Linux应急响应

整体流程:

一. 识别现象->清除病毒->闭环兜底->系统加固

1. 首先从用户场景的主机异常现象出发，先识别出病毒的可疑现象。
   (1) 系统CPU是否异常:top
   (2) 可疑进程: ps -aux
   (3) 通信进程: netstat -antp
   (4) 有时安全网关检测到的不全是恶意IP，还有可能是个域名，这种情况下，域名对应的IP是变化的，我们不能直接用上述方法进行监控。我们可以先在host文件中添加一条规则，将恶意域名重定向到一个随机的IP地址，然后对其进行监控。
   (5) 历史命令:history
   (6) 清除可疑的进程
   (7) 定时任务: crontab -l
   (8) 可疑的服务: service --status-all
   (9) 日志查询: 登录日志 是否含有爆破(SSH)
   (10) 查看系统默认的文件是否被修改 chkrootkit
   (11) pid所对应的进程文件路径 ls -la /proc/$PID/exe

2. 然后定位到具体的病毒进程以及病毒文件，进行清除。

3. 完成前2步还不够，病毒一般会通过一些自启动项及守护程序进行重复感染，所以我们要执行闭环兜底确保病毒不再被创建。

4. 将主机上的病毒项清除干净后，最后就是进行系统加固了，防止病毒从Web再次入侵进来。

二. 其他小知识点

1. php,java,python反序列化具体函数名以及利用技巧
   java :OutputStream
   InputStream

2. sql注入盲注的技巧具体函数（比如延时）
   盲注多用于注册用户、修改用户信息
   if(条件，0,5)
   mid(a,b,c)

3. ddos放大攻击，其他常用ddos攻击原理

4. 三次握手为社么是三次（不是两次或者四次）

5. python，php危险函数，具体函数名，对象名
   system函数、exec函数 eval()

6. 使用burpsuite 代理app的时候，无法抓到具体的报文的原因
   app使用了双向认证或SSL-pinning(证书绑定)
   sqlserver: master数据库 1433