搜索

[12] 2019-11-15_记数据库应急响应

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-15
2019-11-15_记数据库应急响应 记 数 据 库 应 急 响 应 原 创   秦 萧   5 1 3 安 全 实 验 室   2 0 1 9 - 1 1 - 1 5 事 件 描 述     接 到 通 知 ， 某 客 户 数 据 库 服 务 器 遭 到 黑 客 入 侵 ， 需 要 做 应 急 处 理 。 服 务 器 位 于 某 运 营 商 机 房 内 。 自 己 之 前 做 的 基 本 上 是 w e b 和 系 统 方 面 的 应 急 响 应 ， 数 据 库 应 急 响 应 也 是 第 一 次 接 触 。 事 前 准 备     事 先 通 过 搜 索 客 户 i p 信 息 ， 发 现 在 1 0 月 份 被 某 高 校 列 入 攻 击 黑 名 单 ， 攻 击 端 口 为 1 4 3 3 。 进 一 步 跟 踪 发 现 ， 服 务 器 在 几 个 月 前 就 可 能 已 经 被 入 侵 。 开 始 排 查
    通 过 远 程 连 接 到 服 务 器 ， 首 先 查 看 下 服 务 器 的 基 本 情 况 查 看 日 志 记 录 并 未 异 常 情 况 查 看 端 口 发 现 存 在 大 量 外 连 1 4 3 3 端 口 （ 由 于 c m d 程 序 报 错 异 常 ， 所 以 使 用 p o w e r s h e l l 进 行 查 看 ）
服 务 器 上 安 装 了 杀 毒 软 件 ， 此 时 发 现 杀 毒 软 件 报 毒 信 息 ， 进 一 步 查 看 所 在 路 径 但 并 未 发 现 存 在 此 文 件 。 查 看 系 统 关 键 路 径 发 现 存 在 两 个 后 缀 名 为 d v r 的 可 疑 文 件
继 续 查 看 系 统 关 键 路 径 ， 发 现 w b e m 目 录 下 存 在 可 疑 的 文 件 1 2 3 . b a t
查 看 文 件 内 容 ， 发 现 存 在 创 建 文 件 行 为 ， 并 通 过 r e s g s v r 3 2 注 册 d l l 文 件 数 据 库 方 面 ， 客 户 告 知 数 据 库 被 植 入 后 门 账 号 ， 找 到 后 门 账 号 d b h e l p
通 过 排 查 ， 发 现 存 在 另 一 个 可 疑 后 门 账 号 m s s q l a 通 过 查 看 数 据 库 日 志 ， 发 现 存 在 被 爆 破 的 痕 迹
查 看 数 据 库 作 业 发 现 存 在 大 量 任 务 计 划
具 体 操 作 内 容
通 过 查 阅 网 上 相 关 技 术 资 料 和 文 章 ， 结 合 客 户 描 述 的 开 机 C P U 占 用 率 1 0 0 % ， 基 本 确 定 与 挖 矿 有 关 。 总 结   最 后 通 过 和 管 理 员 沟 通 发 现 ， 根 本 原 因 是 由 于 数 据 库 弱 口 令 被 黑 客 爆 破 。 所 以 在 这 里 提 醒 广 大 管 理 员 不 要 设 置 弱 口 令 ！ ！ ！ 不 要 为 了 给 自 己 提 供 一 时 方 便 ， 也 给 黑 客 提 供 了 机 会 ， 给 自 己 以 后 的 工 作 造 成 麻 烦 。 记 得 上 次 p h p s t u d y 后 门 应 急 响 应 ， 我 提 醒 开 发 人 员 生 产 环 境 要 用 安 全 的 中 间 件 ， 结 果 他 问 我 最 新 版 的 p h p s t u d y 可 不 可 以 。 。 。 只 能 说 图 一 时 方 便 ， 只 能 会 花 更 多 时 间 填 坑 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理