【网络安全】网络攻击排查思路、网络攻防、防守方

【网络安全】网络攻击排查思路、网络攻防、防守方

一、排查过程：

1、主机操作系统异常日志情况

# 该命令用于显示系统的用户账户信息。/etc/passwd 文件包含了系统上所有用户的基本信息，如用户名、用户ID、家目录、默认shell等
cat /etc/passwd

# 该命令用于显示系统的定时任务（Cron Job）信息。/etc/crontab 文件包含了系统预定的定时任务列表，可以查看定时任务的安排和执行时间。
cat /etc/crontab

# 该命令用于显示系统的网络连接和网络统计信息。netstat 是一个网络工具，-a 参数表示显示所有连接，-p 参数表示显示进程标识符，-n 参数表示以数字格式显示地址和端口号，-l 参数表示显示监听状态的连接，-t 参数表示只显示 TCP 连接。
netstat -apnlt

# 该命令用于显示系统的认证日志信息。/var/log/auth.log 文件记录了与系统认证（如登录、sudo 使用等）相关的日志信息，可以用于检查安全问题和用户活动。
cat /var/log/auth.log

# 该命令用于显示当前登录到系统的用户信息，包括用户名、登录时间、来自哪个终端等。
who

# 该命令用于显示当前用户在终端中执行过的命令历史记录。它会列出之前执行过的命令，帮助用户回顾和重复执行之前的操作。
history

1.1 查看尝试登录到linux主机但失败的情况

显示了一系列来自不同IP地址的SSH连接尝试未能接收到身份验证字符串的记录。这可能表明您的Ubuntu Linux服务器受到了暴力破解或恶意扫描的攻击。

tail -5000f /var/log/auth.log | grep 'Did not receive'

这些日志表明有人尝试通过SSH协议进行连接，但是由于协议版本不匹配，导致连接失败。还有一些恶意操作尝试使用HTTP协议发送了不正确的请求。

tail -5000f /var/log/auth.log | grep 'Bad'

2、中间件异常日志情况

ps -ef|grep nginx

3、数据库异常日志情况(postgresql)（在数据库连接工具执行）

SELECT * FROM pg_stat_activity t;

4、数据接口运行情况

按照运行的程序区分

ps -ef | grep java

二、问题排查思路

1、查看linux系统登录情况

执行命令：

cat /var/log/auth.log

往上翻翻看有没有什么异常的 ip 登录的情况

也可以对 /var/log/auth.log 进行筛选，您可以使用 grep 命令结合一些特定的筛选条件。以下是几个示例：

1. 筛选包含特定关键字的日志条目：

   cat /var/log/auth.log | grep "Failed password"
   

   上述命令将返回包含 “Failed password” 关键字的所有日志条目。

2. 筛选某个时间范围内的日志条目：

   cat /var/log/auth.log | grep "Jun 27 10:"
   

   上述命令将返回在6月27日10点整的所有日志条目。

3. 筛选特定用户的认证活动：

   cat /var/log/auth.log | grep "john"
   

   上述命令将返回与用户 “john” 相关的所有日志条目。

4. 筛选失败的 SSH 登录尝试：

   cat /var/log/auth.log | grep "sshd.*Failed password"
   

   上述命令将返回所有包含 “sshd” 和 “Failed password” 的日志条目，用于筛选失败的 SSH 登录尝试。

2、发现异常登录情况

筛选出异常登录情况的ip 到 https://x.threatbook.com/v5/ip/119.123.73.137?source=top&isRange=true 这个网站看看对应的 ip 是否恶意 ip，如果是的话大概率是被攻击了。可以写个 防守报告。

3、排查nginx异常情况

通过命令：

tail -1000f  /var/log/nginx/access.log

1. 查看一下是否有某几个ip（https://ip.cn/看看当前ip，可以排除）（https://x.threatbook.com/v5/ip/119.123.73.137?source=top&isRange=true 查查相应的ip是否被标记为恶意）一直在频繁的服务服务器。
2. 查看并且都是返回 404、403.、4xx 的请求，（如果是java 前后的分离的项目，但访问的都是php、jsp等明显在进行漏洞扫描的访问）并且请求是否都是涉及暴力破解，注入破解等的漏洞破解请求。

如果是的话，可以登录到路由器封禁对应的ip地址。

4、ip封禁

提供一下三种方式。

1. 使用 linux 防火墙或者封禁ip的访问

2. 使用 nginx 封禁对应ip的访问

3. 使用硬件防火墙封禁对应的ip