 目 录 敏 感 目 录 排 查 步 骤 ： 排 查 步 骤 ： 查 看 攻 击 方 常 喜 欢 上 传 的 目 录 是 否 有 可 疑 文 件 。 分 析 方 法 ： 分 析 方 法 ： 1 、 各 个 盘 符 下 的 临 时 目 录 ， 如 C : T E M P 、 C : W i n d o w s T e m p 等 。 2 、 % A P P D A T A % ， 在 文 件 夹 窗 口 地 址 栏 输 入 % A P P D A T A % ， 回 车 即 可 打 开 当 前 用 户 的 a p p d a t a 目 录 。
如 A d m i n i s t r a t o r 用 户 对 应 的 % A P P D A T A % 目 录 C : U s e r s A d m i n i s t r a t o r A p p D a t a R o a m i n g 。 可 以 按 照 修 改 日 期 排 序 筛 选 出 比 较 临 近 时 间 有 变 更 的 文 件 。 3 、 浏 览 器 的 下 载 目 录 4 、 用 户 最 近 文 件 % U s e r P r o f i l e % R e c e n t ， 如 A d m i n i s t r a t o r 对 应 的 目 录 为 C : U s e r s A d m i n i s t r a t o r R e c e n t 5 、 回 收 站 ， 如 C 盘 下 回 收 站 C : $ R e c y c l e . B i n 对 于 脚 本 文 件 可 直 接 查 看 内 容 判 定 是 否 为 恶 意 ， 若 是 遇 到 e x e 可 执 行 文 件 ， 可 将 对 应 文 件 上 传 至 v i r u s t o t a l （ h t t p s : / / w w w . v i r u s t o t a l . c o m ） 进 行 检 测 。
2 . 1 . 3 后 门 文 件 后 门 文 件 排 查 步 骤 ： 排 查 步 骤 ： 查 看 粘 滞 键 e x e ； 查 看 注 册 表 中 映 像 的 键 值 。 分 析 方 法 ： 分 析 方 法 ： 1 、 查 看 粘 滞 键 e x e 查 看 C : W i n d o w s S y s t e m 3 2 下 的 s e t h c . e x e 文 件 的 创 建 、 修 改 时 间 是 否 正 常 ， 如 下 图 ， 一 般 情 况 下 ， 系 统 文 件 的 创 建 时 间 与 修 改 时 间 应 相 同 ， s e t h c 的 创 建 时 间 与 修 改 时 间 不 同 ， 可 确 定 s e t h c 已 被 替 换 成 后 门 文 件 。 由 于 攻 击 者 可 修 改 文 件 时 间 ， 上 述 简 单 粗 暴 的 判 断 方 式 可 能 不 靠 谱 ， 可 将 s e t h c 拷 贝 出 来 、 上 传 至 V T 检 测 危 害 。 2 、 查 看 注 册 表 中 映 像 的 键 值 检 查 注 册 表 “ H K E Y _ L O C A L _ M A C H I N E S O F T W A R E M i c r o s o f t W i n d o w s   N T C u r r e n t V e r s i o n I m a g e   F i l e E x e c u t i o n   O p t i o n s ” 下 所 有 e x e 项 中 是 否 有 d e b u g g e r 键 ， 若 有 d e b u g g e r 键 ， 将 其 键 值 对 应 的 程 序 上 传 至 V T 检 测 。 如 下 图 ， 攻 击 者 利 用 该 映 像 劫 持 的 攻 击 者 方 式 ， 在 s e t h c . e x e 项 中 新 建 d e b u g g e r 键 值 指 向 a r t i f a c t . e x e ， 攻 击 效 果 为 当 连 续 按 5 下 s h i f t 键 后 ， 不 会 执 行 s e t h c . e x e ， 而 是 转 而 执 行 劫 持 后 的 a r t i f a c t . e x e 文 件 。 于 是 在 排 查 中 发 现 有 d e b u g g e r 键 值 ， 均 可
认 为 指 定 的 文 件 为 后 门 文 件 ， 待 上 传 V T 后 确 认 其 危 害 。 这 里 没 有 d e b u g g e r 键 ， 下 面 的 图 是 有 的 :
2 . 1 . 4 后 门 账 号 后 门 账 号 排 查 步 骤 ： 排 查 步 骤 ： 打 开 r e g e d i t 查 看 注 册 表 中 的 账 号 ； 查 看 a d m i n i s t r a t o r s 组 中 是 否 存 在 赋 权 异 常 的 账 号 。 分 析 方 法 ： 分 析 方 法 ： 查 看 注 册 表 中 H K L M S A M S A M D o m a i n s A c c o u n t U s e r s N a m e s 中 是 否 有 多 余 的 账 号 （ 可 询 问 客 户 运 维 人 员 以 确 定 账 号 存 在 的 必 要 性 ） 。 正 常 情 况 下 ， 上 述 路 径 的 S A M 权 限 仅 s y s t e m 用 户 可 查 看 ， 需 要 给 a d m i n i s t r a t o r 用 户 授 权 才 能 打 开 完 整 路 径 。 对 S A M 右 键 、 给 a d m i n i s t a t o r 用 户 添 加 完 全 控 制 权 限 （ 下 图 的 权 限 操 作 方 法 适 用 于 w i n 7 及 以 上 操 作 系 统 ） ： w i n 2 0 0 3 、 X P 等 低 版 本 系 统 的 操 作 方 法 请 使 用 下 图 的 流 程 给 a d m i n i s t r a t o r s 组 添 加 权 限 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理