应急响应思路

一、基础技能及工具

1、常用方法

三要素： 时间 地点 事件 （系统、安全设备、相关应用、操作历史日志等）

回溯攻击法： 模拟攻击（使用相同手法）

经验：

1、常用目录（/tmp; /var/tmp; /dev/shm; RECYCLER）
2、管用手法(一句话木马；常见后门)
3、常见恶意程序特征

2、日志

主机： 应用程序、安全设备、系统日志

其他： IIS、Apache、Tomcat日志

3、日志ID

登录：　4625登录失败　；　4624登录成功

事件：　拒绝访问　句柄无效　存储控制块被破坏　存储空间不足　存储地址块无效

４、常用工具

Autorouns 检测进程、服务、启动项等
procdump 对内存进行dump

待补充！

二、勒索病毒处理

1、例子

Crysis https://bbs.360.cn/thread-15782297-1-1.html
Phobos
Globelmposter
Sodinokibi
Wanna Cry

2、日志查看工具

Event log Explore
Logparser
观星平台

三、挖矿木马

1、常见挖矿木马

WananMine、 Mykings （隐匿者）、Bulehere、8220Miner、匿影、DDG、h2Miner、MinerGuard、Kworkerds、Watchdogs

2、特点

CPU占用率极高、内网漏洞咆哮式传播、蠕虫病毒

3、Windows平台漏洞利用

Weblogic
Drupal
Struts2
Think PHP
WindowServer
PHPStudy
PHPMyAdmin
MySQL
Spring Data Comments
Tomcat
MsSQL
Jekins
JBoss

4、组件利用漏洞

Docker：
Dockers未授权漏洞
Dockers逃逸
a、b、c

5、Windows排查

排查账号：lusrmgr.msc ，net user
注册表：
a、b、c

6、Linux

四、WebShel处理

1、检测

a、基于Webshell流量
b、基于Webshell文件
c、基于Webshell检测日志

2、通过Web服务器日志

IIS Apache Tomcat日志

五、网页篡改

1、隔离被感染主机
2、排查业务系统
3、确定漏洞源头、溯源分析
4、恢复数据及业务系统

六、数据泄露

七、流量劫持

八、Linux应急排查命令

1、系统信息

A、基本信息
uname -a（显示系统信息）；

cat /proc/version（识别系统版本）；

lsmod（list modules 列出所有模块）；

B、用户信息
useradd userdel的命令时间变化(stat)

cat /etc/passwd分析可疑帐号，可登录帐号

例如： awk -F: ‘(if($3= =0)print $1)’ /etc/passwd; cat /etc/
passwdl grep ‘/bin/bash’

C、查看历史history (cat /root/.bash_ history)
a、wget远程某主机(域名&uP)的远控文件;
b、尝试连接内网某主机(ssh scp)
c、打包某敏感数据或代码，tar zip类命令
d、对系统进行配置，包括命令修改、远控木马类

ps：直接输入history会显示做过的各操作命令

D、查看启动项

/etc/rc*; /etc/init.d/rc.local; /etc/rc.local; rc.local; /etc/init.d; /etc/rc.d/rc; /etc/init/*.conf; /etc/rc$runlevel.d

E、计划任务

a、 查看当前的任务计划

crontab-I;

crontab -u root -| 是root用户下计划任务,确认是否有后[ ]木马程序启动相关信息

b、 查看etc目录任务计划相关文件：

/etc/cron.deny; /etc/crontab; /etc/cron.d; /etc/cron.daily;

/etc/cron.hourly; /etc/cron.monthly; /etc/cron.weekly

c、 查看所有用户的crontab任务

/var/spool/cron

2、进程

A、netstat网烙達接命令，示网絡状恣

例: netstat -antlp; ls- alh /proc/pidl more;

B、rm -f filename来删除木马,若root用户无法删除则判断使用-|命令

a、Isattr filename命令来查看文件属性

b、chattr -i filename命令来移除属性继而删除文件

C、存在守护进程而无法杀，进程挂起，杀守护进程，杀该进程

3、文件痕迹排查

4、日志分析

5、内存分析

6、常用Linux命令

九、Windows排查命令详解

ps：累了 晚上再写