搜索

[870] 2018-07-18_【应急响应】windows入侵排查思路

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-16
2018-07-18_【应急响应】windows入侵排查思路 【 应 急 响 应 】 w i n d o w s 入 侵 排 查 思 路 原 创   B y p a s s   B y p a s s   2 0 1 8 - 0 7 - 1 8 收 录 于 话 题   # 应 急 响 应 实 战 笔 记   , 1 5 个 0 x 0 0   前 言 前 言                 当 企 业 发 生 黑 客 入 侵 、 系 统 崩 溃 或 其 它 影 响 业 务 正 常 运 行 的 安 全 事 件 时 ， 急 需 第 一 时 间 进 行 处 理 ， 使 企 业 的 网 络 信 息 系 统 在 最 短 时 间 内 恢 复 正 常 工 作 ， 进 一 步 查 找 入 侵 来 源 ， 还 原 入 侵 事 故 过 程 ， 同 时 给 出 解 决 方 案 与 防 范 措 施 ， 为 企 业 挽 回 或 减 少 经 济 损 失 。     常 见 的 应 急 响 应 事 件 分 类 ： w e b 入 侵 ： 网 页 挂 马 、 主 页 篡 改 、 W e b s h e l l 系 统 入 侵 ： 病 毒 木 马 、 勒 索 软 件 、 远 控 后 门 网 络 攻 击 ： D D O S 攻 击 、 D N S 劫 持 、 A R P 欺 骗 针 对 常 见 的 攻 击 事 件 ， 结 合 工 作 中 应 急 响 应 事 件 分 析 和 解 决 的 方 法 ， 总 结 了 一 些 W i n d o w 服 务 器 入 侵 排 查 的 思 路 。 0 x 0 1   入 侵 排 查 思 路 入 侵 排 查 思 路 一 、 检 查 系 统 账 号 安 全 1 、 查 看 服 务 器 是 否 有 弱 口 令 ， 远 程 管 理 端 口 是 否 对 公 网 开 放 。 检 查 方 法 ： 据 实 际 情 况 咨 询 相 关 服 务 器 管 理 员 。 2 、 查 看 服 务 器 是 否 存 在 可 疑 账 号 、 新 增 账 号 。 检 查 方 法 ： 打 开   c m d   窗 口 ， 输 入 命 令 ， 查 看 是 否 有 新 增 / 可 疑 的 账 号 ， 如 有 管 理 员 群 组 的 （ A d m i n i s t r a t o r s ） 里 的 新 增 账 户 ， 如 有 ， 请 立 即 禁 用 或 删 除 掉 。 3 、 查 看 服 务 器 是 否 存 在 隐 藏 账 号 、 克 隆 账 号 。 检 查 方 法 ： a 、 打 开 注 册 表   ， 查 看 管 理 员 对 应 键 值 。 b 、 使 用 D 盾 _ w e b 查 杀 工 具 ， 集 成 了 对 克 隆 账 号 检 测 的 功 能 。 4 、 结 合 日 志 ， 查 看 管 理 员 登 录 时 间 、 用 户 名 是 否 存 在 异 常 。 检 查 方 法 ： a 、 W i n + R 打 开 运 行 ， 输 入 “ e v e n t v w r . m s c ” ， 回 车 运 行 ， 打 开 “ 事 件 查 看 器 ” 。 b 、 导 出 W i n d o w s 日 志 - - 安 全 ， 利 用 L o g   P a r s e r 进 行 分 析 。 l u s r m g r . m s c
二 、 检 查 异 常 端 口 、 进 程 1 、 检 查 端 口 连 接 情 况 ， 是 否 有 远 程 连 接 、 可 疑 连 接 。 检 查 方 法 ： a 、 n e t s t a t   - a n o   查 看 目 前 的 网 络 连 接 ， 定 位 可 疑 的 E S T A B L I S H E D b 、 根 据 n e t s t a t   定 位 出 的 p i d ， 再 通 过 t a s k l i s t 命 令 进 行 进 程 定 位   t a s k l i s t     |   f i n d s t r   “ P I D ” 2 、 进 程 检 查 方 法 ： a 、 开 始 - - 运 行 - - 输 入 m s i n f o 3 2 ， 依 次 点 击 “ 软 件 环 境 → 正 在 运 行 任 务 ” 就 可 以 查 看 到 进 程 的 详 细 信 息 ， 比 如 进 程 路 径 、 进 程 I D 、 文 件 创 建 日 期 、 启 动 时 间 等 。 b 、 打 开 D 盾 _ w e b 查 杀 工 具 ， 进 程 查 看 ， 关 注 没 有 签 名 信 息 的 进 程 。 c 、 通 过 微 软 官 方 提 供 的   P r o c e s s   E x p l o r e r   等 工 具 进 行 排 查   。 d 、 查 看 可 疑 的 进 程 及 其 子 进 程 。 可 以 通 过 观 察 以 下 内 容 ：                                 没 有 签 名 验 证 信 息 的 进 程                                 没 有 描 述 信 息 的 进 程                                 进 程 的 属 主                                 进 程 的 路 径 是 否 合 法                                 C P U 或 内 存 资 源 占 用 长 时 间 过 高 的 进 程 3 、 小 技 巧 ：
  a 、 查 看 端 口 对 应 的 P I D ：   n e t s t a t   - a n o   |   f i n d s t r   “ p o r t ”   b 、 查 看 进 程 对 应 的 P I D ： 任 务 管 理 器 - - 查 看 - - 选 择 列 - - P I D   或 者     t a s k l i s t     |   f i n d s t r   “ P I D ”   c 、 查 看 进 程 对 应 的 程 序 位 置 ：     任 务 管 理 器 - - 选 择 对 应 进 程 - - 右 键 打 开 文 件 位 置     运 行 输 入   w m i c ， c m d 界 面   输 入     p r o c e s s   d 、 t a s k l i s t   / s v c       进 程 - - P I D - - 服 务   e 、 查 看 W i n d o w s 服 务 所 对 应 的 端 口 ：     % s y s t e m % / s y s t e m 3 2 / d r i v e r s / e t c / s e r v i c e s （ 一 般 % s y s t e m % 就 是 C : W i n d o w s ） 三 、 检 查 启 动 项 、 计 划 任 务 、 服 务         1 、 检 查 服 务 器 是 否 有 异 常 的 启 动 项 。 检 查 方 法 ：                         a 、 登 录 服 务 器 ， 单 击 【 开 始 】 > 【 所 有 程 序 】 > 【 启 动 】 ， 默 认 情 况 下 此 目 录 在 是 一 个 空 目 录 ， 确 认 是 否 有 非 业 务 程 序 在 该 目 录 下 。                         b 、 单 击 开 始 菜 单   > 【 运 行 】 ， 输 入   m s c o n f i g ， 查 看 是 否 存 在 命 名 异 常 的 启 动 项 目 ， 是 则 取 消 勾 选 命 名 异 常 的 启 动 项 目 ， 并 到 命 令 中 显 示 的 路 径 删 除 文 件 。                         c 、 单 击 【 开 始 】 > 【 运 行 】 ， 输 入   r e g e d i t ， 打 开 注 册 表 ， 查 看 开 机 启 动 项 是 否 正 常 ， 特 别 注 意 如 下 三 个 注 册 表 项 ： 检 查 右 侧 是 否 有 启 动 异 常 的 项 目 ， 如 有 请 删 除 ， 并 建 议 安 装 杀 毒 软 件 进 行 病 毒 查 杀 ， 清 除 残 留 病 毒 或 木 马 。                         d 、 利 用 安 全 软 件 查 看 启 动 项 、 开 机 时 间 管 理 等 。                         e 、 组 策 略 ， 运 行 g p e d i t . m s c 。 H K E Y _ C U R R E N T _ U S E R s o f t w a r e m i c o r s o f t w i n d o w s c u r r e n t v e r s i o n r u n H K E Y _ L O C A L _ M A C H I N E S o f t w a r e M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n R u n H K E Y _ L O C A L _ M A C H I N E S o f t w a r e M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n R u n o n c e
        2 、 检 查 计 划 任 务 检 查 方 法 ：                         a 、 单 击 【 开 始 】 > 【 设 置 】 > 【 控 制 面 板 】 > 【 任 务 计 划 】 ， 查 看 计 划 任 务 属 性 ， 便 可 以 发 现 木 马 文 件 的 路 径 。                         b 、 单 击 【 开 始 】 > 【 运 行 】 ； 输 入   c m d ， 然 后 输 入 a t ， 检 查 计 算 机 与 网 络 上 的 其 它 计 算 机 之 间 的 会 话 或 计 划 任 务 ， 如 有 ， 则 确 认 是 否 为 正 常 连 接 。         3 、 服 务 自 启 动 检 查 方 法 ： 单 击 【 开 始 】 > 【 运 行 】 ， 输 入 s e r v i c e s . m s c ， 注 意 服 务 状 态 和 启 动 类 型 ， 检 查 是 否 有 异 常 服 务 。 四 、 检 查 系 统 相 关 信 息 1 、 查 看 系 统 版 本 以 及 补 丁 信 息 检 查 方 法 ： 单 击 【 开 始 】 > 【 运 行 】 ， 输 入 s y s t e m i n f o ， 查 看 系 统 信 息 2 、 查 找 可 疑 目 录 及 文 件 检 查 方 法 ： a 、   查 看 用 户 目 录 ， 新 建 账 号 会 在 这 个 目 录 生 成 一 个 用 户 目 录 ， 查 看 是 否 有 新 建 用 户 目 录 。 W i n d o w   2 0 0 3     C : D o c u m e n t s   a n d   S e t t i n g s W i n d o w   2 0 0 8 R 2     C : U s e r s b 、 单 击 【 开 始 】 > 【 运 行 】 ， 输 入 % U s e r P r o f i l e % R e c e n t ， 分 析 最 近 打 开 分 析 可 疑 文 件 。 c 、 在 服 务 器 各 个 目 录 ， 可 根 据 文 件 夹 内 文 件 列 表 时 间 进 行 排 序 ， 查 找 可 疑 文 件 。 五 、 自 动 化 查 杀 1 、 病 毒 查 杀 检 查 方 法 ： 下 载 安 全 软 件 ， 更 新 最 新 病 毒 库 ， 进 行 全 盘 扫 描 。 2 、 w e b s h e l l 查 杀 检 查 方 法 ： 选 择 具 体 站 点 路 径 进 行 w e b s h e l l 查 杀 ， 建 议 使 用 两 款 w e b s h e l l 查 杀 工 具 同 时 查 杀 ， 可 相 互 补 充 规 则 库 的 不 足 。 六 、 日 志 分 析 1 、 系 统 日 志 分 析 方 法 ： a 、 前 提 ： 开 启 审 核 策 略 ， 若 日 后 系 统 出 现 故 障 、 安 全 事 故 则 可 以 查 看 系 统 的 日 志 文 件 ， 排 除 故 障 ， 追 查 入 侵 者 的 信 息 等 。 b 、 W i n + R 打 开 运 行 ， 输 入 “ e v e n t v w r . m s c ” ， 回 车 运 行 ， 打 开 “ 事 件 查 看 器 ” 。 C 、 导 出 应 用 程 序 日 志 、 安 全 日 志 、 系 统 日 志 ， 利 用 L o g   P a r s e r 进 行 分 析 。 2 、 W E B 访 问 日 志 分 析 方 法 ： a 、 找 到 中 间 件 的 w e b 日 志 ， 打 包 到 本 地 方 便 进 行 分 析 。 b 、 推 荐 工 具 ： W i n d o w 下 ， 推 荐 用   E m E d i t o r   进 行 日 志 分 析 ， 支 持 大 文 本 ， 搜 索 效 率 还 不 错 。   L i n u x 下 ， 使 用 S h e l l 命 令 组 合 查 询 分 析
0 x 0 3   工 具 篇 工 具 篇 病 毒 分 析   ： 病 毒 查 杀 ： 病 毒 动 态 ： 在 线 病 毒 扫 描 网 站 ： w e b s h e l l 查 杀 ： P C H u n t e r ： h t t p : / / w w w . x u e t r . c o m 火 绒 剑 ： h t t p s : / / w w w . h u o r o n g . c n P r o c e s s   E x p l o r e r ： h t t p s : / / d o c s . m i c r o s o f t . c o m / z h - c n / s y s i n t e r n a l s / d o w n l o a d s / p r o c e s s - e x p l o r e r p r o c e s s h a c k e r ： h t t p s : / / p r o c e s s h a c k e r . s o u r c e f o r g e . i o / d o w n l o a d s . p h p a u t o r u n s ： h t t p s : / / d o c s . m i c r o s o f t . c o m / e n - u s / s y s i n t e r n a l s / d o w n l o a d s / a u t o r u n s O T L ： h t t p s : / / w w w . b l e e p i n g c o m p u t e r . c o m / d o w n l o a d / o t l / 卡 巴 斯 基 ： h t t p : / / d e v b u i l d s . k a s p e r s k y - l a b s . c o m / d e v b u i l d s / K V R T / l a t e s t / f u l l / K V R T . e x e     （ 推 荐 理 由 ： 绿 色 版 、 最 新 病 毒 库 ） 大 蜘 蛛 ： h t t p : / / f r e e . d r w e b . r u / d o w n l o a d + c u r e i t + f r e e （ 推 荐 理 由 ： 扫 描 快 、 一 次 下 载 只 能 用 1 周 ， 更 新 病 毒 库 ） 火 绒 安 全 软 件 ： h t t p s : / / w w w . h u o r o n g . c n 3 6 0 杀 毒 ： h t t p : / / s d . 3 6 0 . c n / d o w n l o a d _ c e n t e r . h t m l C V E R C - 国 家 计 算 机 病 毒 应 急 处 理 中 心 ： h t t p : / / w w w . c v e r c . o r g . c n 微 步 在 线 威 胁 情 报 社 区 ： h t t p s : / / x . t h r e a t b o o k . c n 火 绒 安 全 论 坛 ： h t t p : / / b b s . h u o r o n g . c n / f o r u m - 5 9 - 1 . h t m l 爱 毒 霸 社 区 ： h t t p : / / b b s . d u b a . n e t 腾 讯 电 脑 管 家 ： h t t p : / / b b s . g u a n j i a . q q . c o m / f o r u m - 2 - 1 . h t m l h t t p : / / w w w . v i r s c a n . o r g                   / / 多 引 擎 在 线 病 毒 扫 描 网   v 1 . 0 2 ， 当 前 支 持   4 1   款 杀 毒 引 擎         h t t p s : / / h a b o . q q . c o m                           / / 腾 讯 哈 勃 分 析 系 统 h t t p s : / / v i r u s s c a n . j o t t i . o r g             / / J o t t i 恶 意 软 件 扫 描 系 统 h t t p : / / w w w . s c a n v i r . c o m                 / / 针 对 计 算 机 病 毒 、 手 机 病 毒 、 可 疑 文 件 等 进 行 检 测 分 析 D 盾 _ W e b 查 杀 ： h t t p : / / w w w . d 9 9 n e t . n e t / i n d e x . a s p 河 马 w e b s h e l l 查 杀 ： h t t p : / / w w w . s h e l l p u b . c o m 深 信 服 W e b s h e l l 网 站 后 门 检 测 工 具 ： h t t p : / / e d r . s a n g f o r . c o m . c n / b a c k d o o r _ d e t e c t i o n . h t m l S a f e 3 ： h t t p : / / w w w . u u s e c . c o m / w e b s h e l l . z i p
本 文 由 B y p a s s 原 创 发 布 ， 转 载 请 保 留 出 处 。 欢 迎 关 注 我 的 个 人 微 信 公 众 号 ： B y p a s s - - ， 浏 览 更 多 精 彩 文 章 。 参 考 链 接 ： h t t p s : / / c l o u d . t e n c e n t . c o m / d o c u m e n t / p r o d u c t / 2 9 6 / 9 6 0 5 h t t p s : / / w w w . c n b l o g s . c o m / s h e l l r 0 0 t / p / 6 9 4 3 7 9 6 . h t m l h t t p s : / / w w w . e x e h a c k . n e t / 5 1 0 6 . h t m l B y p a s s A b o u t   M e 一 个 网 络 安 全 爱 好 者 ， 对 技 术 有 着 偏 执 狂 一 样 的 追 求 。 致 力 于 分 享 原 创 高 质 量 干 货 ， 包 括 但 不 限 于 ： 渗 透 测 试 、 W A F 绕 过 、 代 码 审 计 、 安 全 运 维 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理