2. 程式人生 > >windows入侵排查思路

windows入侵排查思路

阿新 • • 發佈：2018-08-02
nload onf for ddos攻擊 ros 2008r2 安全事件 勒索 行處理

0x00 前言

當企業發生黑客入侵、系統崩潰或其它影響業務正常運行的安全事件時，急需第一時間進行處理，使企業的網絡信息系統在最短時間內恢復正常工作，進一步查找入侵來源，還原入侵事故過程，同時給出解決方案與防範措施，為企業挽回或減少經濟損失。

常見的應急響應事件分類：

web入侵：網頁掛馬、主頁篡改、Webshell

系統入侵：病毒木馬、勒索軟件、遠控後門

網絡攻擊：DDOS攻擊、DNS劫持、ARP欺騙

針對常見的攻擊事件，結合工作中應急響應事件分析和解決的方法，總結了一些Window服務器入侵排查的思路。

0x01 入侵排查思路

一、檢查系統賬號安全

1、查看服務器是否有弱口令，遠程管理端口是否對公網開放。

      • 檢查方法：據實際情況咨詢相關服務器管理員。

2、查看服務器是否存在可疑賬號、新增賬號。

      • 檢查方法：打開 cmd 窗口，輸入lusrmgr.msc命令，查看是否有新增/可疑的賬號，如有管理員群組的（Administrators）裏的新增賬戶，如有，請立即禁用或刪除掉。

3、查看服務器是否存在隱藏賬號、克隆賬號。

      • 檢查方法：

        a、打開註冊表 ，查看管理員對應鍵值。

        b、使用D盾_web查殺工具，集成了對克隆賬號檢測的功能。

技術分享圖片

4、結合日誌，查看管理員登錄時間、用戶名是否存在異常。

      • 檢查方法：

        a、Win+R打開運行，輸入“eventvwr.msc”，回車運行，打開“事件查看器”。

        b、導出Windows日誌--安全，利用Log Parser進行分析。

技術分享圖片

二、檢查異常端口、進程

1、檢查端口連接情況，是否有遠程連接、可疑連接。

      • 檢查方法：

        a、netstat -ano 查看目前的網絡連接，定位可疑的ESTABLISHED

        b、根據netstat 定位出的pid，再通過tasklist命令進行進程定位 tasklist | findstr “PID”

技術分享圖片

2、進程

      • 檢查方法：

        a、開始--運行--輸入msinfo32，依次點擊“軟件環境→正在運行任務”就可以查看到進程的詳細信息，比如進程路徑、進程ID、文件創建日期、啟動時間等。

        b、打開D盾_web查殺工具，進程查看，關註沒有簽名信息的進程。

        c、通過微軟官方提供的 Process Explorer 等工具進行排查 。

        d、查看可疑的進程及其子進程。可以通過觀察以下內容：

沒有簽名驗證信息的進程

沒有描述信息的進程

進程的屬主

進程的路徑是否合法

CPU或內存資源占用長時間過高的進程

3、小技巧：

a、查看端口對應的PID： netstat -ano | findstr “port”

b、查看進程對應的PID：任務管理器--查看--選擇列--PID 或者 tasklist | findstr “PID”

c、查看進程對應的程序位置：

任務管理器--選擇對應進程--右鍵打開文件位置

運行輸入 wmic，cmd界面 輸入 process

d、tasklist /svc 進程--PID--服務

e、查看Windows服務所對應的端口： %system%/system32/drivers/etc/services（一般%system%就是C:\Windows）

三、檢查啟動項、計劃任務、服務

1、檢查服務器是否有異常的啟動項。

    • 檢查方法：

a、登錄服務器，單擊【開始】>【所有程序】>【啟動】，默認情況下此目錄在是一個空目錄，確認是否有非業務程序在該目錄下。 b、單擊開始菜單 >【運行】，輸入 msconfig，查看是否存在命名異常的啟動項目，是則取消勾選命名異常的啟動項目，並到命令中顯示的路徑刪除文件。 c、單擊【開始】>【運行】，輸入 regedit，打開註冊表，查看開機啟動項是否正常，特別註意如下三個註冊表項：

HKEY_CURRENT_USER\software\micorsoft\windows\currentversion\run
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Runonce

檢查右側是否有啟動異常的項目，如有請刪除，並建議安裝殺毒軟件進行病毒查殺，清除殘留病毒或木馬。

d、利用安全軟件查看啟動項、開機時間管理等。

e、組策略，運行gpedit.msc。

技術分享圖片

2、檢查計劃任務

    • 檢查方法：

a、單擊【開始】>【設置】>【控制面板】>【任務計劃】，查看計劃任務屬性，便可以發現木馬文件的路徑。

b、單擊【開始】>【運行】；輸入 cmd，然後輸入at，檢查計算機與網絡上的其它計算機之間的會話或計劃任務，如有，則確認是否為正常連接。

3、服務自啟動

    • 檢查方法：單擊【開始】>【運行】，輸入services.msc，註意服務狀態和啟動類型，檢查是否有異常服務。

四、檢查系統相關信息

1、查看系統版本以及補丁信息

      • 檢查方法：單擊【開始】>【運行】，輸入systeminfo，查看系統信息

2、查找可疑目錄及文件

    • 檢查方法：

      a、 查看用戶目錄，新建賬號會在這個目錄生成一個用戶目錄，查看是否有新建用戶目錄。

      Window 2003 C:\Documents and Settings

      Window 2008R2 C:\Users\

      b、單擊【開始】>【運行】，輸入%UserProfile%\Recent，分析最近打開分析可疑文件。

      c、在服務器各個目錄，可根據文件夾內文件列表時間進行排序，查找可疑文件。

五、自動化查殺

1、病毒查殺

      • 檢查方法：下載安全軟件，更新最新病毒庫，進行全盤掃描。

2、webshell查殺

    • 檢查方法：選擇具體站點路徑進行webshell查殺，建議使用兩款webshell查殺工具同時查殺，可相互補充規則庫的不足。

六、日誌分析

1、系統日誌

      • 分析方法：

        a、前提：開啟審核策略，若日後系統出現故障、安全事故則可以查看系統的日誌文件，排除故障，追查入侵者的信息等。

        b、Win+R打開運行，輸入“eventvwr.msc”，回車運行，打開“事件查看器”。

        C、導出應用程序日誌、安全日誌、系統日誌，利用Log Parser進行分析。

2、WEB訪問日誌

    • 分析方法：

      a、找到中間件的web日誌，打包到本地方便進行分析。

      b、推薦工具：Window下，推薦用 EmEditor 進行日誌分析，支持大文本，搜索效率還不錯。 Linux下，使用Shell命令組合查詢分析

0x03 工具篇

病毒分析 ：

PCHunter：http://www.xuetr.com
火絨劍：https://www.huorong.cn
Process Explorer：https://docs.microsoft.com/zh-cn/sysinternals/downloads/process-explorer
processhacker：https://processhacker.sourceforge.io/downloads.php
autoruns：https://docs.microsoft.com/en-us/sysinternals/downloads/autoruns
OTL：https://www.bleepingcomputer.com/download/otl/

病毒查殺：

卡巴斯基：http://devbuilds.kaspersky-labs.com/devbuilds/KVRT/latest/full/KVRT.exe  
（推薦理由：綠色版、最新病毒庫）

大蜘蛛：http://free.drweb.ru/download+cureit+free
（推薦理由：掃描快、一次下載只能用1周，更新病毒庫）

火絨安全軟件：https://www.huorong.cn
360殺毒：http://sd.360.cn/download_center.html

病毒動態：

CVERC-國家計算機病毒應急處理中心：http://www.cverc.org.cn
微步在線威脅情報社區：https://x.threatbook.cn
火絨安全論壇：http://bbs.huorong.cn/forum-59-1.html
愛毒霸社區：http://bbs.duba.net
騰訊電腦管家：http://bbs.guanjia.qq.com/forum-2-1.html

在線病毒掃描網站：

http://www.virscan.org         //多引擎在線病毒掃描網 v1.02，當前支持 41 款殺毒引擎    
https://habo.qq.com             //騰訊哈勃分析系統
https://virusscan.jotti.org      //Jotti惡意軟件掃描系統
http://www.scanvir.com        //針對計算機病毒、手機病毒、可疑文件等進行檢測分析

webshell查殺：

D盾_Web查殺：http://www.d99net.net/index.asp
河馬webshell查殺：http://www.shellpub.com
深信服Webshell網站後門檢測工具：http://edr.sangfor.com.cn/backdoor_detection.html
Safe3：http://www.uusec.com/webshell.zip


本文由Bypass原創發布，轉載請保留出處。歡迎關註我的個人微信公眾號：Bypass--，瀏覽更多精彩文章。

參考鏈接：

https://cloud.tencent.com/document/product/296/9605

https://www.cnblogs.com/shellr00t/p/6943796.html

https://www.exehack.net/5106.html

windows入侵排查思路

相關推薦

windows入侵排查思路

nload onf for ddos攻擊 ros 2008r2 安全事件 勒索 行處理 0x00 前言 當企業發生黑客入侵、系統崩潰或其它影響業務正常運行的安全事件時，急需第一時間進行處理，使企業的網絡信息系統在最短時間內恢復正常工作，進一步查找入侵來源，還

【應急響應】windows入侵排查思路

海峽資訊白帽子id:Bypass 當企業發生黑客入侵、系統崩潰或其它影響業務正常執行的安全事件時，急需第一時間進行處理，使企業的網路資訊系統在最短時間內恢復正常工作，進一步查詢入侵來源，還原入侵事故過程，同時給出解決方案與防範措施，為企業挽回或減少經濟損失 0×00 前

windows應急響應入侵排查思路

tab clas 公眾 360殺毒 data- 觀察 src 利用 settings 0x00 前言 ? 當企業發生黑客入侵、系統崩潰或其它影響業務正常運行的安全事件時，急需第一時間進行處理，使企業的網絡信息系統在最短時間內恢復正常工作，進一步查找入侵來源，還原入侵事故過

Linux應急響應入侵排查思路

upd ron pub 進程 二進制 per rontab 有效 delet 0x00 前言 ? 當企業發生黑客入侵、系統崩潰或其它影響業務正常運行的安全事件時，急需第一時間進行處理，使企業的網絡信息系統在最短時間內恢復正常工作，進一步查找入侵來源，還原入侵事故過程，同時

Windows主機入侵分析思路

雲安全 入侵分析 Windows IaaS 雲平臺 一、如何找到惡意文件 檢查網絡連接 netstat -ano，如有惡意對外連接需要註意哦，特別是挖礦、對外暴力破解。 根據PID找到進程 tasklist | findstr "$PID" 或 wmic

Linux 連接數過多排查思路

div linux netstat tcp連接 linu 占用 nap code 思路 ## 在連接數報警的機器上，查看某個端口tcp連接來源，並排序 netstat -natl |grep ^tcp |grep ":2181" |awk ‘{print $5}‘|awk

RPC服務超時排查思路

log 時間 業務 超時 超時時間 提供者 服務提供者 堆棧 div RPC服務超時排查思路- 1、查看服務提供者日誌相關信息進行排查- 2、查看消費者的超時時間設置是否合理- 3、查看服務提供者業務邏輯是否有DB操作，有的話看是否有慢SQL- 4、查看服務提供者業務邏輯

linux運維系統故障排查思路及常見故障處理

運維故障 故障排查 常見linux故障 一 linux系統故障的一般處理思路 報錯信息--->查閱日誌文件--->分析定位問題--->解決問題。二 linux系統無法啟動原因及解決 系統無法啟動的原因很多，常見的有下面幾種情況： 1 文件系統被破壞，常常因斷電和

壓力測試過程中MySQL服務CPU占用率過高的問題排查思路

建立索引 效果 mysql服務器 還要 數據庫服務 如果 頻率 water vpd 〇、經驗總結： 在關註業務接口的TPS時，也要關註數據庫服務器的QPS。如果一個業務流程裏包含多條查詢，那麽業務接口TPS的上升對數據庫服務器QPS的放大效應會很明顯。 如果查詢結果集不大

kubernetes calico網路不通的排查思路

舉個例子 容器A訪問不了容器B,也就是容器A ping 不通容器B 排查思路： 正向 1 容器A的內容是否傳送到容器A所在的node上 2 容器A所在的節點node是否傳送出去 3 容器B所在的節點node是否接收到容器A所在的節點node傳送的報文 4 容器B所在的節點node是否

網站模擬問題排查思路和方法大盤點

上一篇文章《阿里雲網站伺服器映象取證方法》釋出後，廣大一線電子資料取證工作人員都覺得非常實用，但是在操作過程中，常常遇到網站模擬後，卻無法正常開啟的現象，本篇文章效率源效哥盤點下網站模擬問題排查思路和方法，希望能幫到大家。   一、問題原因 在實際取證過程中，網站在本地進

淺談Windows入侵檢查

1 準備工作   檢查人員應該可以物理接觸可疑的系統。因為黑客可能偵測到你可以在檢查系統，例如網路監聽，所以物理接觸會比遠端控制更好。 為了當做法庭證據可能需要將硬碟做實體備份。如果需要，斷開所有與可疑機器的網路連線。 做入侵檢查時，檢查人員需要一臺PC對檢查的過程進行檢查專案的結果記

hbase問題排查思路

HBCK - HBCK檢查什麼？ (1)HBase Region一致性 叢集中所有region都被assign，而且deploy到唯一一臺RegionServer上 該region的狀態在記憶體中、hbase:meta表中以及zookeeper這三個地方需要

HBase應用實踐專場-HBase問題排查思路

HBCK - HBCK檢查什麼？ (1)HBase Region一致性 叢集中所有region都被assign，而且deploy到唯一一臺RegionServer上 該region的狀態在記憶體中、hbase:meta表中以及zookeeper這三個地方

windows入侵

一， ping 用來檢查網 絡是否通暢或者網路連線速度的命令。作為一個生 活在網路上的管理員或者黑 客來說， ping 命令是第一個必須掌握的 DOS 命令，所利用的原理是這樣的網路上的機器都有唯一確定的 IP 地址，給目標 IP 地址傳送一個數據包，對方就要返回一個同樣大小的資料包，根據返回的資料

伺服器問題 排查思路

一.儘可能搞清楚問題的前因後果         1.故障是什麼時候發現的？         2.故障的表現是什麼？無響應？報錯？         3.最後一次對整個平臺進行更新的內容是什麼（程式碼、伺服器等） 二.當前有誰在，做過什麼操作         1.  w

Linux入侵檢查思路及其命令

若Linux作業系統被非法入侵，那麼有哪些思路和系統命令用於檢查系統當前的狀態呢？主要包括對關鍵程序、關鍵服務、關鍵檔案的檢測，同時及時備份硬碟資料用於持續分析。詳細的檢查思路和Linux命令如下： 1. 檢視檔案filename正在執行的程序 #pidof filename 2. 可以通過檔案或者

雲伺服器 ECS Linux 系統 CPU 佔用率較高問題排查思路

如果雲伺服器 ECS Linux 系統的 CPU 持續跑高，則會對系統穩定性和業務執行造成影響。本文對 CPU 佔用率較高問題的排查分析做簡要說明。可以通過 vmstat 從系統維度檢視 CPU 資源的使用情況。用法說明：格式：vmstat -n 1-n 1表示結果一秒重新整理一次。示例輸出：$ vmstat

Invalid bound statement (not found) 的排查思路

spring整合mybatis時，自己寫了一個junit測試，結果報 org.apache.ibatis.binding.BindingException: Invalid bound statement (not found): com.zpf.mapper.IUserMapper.f

探究 | Elasticsearch CPU高排查思路

一、可能導致ES CPU高的原因： 1、複雜的query查詢 舉例：我這邊出現過200個組合wildcard query導致叢集down掉的情況； 2、有大量的reindex操作 3、ES版本較低 二、排查思路 2.1、業務場景排查