搜索

[16400] 2021-02-04_记一次Windows下的应急过程

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2021-02-04_记一次Windows下的应急过程 记 一 次 W i n d o w s 下 的 应 急 过 程 c M F c   F r e e B u f   2 0 2 1 - 0 2 - 0 4 一 、 概 述 一 、 概 述 在 一 个 夜 黑 风 高 的 夜 晚 ， 正 在 酣 眠 突 然 手 机 响 起 ， 电 话 那 头 传 来 了 同 事 焦 急 的 声 音 。 某 用 户 服 务 器 被 入 侵 了 ， 需 要 进 行 调 查 取 证 ， 但 是 关 键 数 据 已 经 被 运 维 人 员 删 除 ， 需 要 我 们 协 助 处 理 一 下 … … 作 为 一 个 经 验 的 （ 上 了 年 纪 的 ） 安 服 工 程 师 ， 接 到 这 个 电 话 后 就 在 也 睡 不 着 了 ， 数 据 被 删 除 了 ， 明 天 我 去 现 场 能 干 什 么 ？ 带 着 这 个 问 题 我 翻 开 了 被 尘 封 在 角 落 里 N 年 的 一 遍 关 于 数 据 恢 复 的 书 《 数 据 恢 复 技 术 深 度 揭 秘 》 ， 已 知 条 件 为 ： 目 的 服 务 器 是 W i n d o w s   S e r v e r 2 0 0 8   被 删 除 文 件 名 为 ： s h e l l . j s p 带 着 这 几 个 问 题 ， 重 点 看 了 w i n d o w s 系 统 相 关 书 数 据 恢 复 内 容 如 G P T 磁 盘 分 区 等 。 以 上 内 容 并 非 工 作 需 要 或 者 想 真 正 获 取 到 什 么 东 西 ， 而 是 为 了 自 己 在 没 有 找 到 任 何 线 索 的 时 候 能 够 给 出 一 个 专 业 的 答 复 而 准 备 的 答 案 （ 换 句 话 说 其 实 就 是 吹 牛 先 打 下 的 草 稿 ） 二 、 检 查 二 、 检 查 到 了 现 场 发 现 基 本 确 定 了 下 面 几 条 信 息 ： 1 .   公 网 某 个 系 统 存 在 s t r u t s 2 漏 洞 ， 且 漏 洞 监 控 人 员 发 现 已 经 有 人 对 该 漏 洞 进 行 利 用 ， 上 传 了 名 为 s h e l l 1 . j s p 的 后 门 文 件 。 2 .   通 报 的 后 门 文 件 已 被 运 维 人 员 删 除 （ 在 接 到 通 报 后 的 第 一 时 间 被 运 维 人 员 删 除 ） 3 .   由 于 内 部 原 因 必 须 找 到 被 删 除 的 后 门 文 件 = = = = = = = = = = = = = = = = = = 分 割 线 = = = = = = = = = = = = = = = 在 这 里 我 思 考 的 第 一 个 问 题 是 ， 监 控 人 员 可 以 通 过 一 个 S t r u t s 漏 洞 就 可 以 发 现 攻 击 者 上 传 的 后 门 ？ 而 且 还 提 供 了 连 接 的 截 图 。 。 闪 过 这 个 念 头 我 得 出 的 第 一 个 想 法 是 系 统 应 该 不 止 一 个 后 门 ， 因 为 运 维 人 员 在 进 行 恶 意 文 件 删 除 的 时 候 肯 定 只 是 删 除 的 通 知 中 给 出 的 文 件 。 相 对 此 处 ， 便 拿 出 万 能 的 D 盾 ， 先 扫 一 波 ， 由 于 当 时 开 发 运 维 不 再 现 场 ， 应 用 目 录 用 户 无 法 确 定 ， 因 此 我 就 指 定 整 个 D 盘 为 扫 描 对 象 ， 结 果 确 让 人 意 外 ， 可 疑 文 件 找 到 很 多 ， 后 门 文 件 找 到 两 个 ， 其 中 一 个 是 已 经 被 开 发 人 员 删 除 了 的 文 件 ， 临 时 保 存 在 回 收 站 。
查 看 s h e l l 后 门 文 件 后 发 现 基 本 都 是 一 些 种 后 门 的 操 作 ， 部 分 内 容 如 下 ： 查 看 对 应 的 后 门 文 件 路 径 后 果 然 发 现 s t . e x e 后 门 文 件
通 过 在 线 沙 箱 分 析 s t 后 门 结 果 如 下 ： 程 序 回 连 地 址 如 下 ： 基 本 可 以 确 定 目 标 站 点 是 一 台 僵 尸 主 机 。 文 件 内 容 如 下 ：
文 件 丢 入 沙 箱 分 析 结 果 如 下 ：
程 序 使 用 地 址 如 下 ： 矿 池 地 址 如 下 ： 完 全 确 定 服 务 器 沦 陷 ， 且 被 人 种 下 挖 矿 程 序 。 在 服 务 器 端 查 找 对 应 内 容 如 下 ：
攻 击 者 在 服 务 建 立 用 户 服 务 器 系 统 目 录 下 发 现 子 系 统 文 件 夹 ， 且 目 录 下 众 多 恶 意 文 件 不 在 一 一 分 析 。 服 务 排 查 过 程 中 发 现 系 统 服 务 中 已 存 在 挖 矿 软 件 启 用 服 务
分 析 过 程 中 发 现 一 个 值 得 思 考 的 问 题 ：
如 果 不 良 攻 击 者 使 用 了 你 编 写 的 w e b s h e l l 攻 击 了 服 务 器 ， 对 方 报 警 后 通 过 w e b s h e l l 备 注 的 作 者 信 息 溯 源 到 了 你 ， 你 是 否 承 担 责 任 呢 ？ P S ： 1 .   历 史 事 件 ， 图 片 来 自 文 档 因 此 有 一 些 不 清 楚 多 见 谅 吧 。 2 .   文 中 的 部 分 细 节 如 果 想 讨 论 可 以 留 言 3 .   希 望 大 佬 能 够 提 出 改 善 建 议 。 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理