一、基础技能及工具
1、常用方法
三要素: 时间 地点 事件 (系统、安全设备、相关应用、操作历史日志等)
回溯攻击法: 模拟攻击(使用相同手法)
经验:
1、常用目录(/tmp; /var/tmp; /dev/shm; RECYCLER)
2、管用手法(一句话木马;常见后门)
3、常见恶意程序特征
2、日志
主机: 应用程序、安全设备、系统日志
其他: IIS、Apache、Tomcat日志
3、日志ID
登录: 4625登录失败 ; 4624登录成功
事件: 拒绝访问 句柄无效 存储控制块被破坏 存储空间不足 存储地址块无效
4、常用工具
Autorouns 检测进程、服务、启动项等
procdump 对内存进行dump
待补充!
二、勒索病毒处理
1、例子
Crysis https://bbs.360.cn/thread-15782297-1-1.html
Phobos
Globelmposter
Sodinokibi
Wanna Cry
2、日志查看工具
Event log Explore
Logparser
观星平台
三、挖矿木马
1、常见挖矿木马
WananMine、 Mykings (隐匿者)、Bulehere、8220Miner、匿影、DDG、h2Miner、MinerGuard、Kworkerds、Watchdogs
2、特点
CPU占用率极高、内网漏洞咆哮式传播、蠕虫病毒
3、Windows平台漏洞利用
Weblogic
Drupal
Struts2
Think PHP
WindowServer
PHPStudy
PHPMyAdmin
MySQL
Spring Data Comments
Tomcat
MsSQL
Jekins
JBoss
4、组件利用漏洞
Docker:
Dockers未授权漏洞
Dockers逃逸
a、b、c
5、Windows排查
排查账号:lusrmgr.msc ,net user
注册表:
a、b、c
6、Linux
四、WebShel处理
1、检测
a、基于Webshell流量
b、基于Webshell文件
c、基于Webshell检测日志
2、通过Web服务器日志
IIS Apache Tomcat日志
五、网页篡改
1、隔离被感染主机
2、排查业务系统
3、确定漏洞源头、溯源分析
4、恢复数据及业务系统
六、数据泄露
七、流量劫持
八、Linux应急排查命令
1、系统信息
A、基本信息
uname -a(显示系统信息);
cat /proc/version(识别系统版本);
lsmod(list modules 列出所有模块);
B、用户信息
useradd userdel的命令时间变化(stat)
cat /etc/passwd分析可疑帐号,可登录帐号
例如: awk -F: ‘(if($3= =0)print $1)’ /etc/passwd; cat /etc/
passwdl grep ‘/bin/bash’
C、查看历史history (cat /root/.bash_ history)
a、wget远程某主机(域名&uP)的远控文件;
b、尝试连接内网某主机(ssh scp)
c、打包某敏感数据或代码,tar zip类命令
d、对系统进行配置,包括命令修改、远控木马类
ps:直接输入history会显示做过的各操作命令
D、查看启动项
/etc/rc*; /etc/init.d/rc.local; /etc/rc.local; rc.local; /etc/init.d; /etc/rc.d/rc; /etc/init/*.conf; /etc/rc$runlevel.d
E、计划任务
a、 查看当前的任务计划
crontab-I;
crontab -u root -| 是root用户下计划任务,确认是否有后[ ]木马程序启动相关信息
b、 查看etc目录任务计划相关文件:
/etc/cron.deny; /etc/crontab; /etc/cron.d; /etc/cron.daily;
/etc/cron.hourly; /etc/cron.monthly; /etc/cron.weekly
c、 查看所有用户的crontab任务
/var/spool/cron
2、进程
A、netstat网烙達接命令,示网絡状恣
例: netstat -antlp; ls- alh /proc/pidl more;
B、rm -f filename来删除木马,若root用户无法删除则判断使用-|命令
a、Isattr filename命令来查看文件属性
b、chattr -i filename命令来移除属性继而删除文件
C、存在守护进程而无法杀,进程挂起,杀守护进程,杀该进程
3、文件痕迹排查
4、日志分析
5、内存分析
6、常用Linux命令
九、Windows排查命令详解
ps:累了 晚上再写