2. 程式人生 > >windows應急響應入侵排查思路

windows應急響應入侵排查思路

阿新 • • 發佈：2018-10-28
tab clas 公眾 360殺毒 data- 觀察 src 利用 settings

0x00 前言

? 當企業發生黑客入侵、系統崩潰或其它影響業務正常運行的安全事件時，急需第一時間進行處理，使企業的網絡信息系統在最短時間內恢復正常工作，進一步查找入侵來源，還原入侵事故過程，同時給出解決方案與防範措施，為企業挽回或減少經濟損失。

常見的應急響應事件分類：

web入侵：網頁掛馬、主頁篡改、Webshell

系統入侵：病毒木馬、勒索軟件、遠控後門

網絡攻擊：DDOS攻擊、DNS劫持、ARP欺騙

針對常見的攻擊事件，結合工作中應急響應事件分析和解決的方法，總結了一些Window服務器入侵排查的思路。

0x01 入侵排查思路

  • 一、檢查系統賬號安全

    • 1、查看服務器是否有弱口令，遠程管理端口是否對公網開放。

      • 檢查方法：據實際情況咨詢相關服務器管理員。

    • 2、查看服務器是否存在可疑賬號、新增賬號。

      • 檢查方法：打開 cmd 窗口，輸入lusrmgr.msc命令，查看是否有新增/可疑的賬號，如有管理員群組的（Administrators）裏的新增賬戶，如有，請立即禁用或刪除掉。

    • 3、查看服務器是否存在隱藏賬號、克隆賬號。

      • 檢查方法：

        a、打開註冊表 ，查看管理員對應鍵值。

        b、使用D盾_web查殺工具，集成了對克隆賬號檢測的功能。

      • 技術分享圖片

        技術分享圖片

    • 4、結合日誌，查看管理員登錄時間、用戶名是否存在異常。

      • 檢查方法：

        a、Win+R打開運行，輸入“eventvwr.msc”，回車運行，打開“事件查看器”。

        b、導出Windows日誌--安全，利用Log Parser進行分析。

      • 技術分享圖片

        技術分享圖片

  • 二、檢查異常端口、進程

    • 1、檢查端口連接情況，是否有遠程連接、可疑連接。

      • 檢查方法：

        a、netstat -ano 查看目前的網絡連接，定位可疑的ESTABLISHED

        b、根據netstat 定位出的pid，再通過tasklist命令進行進程定位 tasklist | findstr “PID”

      • 技術分享圖片

        技術分享圖片

    • 2、進程

      • 檢查方法：

        a、開始--運行--輸入msinfo32，依次點擊“軟件環境→正在運行任務”就可以查看到進程的詳細信息，比如進程路徑、進程ID、文件創建日期、啟動時間等。

        b、打開D盾_web查殺工具，進程查看，關註沒有簽名信息的進程。

        c、通過微軟官方提供的 Process Explorer 等工具進行排查 。

        d、查看可疑的進程及其子進程。可以通過觀察以下內容：

        沒有簽名驗證信息的進程
        沒有描述信息的進程
        進程的屬主
        進程的路徑是否合法
        CPU或內存資源占用長時間過高的進程

    • 3、小技巧：

      ? a、查看端口對應的PID： netstat -ano | findstr “port”

      ? b、查看進程對應的PID：任務管理器--查看--選擇列--PID 或者 tasklist | findstr “PID”

      ? c、查看進程對應的程序位置：

      ? 任務管理器--選擇對應進程--右鍵打開文件位置

      ? 運行輸入 wmic，cmd界面 輸入 process

      ? d、tasklist /svc 進程--PID--服務

      ? e、查看Windows服務所對應的端口： %system%/system32/drivers/etc/services（一般%system%就是C:\Windows）

  • 三、檢查啟動項、計劃任務、服務

    • 1、檢查服務器是否有異常的啟動項。

      • 檢查方法：

      a、登錄服務器，單擊【開始】>【所有程序】>【啟動】，默認情況下此目錄在是一個空目錄，確認是否有非業務程序在該目錄下。b、單擊開始菜單 >【運行】，輸入 msconfig，查看是否存在命名異常的啟動項目，是則取消勾選命名異常的啟動項目，並到命令中顯示的路徑刪除文件。c、單擊【開始】>【運行】，輸入 regedit，打開註冊表，查看開機啟動項是否正常，特別註意如下三個註冊表項：HKEY_CURRENT_USER\software\micorsoft\windows\currentversion\runHKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunHKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Runonce檢查右側是否有啟動異常的項目，如有請刪除，並建議安裝殺毒軟件進行病毒查殺，清除殘留病毒或木馬。

      d、利用安全軟件查看啟動項、開機時間管理等。

      e、組策略，運行gpedit.msc。

      技術分享圖片

      技術分享圖片

      2、檢查計劃任務

      • 檢查方法：

      a、單擊【開始】>【設置】>【控制面板】>【任務計劃】，查看計劃任務屬性，便可以發現木馬文件的路徑。

      b、單擊【開始】>【運行】；輸入 cmd，然後輸入at，檢查計算機與網絡上的其它計算機之間的會話或計劃任務，如有，則確認是否為正常連接。

    • 3、服務自啟動

      • 檢查方法：單擊【開始】>【運行】，輸入services.msc，註意服務狀態和啟動類型，檢查是否有異常服務。

  • 四、檢查系統相關信息

    • 1、查看系統版本以及補丁信息

      • 檢查方法：單擊【開始】>【運行】，輸入systeminfo，查看系統信息

    • 2、查找可疑目錄及文件

      • 檢查方法：

        a、 查看用戶目錄，新建賬號會在這個目錄生成一個用戶目錄，查看是否有新建用戶目錄。

        ? Window 2003 C:\Documents and Settings

        ? Window 2008R2 C:\Users\

        b、單擊【開始】>【運行】，輸入%UserProfile%\Recent，分析最近打開分析可疑文件。

        c、在服務器各個目錄，可根據文件夾內文件列表時間進行排序，查找可疑文件。

  • 五、自動化查殺

    • 病毒查殺

      • 檢查方法：下載安全軟件，更新最新病毒庫，進行全盤掃描。

    • webshell查殺

      • 檢查方法：選擇具體站點路徑進行webshell查殺，建議使用兩款webshell查殺工具同時查殺，可相互補充規則庫的不足。

  • 六、日誌分析

    • 系統日誌

      • 分析方法：

        a、前提：開啟審核策略，若日後系統出現故障、安全事故則可以查看系統的日誌文件，排除故障，追查入侵者的信息等。

        b、Win+R打開運行，輸入“eventvwr.msc”，回車運行，打開“事件查看器”。

        C、導出應用程序日誌、安全日誌、系統日誌，利用Log Parser進行分析。

    • WEB訪問日誌

      • 分析方法：

        a、找到中間件的web日誌，打包到本地方便進行分析。

        b、推薦工具：Window下，推薦用 EmEditor 進行日誌分析，支持大文本，搜索效率還不錯。

        ? Linux下，使用Shell命令組合查詢分析

0x03 工具篇

  • 病毒分析 ：

    PCHunter：http://www.xuetr.com

    火絨劍：https://www.huorong.cn

    Process Explorer：https://docs.microsoft.com/zh-cn/sysinternals/downloads/process-explorer

    processhacker：https://processhacker.sourceforge.io/downloads.php

    autoruns：https://docs.microsoft.com/en-us/sysinternals/downloads/autoruns

    OTL：https://www.bleepingcomputer.com/download/otl/

  • 病毒查殺：

    卡巴斯基：http://devbuilds.kaspersky-labs.com/devbuilds/KVRT/latest/full/KVRT.exe

    ? （推薦理由：綠色版、最新病毒庫）

    大蜘蛛：http://free.drweb.ru/download+cureit+free

    ? （推薦理由：掃描快、一次下載只能用1周，更新病毒庫）

    火絨安全軟件：https://www.huorong.cn

    360殺毒：http://sd.360.cn/download_center.html

  • 病毒動態：

    CVERC-國家計算機病毒應急處理中心：http://www.cverc.org.cn

    微步在線威脅情報社區：https://x.threatbook.cn

    火絨安全論壇：http://bbs.huorong.cn/forum-59-1.html

    愛毒霸社區：http://bbs.duba.net

    騰訊電腦管家：http://bbs.guanjia.qq.com/forum-2-1.html

  • 在線病毒掃描網站：

    http://www.virscan.org //多引擎在線病毒掃描網 v1.02，當前支持 41 款殺毒引擎

    https://habo.qq.com //騰訊哈勃分析系統

    https://virusscan.jotti.org //Jotti惡意軟件掃描系統

    http://www.scanvir.com //針對計算機病毒、手機病毒、可疑文件等進行檢測分析

  • webshell查殺：

    D盾_Web查殺：http://www.d99net.net/index.asp

    河馬webshell查殺：http://www.shellpub.com

    深信服Webshell網站後門檢測工具：http://edr.sangfor.com.cn/backdoor_detection.html

    Safe3：http://www.uusec.com/webshell.zip

關於我：一個網絡安全愛好者，致力於分享原創高質量幹貨，歡迎關註我的個人微信公眾號：Bypass--，瀏覽更多精彩文章。

技術分享圖片

參考鏈接：

https://cloud.tencent.com/document/product/296/9605

https://www.cnblogs.com/shellr00t/p/6943796.html

https://www.exehack.net/5106.html

windows應急響應入侵排查思路

相關推薦

windows應急響應入侵排查思路

tab clas 公眾 360殺毒 data- 觀察 src 利用 settings 0x00 前言 ? 當企業發生黑客入侵、系統崩潰或其它影響業務正常運行的安全事件時，急需第一時間進行處理，使企業的網絡信息系統在最短時間內恢復正常工作，進一步查找入侵來源，還原入侵事故過

Linux應急響應入侵排查思路

upd ron pub 進程 二進制 per rontab 有效 delet 0x00 前言 ? 當企業發生黑客入侵、系統崩潰或其它影響業務正常運行的安全事件時，急需第一時間進行處理，使企業的網絡信息系統在最短時間內恢復正常工作，進一步查找入侵來源，還原入侵事故過程，同時

【應急響應】windows入侵排查思路

海峽資訊白帽子id:Bypass 當企業發生黑客入侵、系統崩潰或其它影響業務正常執行的安全事件時，急需第一時間進行處理，使企業的網路資訊系統在最短時間內恢復正常工作，進一步查詢入侵來源，還原入侵事故過程，同時給出解決方案與防範措施，為企業挽回或減少經濟損失 0×00 前

windows入侵排查思路

nload onf for ddos攻擊 ros 2008r2 安全事件 勒索 行處理 0x00 前言 當企業發生黑客入侵、系統崩潰或其它影響業務正常運行的安全事件時，急需第一時間進行處理，使企業的網絡信息系統在最短時間內恢復正常工作，進一步查找入侵來源，還

3.Windows應急響應：蠕蟲病毒

本地 tof 斷開 服務 成功 span 病毒掃描 dll 連通 0x00 前言 蠕蟲病毒是一種十分古老的計算機病毒，它是一種自包含的程序（或是一套程序），通常通過網絡途徑傳播， 每入侵到一臺新的計算機，它就在這臺計算機上復制自己，並自動執行它自身的程序。常

Windows應急響應常識

net use nas klist 使用 訪問 審計 use ref 緩存 Windows 應急響應 常見事件ID 1102 清理審計日誌 4624 賬號登陸成功 4625 賬號登陸失敗 4672 授予特殊權限 4720 創建用戶 4726 刪除用戶 4728 將成員添加

windows應急響應（一）

常見的入侵時間的排查思路如下： 攻擊型別定位->時間範圍->檔案分析->程序分析->系統分析->日誌分析->關聯分析->邏輯推理->事件總結 參考文章：http://www.freebuf.com/column/178677.html

【應急響應】Windows應急響應入門手冊

0x01 應急響應概述   首先我們來了解一下兩個概念：應急響應和安全建設，這兩者的區別就是應急響應是被動響應、安全建設是主動防禦。  所謂有因才有果，既然是被動的，那麼我們在應急響應的時候就得先了解本次安全事件的起因，常見的有： 安全裝置告警、資料被勒索加密、資料洩

伺服器入侵應急響應排查（Linux篇）

#總體思路 >**確認問題與系統現象 → 取證清除與影響評估 → 系統加固 → 覆盤整改** #常見入侵 ##**挖礦：** 表象：CPU增高、可疑定時任務、外聯礦池IP。 告警：威脅情報（主要）、Hids、蜜罐（挖礦擴散時觸發） 動作：通過CPU確認異常情況→ 確認可疑

滲透測試02------windows日常巡檢，應急響應等總結

windows 日常巡檢 應急響應等 一：日常巡檢:1.日誌: a：事件查看器中，查看日誌。應用程序，安全性，系統，觀察是否被入侵。 b：查看歷史記錄在c:\DOCUMENTS AND SETTINGS c:修改後門賬號密碼。進去查看歷史瀏覽網頁等一

【應急響應】Windows 安全部署

sched uno exec 全部 鍵值 task 管理工具 ipconfig 賬戶管理 一、補丁管理 運行cmd，輸入systeminfo查看目前補丁信息 二、賬戶管理 gpedit.msc —>Windows設置—>安全設置—>本地設置—>賬

Windows主機入侵分析思路

雲安全 入侵分析 Windows IaaS 雲平臺 一、如何找到惡意文件 檢查網絡連接 netstat -ano，如有惡意對外連接需要註意哦，特別是挖礦、對外暴力破解。 根據PID找到進程 tasklist | findstr "$PID" 或 wmic

攻防對抗中常用的windows命令（滲透測試和應急響應）

一、滲透測試 1、資訊收集類 #檢視系統資訊 >systeminfo #檢視使用者資訊 >net user >net user xxx #檢視網路資訊 >ipconfig /all >route print >netstat -abon >

應用響應變慢的排查思路（筆記）

概述：資料庫效能（cpu）、伺服器cpu、記憶體、磁碟io、tcp連線數、頻寬分析 資料庫：一般應用變慢，問題在資料庫的可能性較

記一次linux伺服器入侵應急響應

近日接到客戶求助，他們收到託管電信機房的資訊，通知檢測到他們的一臺伺服器有對外發送攻擊流量的行為。希望我們能協助排查問題。   一、確認安全事件 情況緊急，首先要確認安全事件的真實性。經過和伺服器運維人員溝通，瞭解到業務只在內網應用，但伺服器竟然放開到公網了，能在公網直接ping通，且開放了

Linux 連接數過多排查思路

div linux netstat tcp連接 linu 占用 nap code 思路 ## 在連接數報警的機器上，查看某個端口tcp連接來源，並排序 netstat -natl |grep ^tcp |grep ":2181" |awk ‘{print $5}‘|awk

應急響應方案

3.1.1 war clas extract eva 產生 2008 r2 init xargs 行文目錄如下： 1. 事件分類 常見的安全事件： Web入侵：掛馬、篡改、Webshell 系統入侵：系統異常、RDP爆破、SSH爆破、主機漏洞 病毒木馬：遠控、後

Linux系統應急響應

還原 shadow class ger /var/ cron lastlog 所在 臨時 零、緒論事件應急是指在系統出現問題的第一時間進行錯誤排查、入侵過程還原取證，入侵源追蹤等緊急處理。知識點1、常見的分析入手點（1）文件分析（2）進程分析（3）網絡分析（4）命令分析（5

RPC服務超時排查思路

log 時間 業務 超時 超時時間 提供者 服務提供者 堆棧 div RPC服務超時排查思路- 1、查看服務提供者日誌相關信息進行排查- 2、查看消費者的超時時間設置是否合理- 3、查看服務提供者業務邏輯是否有DB操作，有的話看是否有慢SQL- 4、查看服務提供者業務邏輯

linux運維系統故障排查思路及常見故障處理

運維故障 故障排查 常見linux故障 一 linux系統故障的一般處理思路 報錯信息--->查閱日誌文件--->分析定位問題--->解決問題。二 linux系統無法啟動原因及解決 系統無法啟動的原因很多，常見的有下面幾種情況： 1 文件系統被破壞，常常因斷電和