应急响应技术

一、实验目的

学会对windows主机进行入侵排查。

二、实验任务

分析windows主机被入侵的原因和找出存在的后门

三、实验环境

靶机地址：192.168.118.142

四、实验过程和实验结果

windows入侵排查

使用360星图分析web日志

日志文件位置

C:\phpStudy\Apache\logs

找到配置文件，修改成对应自己的日志位置

然后点击start启动，等待分析完成

在result目录下找到下列结果

打开可以看到结果

从访问量判断是从phpmyadmin入口进行攻击

猜测网站是被写入webshell

使用D盾查杀

以管理员身份运行

确认后门位置

发现被写入隐藏账号

安装火绒查杀木马，然后发现木马

排查注册表

win +r运行

发现注册表被写入恶意的启动项

找到vbs文件

拿去微步分析

拿去世界杀毒网

由此可以确认为恶意文件

结论：因为phpmyadmin弱口令登录导致被写入webshell

整改原因：更换mysql密码，设置mysql配置为不可写文件

五、实验总结

实验原理：本次实验主要基于网络安全中的应急响应技术，通过分析Windows主机的日志文件、配置文件、注册表等，查找入侵痕迹和后门程序。

通过本次实验，我掌握了：网站入侵排查的方法和步骤；利用360星图分析Web日志文件，发现异常访问行为；如何检查网站配置文件和注册表，查找入侵痕迹和后门程序；使用D盾和火绒查杀木马程序；使用微步分析和世界杀毒网分析恶意文件。

在实验过程中，也遇到了一些困难，比如不知道360星图和D盾的如何使用，通过在网上查找资料，知道了正确的操作方法。

本次实验让我知道了一些新的软件应用（360星图、D盾等等）的使用方法，也让我理解了如何进行应急响应，处理网站被入侵事件。