HACKONE的博客

判断是钓鱼中了cs马。

某公司运维人员小李近期发现，通过搜索引擎访问该公司网站会自动跳转到恶意网站（博彩网站），但是直接输入域名访问该公司网站，则不会出现跳转问题，而且服务器CPU的使用率异常高，运维人员认为该公司服务器可能被黑客入侵了，现小李向XX安全公司求助，解决网站跳转问题。某天客户反馈：服务器疑似被入侵，风扇噪声很大，实验室因耗电量太大经常跳闸，服务器疑似被挖矿。挖矿脚本检测指南&威胁情报&样本定性&文件清除&入口修复。挖矿程序定位定性，时间分析，排查安全漏洞，攻击IP找到等。#挖矿样本-Win&Linux-危害&定性。

Linux-后门-常规&权限维持&Rootkit&内存马。Rootkit后门：GScan rkhunter。Windows-后门-常规&权限维持&内存马。权限维持后门：GScan rkhunter。2、Rootkit后门-分析检测。3、Web程序内存马-分析检测。4、Web程序内存马-分析检测。1、常规MSF后门-分析检测。1、常规MSF后门-分析检测。2、权限维持后门-分析检测。3、权限维持后门-分析检测。Web层面：通用系统层面。2、内存马（无文件马）

cmd=whoam，我们在日志中所搜这个漏洞的路径，apache的日志路径logs。成功搜索到了1.14这个IP访问过这个文件，确定攻击者，然后在搜索这个攻击者IP的其他日志确定他的攻击手法和漏洞。访问攻击者访问的页面/default.aspx,发现是登录页面，而攻击者使用的又是sqlmap，且成功注入了。应急人员：在时间和漏洞配合日志没有头绪分析下，就是日志没有东西，也没发现漏洞，可以尝试对后门分析找到攻击行为。我们使用sqlmap检测是否存在SQL注入，发现确实成功了，确定了攻击者的入口。

awk 首先将每条日志中的IP抓出来，如日志格式被自定义过，可以 -F 定义分隔符和 print指定列；

事件发生时的状况或安全设备告警等，能帮助应急处置人员快速分析确定事件类型，方便前期准备。

应急响应Linux应急响应之流量劫持处置流程Linux应急响应之流量劫持处置流程

应急响应Linux应急响应之数据泄露处置流程Linux应急响应之数据泄露处置流程

攻击者故意篡改网络上传送的报文 通常已入侵目标系统并篡改数据 劫持网络连接 插入数据的形式进行。

Webshell指的是以JSP PHP ASP等网页脚本形式存在的一种服务器可执行文件 一般带有文件操作 命令执行功能 是一种网页后门。

勒索病毒通常利用非对称加密算法和对称加密算法组合的形式来加密文件,绝大多数勒索病毒无法通过技术手段进行解密 必须拿到对应的解密密钥才有可能无损的还原被加密的文件。

排查 init.d 目录下的脚本文件，如果某个脚本启动的服务进程与名称不符，或者脚本文件的内容被修改，加有别的什么东西启动了别的进程，必须仔细排查，极可能是被用来启动后门进程了。排查C: \、C: \winnt、C: \winnt\System 、C: \winnt\ System32、C: \winnt\System32\dllcache、C: \winnt\System32\ drivers、各个Program Files目录下的内容，排查他们目录及文件的属性，若无版本说明，多为可疑文件；

访谈管理员，了解DDOS事件情况。

应急响应Linux应急响应之挖矿病毒处置流程Linux应急响应之挖矿病毒处置流程

执行命令stat[空格]文件名，包括三个时间access time（访问时间）、modify time（内容修改时间）、change time（属性改变时间）根据事件时间、传播方式进行问题的排查。根据访谈结果，判断是否误报。

应急响应，Windows应急响应，Linux应急响应