应急响应技能

已于 2023-01-22 14:49:01 修改
阅读量2.8k 收藏 27
点赞数 7
分类专栏： 小计 文章标签： 安全
于 2021-06-02 18:32:37 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_45161658/article/details/117478351
版权

文章目录

01-应急响应基础技能及常见工具使用

01-应急响应概述

01-应急类型

  • 勒索
  • 挖矿
  • 网站被黑
  • APT攻击
  • 非法劫持
  • 数据泄露
  • 钓鱼邮件

02-应急方法论

在这里插入图片描述

03-应急响应阶段

检测阶段->抑制阶段->根除阶段->恢复阶段->溯源阶段

04-应急排查点/应对方案

  • 事件类型
  • 时间范围
  • 文件排查
  • 进程排查
  • 系统信息
  • 日志分析
  • 关联推理

02-windows应急响应

在这里插入图片描述

01-系统信息-基本信息

  • 命令行方式：通过win+R在运行窗口或是在命令行中输入msinfo32命令
  • 命令行方式：通过cmd命令行输入systeminfo命令
  • Github源码：https://github.com/neargle/win-powerup-exp-index

02-系统信息-用户信息

  • 命令行方式：通过cmd命令行输入net user Administrator命令查看Administrator用户
  • 在计算机管理->本地用户和组->用户中查看
  • 在注册表HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users中查看

03-系统信息-启动项

  • 命令行方式：通过cmd命令行输入msconfig命令，找到启动标签
  • 命令行方式：通过cmd命令行输入reg query "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run"命令来查看run键值

在这里插入图片描述
在这里插入图片描述

04-计划任务

  • 命令行方式：通过cmd命令行输入compmgmt.msc命令，找到系统工具–>任务计划程序 ，可以查看计划任务属性
  • 命令行方式：通过powershell命令行输入Get-ScheduledTas命令，可以查看计划任务属性
  • 命令行方式：通过cmd命令行输入schtasks命令，schtasks命令是一个功能更为强大的超级命令行计划工具，它含有at（在较老的系统中才可以用）命令行工具中的所有功能，获取计划任务时要求必须是本地Administrators组成的成员。

05-文件痕迹排查

敏感的文件路径（运行中查看）

  • %WINDIR%
  • %WINDIR%\Prefetch\
  • %WINDIR%\system32\
  • %TEMP%
  • %LOCALAPPDATA%
  • %APPDATA%
  1. 各个盘下的temp(tmp)相关目录下查看有无异常文件
  2. 浏览器浏览痕迹、浏览器下载文件、浏览器cookie信息(C:\Users\user\AppData\Roaming\Mozilla\Firefox\Profiles\hak7esfu.default-release)浏览器内存：firefox：places.sqlite
  3. 查看文件时间，创建时间、修改时间、访问时间。对应linux的ctime mtime atime，通过对文件右键属性即可看到详细的时间，黑客通过菜刀类工具改变的是修改时间。所以如果修改时间在创建时间之前明显是可疑文件
  4. 查看用户recent相关文件，通过分析最近打开分析可疑文件
    a) C:\Documents and Settings\Administrator\Recent
    b) C:\Documents and Settings\Default User\Recent
    c) 开始,运行 %UserProfile%\Recent
  5. 根据文件夹内文件列表时间进行排序，查找可疑文件。当然也可以搜索指定日期范围的文件及文件夹

通过列出攻击日期内新增的文件，来发现相关的恶意软件。Windows下对文件的查找可以可以使用forfiles命令，命令的参数如下：

F:\CTF>forfiles /?
FORFILES [/P pathname] [/M searchmask] [/S]
         [/C command] [/D [+ | -] {yyyy/MM/dd | dd}]
描述:
    选择一个文件(或一组文件)并在那个文件上
    执行一个命令。这有助于批处理作业。
参数列表:
    /P    pathname      表示开始搜索的路径。默认文件夹是当前工作的  
                        目录 (.)。
    /M    searchmask    根据搜索掩码搜索文件。默认搜索掩码是 '*'。  
    /S                  指导 forfiles 递归到子目录。像 "DIR /S"。   
    /C    command       表示为每个文件执行的命令。命令字符串应该    
                        用双引号括起来。
                        默认命令是 "cmd /c echo @file"。下列变量    
                        可以用在命令字符串中:
                        @file    - 返回文件名。
                        @fname   - 返回不带扩展名的文件名。
                        @ext     - 只返回文件的扩展名。
                        @path    - 返回文件的完整路径。
                        @relpath - 返回文件的相对路径。
                        @isdir   - 如果文件类型是目录，返回 "TRUE"；
                                   如果是文件，返回 "FALSE"。
                        @fsize   - 以字节为单位返回文件大小。
                        @fdate   - 返回文件上一次修改的日期。
                        @ftime   - 返回文件上一次修改的时间。
                        要在命令行包括特殊字符，字符请以 0xHH
                        形式使用十六进制代码(例如，0x09 为 tab)。
                        内部 CMD.exe 命令前面应以 "cmd /c" 开始。
    /D    date          选择文件，其上一次修改日期大于或等于 (+)，
                        或者小于或等于 (-) 用 "yyyy/MM/dd" 格式指定的日期;
                        或选择文件，其上一次修改日期大于或等于 (+)
                        当前日期加 "dd" 天，或者小于或等于 (-) 当前
                        日期减 "dd" 天。有效的 "dd" 天数可以是
                        0 - 32768 范围内的任何数字。如果没有指定，
                        "+" 被当作默认符号。
    /?                  显示此帮助消息。
示例:
    FORFILES /?
    FORFILES
    FORFILES /P C:\WINDOWS /S /M DNS*.*
    FORFILES /S /M *.txt /C "cmd /c type @file | more"
    FORFILES /P C:\ /S /M *.bat
    FORFILES /D -30 /M *.exe
             /C "cmd /c echo @path 0x09 在 30 前就被更改。"
    FORFILES /D 2001/01/01
             /C "cmd /c echo @fname 在 2001年1月1日就是新的。"
    FORFILES /D +2021/6/2 /C "cmd /c echo @fname 今天是新的。"
    FORFILES /M *.exe /D +1
    FORFILES /S /M *.doc /C "cmd /c echo @fsize"
    FORFILES /M *.txt /C "cmd /c if @isdir==FALSE notepad.exe @file"

06-进程排查

对于windows下的进程的排查，主要是为了找到恶意进程的PID，程序路径，有时还需要找到PPID（PID的父进程）及程序加载的dll。对于进程的排查，一般有几种方式。

  1. 通过任务管理器进行查看。
  2. 通过cmd命令行输入tasklist命令，显示运行在本地或远程计算机上的所有进程，带有多个执行参数。添加/svc参数，可以显示每个进程和服务的对应情况。对于某些加载dll的恶意进程，可以通过/m参数进行查询。对于要查询特定dll的调用情况，可以在/m后面添加dll名称。
  3. 通过cmd命令行输入netstat命令进行排查，一般会使用netstat -ano | findstr “ESTABLISHED” 查看目前的网络连接，定位可疑的ESTABLISHED。根据netstat 定位出的pid，再通过tasklist命令进行程序定位。
  4. 通过powershell命令行输入Get-WmiObject Win32_Process | select Name,ProcessId,ParentProcessId,Path命令进行排查，有时候对于有守护进程的进程，还要理清楚子父进程之间的关系，可以使用powershell进行查看，一般powershell在查询的时候会调用WMI对象（ Windows 系统管理的核心技术，可以按统一的方式公开各种类型的信息）。

07-日志分析

  • 打开事件管理器（开始—管理工具—事件查看器/开始运行eventvwr），主要分析安全日志，可以借助自带的筛选功能，通过事件ID，关键字等对日志进行筛选，或是借助其他的日志分析工具进行分析
  • 通过powershell命令Get-EventLog -list和get-winevent命令，Get-EventLog只获取传统的事件日志，而Get-WinEvent cmdlet 从包括传统日志（例如系统日志和应用程序日志）在内的事件日志和 Windows Vista 中引入的新 Windows 事件日志技术生成的事件日志中获取事件。获取安全日志下事件ID为4625(登陆失败)的所有日志信息（没有登录过就会报错）：Get-EventLog Security -InstanceId 4625，获取所有日志get-winevent -listlog *，获取2021-6-1日后的错误日志：Get-EventLog -LogName System -EntryType Error -After 2021-6-1

03-Linux应急响应

01-系统信息-基本信息

  • uname -a
  • cat /proc/version
  • lsmod(list modules)列出所有已载入系统的模块。Linux 操作系统的核心具有模块化的特性，因此在编译核心时，务须把全部的功能都放入核心。将这些功能编译成一个个单独的模块，待需要时再分别载入。

02-系统信息-用户信息

查看用户相关分析

a) useradd userdel 的命令时间变化（stat），以及是否包含可疑信息
b) cat /etc/passwd 分析可疑帐号，可登录帐号查看UID为0的帐号：awk -F: '{if($3==0)print $1}' /etc/passwd查看能够登录的帐号：cat /etc/passwd | grep '/bin/bash'，UID为0的帐号也不一定都是可疑帐号，Freebsd默认存在toor帐号，且uid为0.（toor在BSD官网解释为root替代帐号，属于可信帐号）

查看分析history (cat /root/.bash_history)，曾经的命令操作痕迹，以便进一步排查溯源。有可能通过记录关联到如下信息：
a) wget 远程某主机（域名&IP）的远控文件；
b) 尝试连接内网某主机（ssh scp），便于分析攻击者意图;（scp 命令用于 Linux 之间复制文件和目录。）
c) 打包某敏感数据或代码，tar zip 类命令
d) 对系统进行配置，包括命令修改、远控木马类，可找到攻击者关联信息…

03-系统信息-启动项

启动项作为恶意病毒的一个常用的驻留手段，以下几个地方可以查找启动项相关的内容。

  • /etc/init.d/rc.local
  • /etc/rc.local
  • rc.local
  • /etc/init.d

04-计划任务

  1. 通过crontab –l 查看当前的任务计划有哪些，也可以指定用户进行查看（如crontab -uroot -l是root用户下计划任务），来确认是否有后门木马程序启动相关信息；
  2. 查看etc目录任务计划相关文件，一般存在计划任务的目录有以下，可以通过浏览下面计划任务文件的方式来查看机会任务。

05-进程排查

使用netstat 网络连接命令，分析可疑端口、可疑IP、可疑PID及程序进程 netstat -antlp| more ，然后根据pid，利用ls –alh /proc/pid命令查看其对应的可执行程序

也可以利用lsof –p pid查看pid对应的可执行程序如果是恶意进程，可以使用kill -9（数字九） 进程的PID值命令来结束进程，如kill -9 2535，然后使用rm -rf filename来删除木马，如果root用户都无法删除相关文件，很可能文件被加上了i属性，使用lsatter filename命令来查看文件属性，然后使用chattr -i filename命令来移除i属性继而删除文件；也有的进程因为存在守护进程而无法杀除，可以先把进程挂起，再杀掉守护进程后，再回来把进程杀掉。

06-文件痕迹排查

  • 时间点-通过列出攻击日期内变动的文件，来发现相关的恶意软件。 一般是通过find命令对某一时间段增加的文件进行查找。如查找一天内新增的sh文件:find / -ctime 0 -name "*.sh"
  • 特殊文件-特殊权限的文件查看，如查找777的权限的文件：find /tmp -perm 777 | more，查找webshell：find /var/www/ -name "*.php" |xargs egrep
  • 在命令目录查看相关系统命令的修改时间，如使用ls -alt /bin命令

07-日志分析

Linux下的日志一般放在/var/log/下，具体的日志功能如下：
在这里插入图片描述

常见日志分析的方法：

1.日志查看分析，grep,sed,sort,awk综合运用

2.基于时间的日志管理：

  • /var/log/wtmp
  • /var/run/utmp
  • /var/log/lastlog(lastlog)
  • /var/log/btmp(lastb)

3.登录日志可以关注Accepted、Failed password 、invalid特殊关键字。
4.登录相关命令（ lastlog , who, w, users , last, finger）

除了对windows和Linux的系统日志的分析，还有web日志，中间件日志，数据库日志，FTP日志等，日志的分析的方法一般就是结合系统命令及正则表达式，或者利用相关的成熟的工具进行分析，分析的目的就是提取相关的特征规则，来对攻击者的行为就行分析。

Log日志的分析有很多相似的地方，这里以Apache 访问日志为例子，它用默认的CLF（common log format）来记录访问日志。访问日志的字节如下：

用工具分析Apache日志在这里插入图片描述
在这里插入图片描述

04-内存分析

内存的获取方法有如下几种：

  1. 基于用户模式程序的内存获取
  2. 基于内核模式程序的内存获取
  3. 基于系统崩溃转储的内存获取
  4. 基于操作系统注入的内存获取
  5. 基于系统休眠文件的内存获取
  6. 基于虚拟化快照的内存获取
  7. 基于系统冷启动的内存获取
  8. 基于硬件的内存获取

工具

  • RamCapturer内存获取
  • FTK Imager内存获取，https://blog.csdn.net/NDASH/article/details/110209477
  • 在获取内存文件后，可以使用Redline进行导入分析，Redline有较好的图形化界面。https://blog.csdn.net/qq_36933272/article/details/88533073
  • Volatility(vol.py)是一个开源的内存取证工具，可以分析入侵攻击痕迹，包括网络连接、进程、服务、驱动模块、DLL、handles、检测进程注入、cmd历史命令、IE浏览器历史记录、启动项、用户、shimcache、userassist、部分rootkit隐藏文件、cmdliner等。内存镜像中的网络链接情况：vol.py -f /root/1.men --profile=Win2008R2SP1x64 netscan，使用psxview排查隐藏进程：vol.py -f /root/1.men --profile=Win2008R2SP1x64 psxview。使用malfind 查找隐藏或注入的代码/ DLL：vol.py -f /root/1.men --profile=Win2008R2SP1x64 malfind，使用procdump对进程文件进行提取：vol.py -f /root/1.men --profile=Win2008R2SP1x64 procdump -p 2476 -o(https://blog.csdn.net/weixin_39559369/article/details/111061945)

05-常用工具

  • SysinternalsSuite是一个有工具的集合，里面的工具可以管理、故障分析和诊断你的Windows系统和应用程序。你能想到的相关排查问题的功能，里面都涵盖了，里面的工具太多，没有办法一一介绍，如使用AD Explorer轻松导航AD数据库，定义收藏位置，查看对象属性和属性，而无需打开对话框，编辑权限，查看对象的架构，以及执行可以保存和重新执行的复杂搜索；使用TCPView查看网络连接情况 ；使用PsExec在远程系统上启动交互式命令提示和IpConfig等远程启用工具；使用Autoruns对进程，服务，启动项等进行检测；使用procdump对内存进行dump等等。更多工具功能可以在下面网址去查询相关的功能及使用方法。https://docs.microsoft.com/en-us/sysinternals/downloads/sysinternals-suite
  • PCHunter是一款强大的内核级监控软件，软件可以查看内核文件、驱动模块、隐藏进程、注册表,内核，网络等等信息，功能相似的还有火绒剑，PowerTool等。数字签名颜色说明：
    黑色：微软签名的驱动程序；
    蓝色：非微软签名的驱动程序；
    红色：驱动检测到的可疑对象，隐藏服务、进程、被挂钩函数；
  • Process monitor主要是监控进程的行为应用程序运行时使用此软件来监控程序的各种操作。此软件主要监控程序的五种行为：文件系统，注册表，进程，网络，分析。由于此款软件监控的是系统中所有的进程的行为，数据量往往很大，不利于我们分析数据，所以需要对其设置过滤选项，通过Filter->Filter选项可以看到右侧的窗口，在此窗口中增加过滤项。
  • Process Explorer是一款由Sysinternals开发的Windows系统和应用程序监视工具，此款不仅结合了文件监视和注册表监视两个工具的功能，还增加了多项重要的增强功能。
  • Event Log Explorer是一款检测系统安全的软件。查看，监视和分析跟事件记录，包括安全，系统，应用程序和其他微软Windows 的记录被记载的事件。示例：https://mlichtenberg.wordpress.com/2011/02/03/log-parser-rocks-more-than-50-examples/
  • FullEventLogView是一个轻量级的日志检索工具，特点是绿色版，免安装，同时检索功能比windows自带的检索工具要快，展示要好。
  • Log Parser是微软工程师写的一个日志分析工具，功能很强大，支持SQL 查询语法的日志查询工具。

勒索病毒及解密工具查询网站
https://lesuobingdu.qianxin.com/
http://lesuobingdu.360.cn/
https://guanjia.qq.com/pr/ls/#navi_0
https://id-ransomware.malwarehunterteam.com/
https://www.nomoreransom.org/zh/index.html
https://esupport.trendmicro.com/en-us/home/pages/technical-support/1114221.aspx
https://noransom.kaspersky.com/
https://www.emsisoft.com/ransomware-decryption-tools/
https://www.avast.com/en-us/ransomware-decryption-tools
https://www.quickheal.com/free-ransomware-decryption-tool/

在应急过程中，能够获得IP,文件，域名，邮箱，URL等的情报信息，会对整个应急过程的分析起到极大的便利作用。这里列举几个常用的威胁情报网站。
https://ti.qianxin.com/
https://x.threatbook.cn/
https://www.virustotal.com/
https://www.threatcrowd.org/
https://www.threatminer.org/

06-总结

思路：事件类型->时间范围->文件排查->进程排查->系统信息->日志分析->关联推理

02-勒索病毒场景应急响应

01-勒索病毒概述

勒索软件是一种来自密码病毒学的恶意软件，会感染您的计算机并显示勒索消息，要求您付费才能使系统再次运行，若不支付赎金，它会威胁发布受害者的数据或永久阻止对其的访问。早期勒索软件攻击通常使用伪装成合法文件的特洛伊木马来进行，诱使用户以电子邮件附件的形式下载或打开该木马。当下比较常见的方式为暴力破解、漏洞利用的方式进行人工投毒。

  1. 加密勒索软件（Encrypting ransomware）
    ① 出现——1989
    ② 升级——1996
    ③ 盛行——2005.5
  2. 渗透(Exfiltration Leakware / Doxware)
  3. 移动勒索软件（Mobile ransomware）

勒索病毒例子：

  1. CrySiS
  2. Phobos
  3. GlobeImposter
  4. Sodinokibi
  5. WannaCry

02-勒索应急响应技能

01-Windows系统命令

Windows运行常用命令（win+R）

1、snippingtool：截图工具，支持无规则截图
2、osk: 打开屏幕键盘
3、mstsc: 远程桌面连接
4、compmgmt.msc: 计算机管理
5、explorer: 打开资源管理器
6、gpedit.msc: 组策略
7、taskmgr: 任务管理器
8、control：控制面板
9、control：userpasswords2：用户账户控制
10、regedit: 注册表编辑器
11、services.msc: 本地服务设置
12、winver: 检查Windows版本
13、devmgmt.msc: 设备管理器
14、msconfig: 系统配置实用程序（工具选项卡里面可以查看一些命令的使用）
15、secpol.msc: 本地安全策略
16、taskschd.msc: 计划任务

系统命令-NET

  • net user - 获取本机用户列表
  • net localgroup administrators - 本机管理员
  • net session - 查看当前会话
  • net start - 查看当前运行的服务
  • net use - 远程连接
  • net share - 查看当前用户下的共享目录
  • net user user$ - 查看隐藏用户（也可以从用户管理或者注册表SAM查看隐藏用户）

系统命令-netstat

  • netstat -ano - 查看开启了哪些端口
  • netstat -an | findstr 端口 - 查询特定端口

系统命令-schtasks

  • schtasks /query /fo LIST /v - 获取本机计划任务
  • schtasks /create /sc minute /mo 20 /tn “demo” /tr D:\a.vbs - 创建一个名为demo的计划任务（20分钟执行一次）
  • schtasks /delete /tn “demo” /f - 删除名为demo的计划任务

系统命令-findstr

  • findstr /s /i "Hello" *.* - 不区分大小写，在当前目录和所有子目录中的所有文件中的hello

系统命令- forfiles

  • forfiles /m *.exe /d +2021//4 /s /p c:\ /c “cmd /c echo @path @fdate @ftime” 2>nul - 定位指定时间段指定盘符释放文件

系统命令-systeminfo

系统命令-wmic

  • Wmic process - 获取系统进程信息

系统命令-attrib

  • attrib 1.txt - 查看当前目录下1.txt的属性
  • attrib -R 1.txt - 去掉1.txt的只读属性
  • attrib +H movie - 隐藏movie文件夹

02-Windows日志

Windows系统日志

系统日志主要是记录了系统组件产生的事件。系统日志主要记录的信息包括驱动程序产生的信息、系统组件产生的信息和应用程序崩溃的信息以及一些数据丢失情况的信息。系统日志文件：C:\Windows\System32\winevt\Logs\System.evtx

1、开始->运行->输入eventvwr->windows日志->系统
2、开始->windows管理工具->事件查看器->windows日志->系统

Windows安全日志

安全日志主要记录了与系统安全相关的一些事件。这种日志类型主要是记录了用户登入登出的事件、系统资源的使用情况事件以及系统策略的更改事件。在中，如果要查看安全日志信息，则操作员必须具有系统管理员的权限。安全日志文件：C:\Windows\System32\winevt\Logs\security.evtx

登录类型描述
2交互式登录（用户从控制台登录）
3网络（例如：通过net use,访问共享网络）
4批处理（为批处理程序保留）
5服务启动（服务登录）
7解锁（带密码保护的屏幕保护程序的无人值班工作站）
8网络明文（IIS服务器登录验证）
10远程交互（终端服务，远程桌面，远程辅助）
11缓存域证书登录
事件id说明
1102清理审计日志
4624账号成功登录
4625账号登录失败
4768Kerberos身份验证（TGT请求）
4769Kerberos服务票证请求
4776NTLM身份验证
4672授予特殊权限
4720创建用户
4726删除用户
4728将成员添加到启用安全的全局组中
4729将成员从安全的全局组中移除
4732将成员添加到启用安全的本地组中
4733将成员从启用安全的本地组中移除
4756将成员添加到启用安全的通用组中
4757将成员从启用安全的通用组中移除
4719系统审计策略修改

Windows应用程序日志

指的在上的应用程序产生的日志。一般指的的是微软幵发的应用程序，第三发幵发的基于系统的应用程序如果使用日志记录的函数，则这个应用程序将可以通过事件查看器查看其日志信息。安全日志文件：C:\Windows\System32\winevt\Logs\Application.evtx

03-Linux常用命令

  • top-查看系统状态

  • ps-枚举系统进程，ps -ef 显示所有命令，连带命令行

  • netstat-显示网络状态，netstat –antp 查看当前所有tcp连接的socket的程序识别码和程序名称以及IP地址

  • history-遍历主机历史命令，查找有无恶意命令

  • crontab -l-枚举定时任务，主要关注以下目录文件：

    /var/spool/cron/ 目录下存放的是每个用户包括root的crontab任务，每个任务以创建者的名字命名
    /etc/crontab 这个文件负责调度各种管理和维护任务。
    /etc/cron.d/ 这个目录用来存放任何要执行的crontab文件或脚本。

  • find-在指定目录下查找文件，find / –type f –newermt “2021-03-02”|xargs stat 查找根目录下时间文件修改时间比2021-03-02 更新的文件及状态。

  • last-用于显示用户最近登录信息。

  • lastb-用于列出登入系统失败的用户相关信息

04-LINUX相关日志

  • SECURE日志;日志位置：/var/log
  • HISTORY日志；
  • LAST日志；
  • AUDIT日志。

03-勒索应急排查思路

应急处置流程

事件状态判断 ->临时处置 ->信息收集分析 ->事件处置 ->事件防御

判断勒索病毒

• 奇安信
• 360
• ID Ransomware

溯源思路

1.排查当前系统、确定勒索时间线
2.通过时间线、排查日志及行为
3.寻找落地文件及样本、进一步分析行为

勒索处置流程

在这里插入图片描述

03-挖矿木马场景应急响应

01-挖矿 病毒简介

随着虚拟货币，比如门罗币、比特币等虚拟货币的疯狂炒作，挖矿病毒已经成为不法分子利用最为频繁的攻击方式之一 。不法分子可以利用个人电脑或服务器进行挖矿 ，获取虚拟货币，来获取利益。中挖矿病毒的主机具体现象 为 CPU 占用率高，磁盘可使用空间骤降，电脑温度升高，风扇噪声增大出现业务缓慢故障等问题，严重影响主机安全。

常见挖矿木马：WannaMine、 Mykings （隐匿者 、 Bulehero 、 8220Miner 、 “匿影”挖矿 木马 、 DDG 、 h2Miner 、MinerGuard 、 Kworkerds 、 Watchdogs……

挖矿程序会占用CPU进行超频运算，导致CPU严重损耗，并且影响服务器上的其他应用。挖矿程序还具备蠕虫化特点，当安全边界被突破时，挖矿病毒会向内网渗透，并在被入侵的服务器上持久化驻留以获取最大收益。由于挖矿程序具有联动作用，在清理过程中会存在处理不及时或清理不干净导致挖矿病毒反复发生、出现恶意脚本替换系统命令，从而导致执行系统命令时触发恶意脚本执行。 因此，需要在挖矿程序的一个执行周期内，尽快将被入侵服务器上的木马程序和持续化后门清理干净并且进行安全加固，否则容易导致挖矿病毒频繁复发 。CPU占用率高，利用 内 网漏洞及爆破的方式进行传播，蠕虫病毒

02-排 查处置方式

03-常见 挖 矿木马场景

Scorpio-m7
关注
专栏目录
2022全国职业技能大赛“信息安全管理与评估“--应急响应日志分析解析（高职组）
Aluxian_的博客
02-16 4794
竞赛有固定的开始和结束时间，参赛队伍必须决定如何有效的分配时间。请认真阅读以下指引！（1）当竞赛结束，离开时请不要关机；（2）所有配置应当在重启后有效；（3）除了CD-ROM/HDD/NET驱动器，请不要修改实体机的配置和虚拟机本身的硬件设置。所需的设备、机械、装置和材料所有测试项目都可以由参赛选手根据基础设施列表中指定的设备和软件完成。评分方案本项目模块分数为350分。
应急响应流程、建设、处置以及恢复文档（全）
03-27
应急响应流程、建设、处置以及系统恢复
技战法丨攻防演练防御——纵深、联动、诱捕（可搬运、可cv）
最新发布
m0_62783065的博客
08-04 962
技战法丨攻防演练防御——纵深、联动、诱捕（可搬运、可cv）
应急响应-CTF-BUUCTF-webshell后门 1
theenderofroot的博客
04-12 1004
试一下base64解码出的字符串：flag{fg6sbehpra4co_tnd}，可惜是错的，再去找。4、如果想摸个鱼可以直接全局搜索$pass，直接出答案，或者直接用杀毒软件、D盾也行。大概扫了一眼子目录发现upgrade文件夹比较可疑，打开其admin.php。对其中一些部分进行base64解码，没有发现可疑内容，云沙箱也没有报毒。3、最后只能慢慢找了，在member目录下找到一个多功能大马。那还按那道题的思路走，下载、解压、放入PhpStorm。2、先看这个hack文件夹，简直明目张胆啊。
应急响应-CTF-BUUCTF-后门查杀 1
theenderofroot的博客
04-12 1367
明显的一个文件包含漏洞代码，可以GET传参自定义文件名并且自动拼接php后缀，但是没有flag。2、下载下来是一个网站源码，看来是一道代码审计题，直接把文件夹放入PhpStorm中。5、那么就只能先看include文件夹了，里面还有个include.php，重点审查。4、 uploud文件夹里有个压缩包，打开看发现是一个很正常的word文档。发现$pass变量，内容好像是MD5加密字符串，包上flag试一试。3、先看web.php，这个文件的名字有点可疑。1、快速过一下题目，下载压缩包。
windows应急响应
WEB渗透测试 从入门到萌新
03-29 3239
一、工具扫描 使用木马查杀工具 对web后门 进行查找 如d盾、、、 二、日志分析、端口、进程、开机、注册表 1、网站通常是看中间件日志，通常目录是在中间件的logs目录下的acces.log文件。 2、端口 netstat -ano 参数说明： -a 显示所有网络连接、路由表和网络接口信息 -n 以数字形式显示地址和端口号 -o 显示与每个连接相关的所属进程 ID -r 显示路由表 -s 显示按协议统计信息、默认地、显示 IP 常见的状态说明： LISTENING 侦听状态 ESTABL
网安学习-应急响应3
weixin_44770698的博客
08-08 1874
网安学习-应急响应3
Linux 应急响应手册v1.8 发行版.zip
07-24
《Linux应急手册》是一本为Linux系统管理员和运维工程师量身打造的...本书内容涵盖了Linux系统安全、性能优化、故障排查等多个方面，通过丰富的实战案例和详细的操作步骤，帮助读者掌握Linux应急响应的核心技能和知识。
应急响应实践课程（全新升级）—课程资源与下载地址.docx
04-22
《应急响应实践课程》是一门全面讲解网络安全应急处理的视频教程，旨在帮助学员掌握系统安全检测、问题排查和应对策略。课程已经全新升级，确保内容的时效性和实用性，且资源真实有效，已在知识星球平台上分享。 ...
工控安全职业证书技能实践：工控网络安全应急响应规划组织架构.pptx
07-13
本篇主要探讨的是工控网络安全应急响应的规划和组织架构，旨在确保在面临安全威胁时能迅速、有效地应对。 首先，工控网络安全应急响应是指在发生网络安全事件时，通过预先规划的步骤和程序，对事件进行检测、抑制、...
2024年网络安全技能竞赛应急响应之取证日志文件
12-20
1.从靶机服务器的FTP上下载日志文件，分析日志文件，将黑客成功登录系统所使用的IP地址作为Flag值提交； ... 3.黑客成功登录系统后成功访问了一个关键位置的文件，将该文件名称（文件名称不包含后缀）作为Flag值提交；...
安恒8月应急响应题目回顾-附件资源
03-02
安恒8月应急响应题目回顾-附件资源
【网络安全】网络入侵检测——应急响应
Spontaneous_0的博客
10-11 676
当IDS或IPS检测到一个威胁时，我们需要进行应急响应来处理这个威胁。：首先，我们需要确认这个威胁。这可能需要查看IDS或IPS的日志，或者其他的证据，例如系统日志，网络流量，或者应用日志。：然后，我们需要评估这个威胁的影响。这可能需要查看被攻击的系统或应用的状态，或者其他的信息，例如攻击者的信息，攻击的方式，或者攻击的目标。：最后，我们需要响应这个威胁。这可能是通过阻止攻击流量，修复受影响的系统或应用，或者更新IDS或IPS的规则来完成的。：查看IDS的日志，确认这个攻击。
【勒索来袭】vulntarget-n-勒索病毒应急靶场
crowsec
06-05 494
vulntarget-n是一个模拟全球化勒索病毒高发环境下的应急响应和取证分析案例，其模拟了一个正常运行的业务服务被勒索病毒攻击的情景
CTF-warning
m0_62670778的博客
04-13 422
从提取出来的数据可以看出这些数据是一个压缩包的16进制数据。使用010Editior将这些数据导入。内容总是不一样，提取出来。下载附件后得到一个流量包。解压文件时发现需要密码。
windows应急响应（一）
Websec
09-10 1876
常见的入侵时间的排查思路如下： 攻击类型定位->时间范围->文件分析->进程分析->系统分析->日志分析->关联分析->逻辑推理->事件总结 参考文章：http://www.freebuf.com/column/178677.html https://www.cnblogs.com/shellr00t/p/6943796.html?utm_so...
GKCTF X DASCTF应急挑战杯-Maple_root-Writeup
Do1phln的博客
10-27 470
GKCTF X DASCTF应急挑战杯-Maple_root-Writeup 参赛队员： b4tteRy, x0r, f1oat 最终成绩：2285 最终排名：27 总结 经过最近几次类线下的演练，感觉慢慢对CTF有点上手了，这次终于不再爆0了，继续努力 MISC 签到 wireshark打开可知是shell流量，命令结果编码为hex+base64。观察前面几条whoami/ls等命令输出可知每行输出都是倒序输出。 故将cat /f14g|base64的结果每行倒序拼接解码后得到flag的编辑记录，去
网络安全之应急响应
qq_52074678的博客
05-02 771
一.响应的流程 二.分析的方向（以本人centos服务器和window10系统为演示对象模拟企业中的服务器） 1.文件分析 find ls --full-time md5sum find /mmin -2 最近2分钟修改过的文件 find / -mmin -2 | grep etc 最近2分钟被修改的文件并匹配关注的文件 ls --full-time qqbot 查看qqbot文件的修改时间 md5sum index.html 查看index.ht..
应急响应(日志/流量)
nigo134的博客
03-25 4683
事件分类 有害程序事件 网络攻击事件 信息破坏事件 事件内容安全事件 设备设施故障事件 灾害性事件 其它事件 应急响应工作流程 准备阶段 应急团队建设 应急方案制定 等级保护测评 检测阶段 判断安全设备告警 判断事件类型 判断事件级别 确定应急方案 抑制阶段 阻断:封禁IP、断开网络连接．隔离失陷主机 排查:排查可疑进程、排查可疑服务、审计各类日志、排查可疑账户、排查可疑文件 根除阶段 修复:系统漏洞.网站漏洞 更新:安全策略、威胁情报 还原:操作系统.业务系统 恢复
windows应急响应工具箱
06-24
### 回答1： Windows应急响应工具箱是一个专门设计用于帮助IT人员处理Windows设备安全事件的实用工具。它是由微软公司开发的，包括了多种工具和技术，目的是为了帮助用户更容易地检测和清除恶意软件、网络攻击和其他安全威胁。 这个工具箱具有多种功能： 1.快速定位、报告和分析安全事件：工具箱可以对Windows设备上的安全事件进行快速的定位、报告和分析，从而帮助IT人员识别安全威胁和了解攻击者的行动。 2.快速应对安全事件：工具箱可以针对各种安全事件提供快速应对方法，包括恶意软件、网络攻击、数据泄露等等。通过借助工具箱中包含的技术和工具，我们可以及时、高效地应对安全威胁，避免或者减少数据丢失和其他损失。 3.提高安全应急响应能力：工具箱可以帮助IT人员加强对Windows设备的安全管理和监控，提高整个组织的安全应急响应能力。同时，这个工具箱也包含了各种安全指南和最佳实践，对于提高整个组织的安全意识和保护能力都有很大帮助。 无论您是企业的IT管理员，还是安全专家，都可以受益于使用Windows应急响应工具箱。但需要注意的是，这个工具箱需要一定的专业技能和知识才能更好地使用和操作。 ### 回答2： Windows应急响应工具箱是一款专门用于Windows系统的应急响应工具，旨在帮助安全专家、网络管理员和其他IT专业人士快速检测和应对系统中的安全问题。 在Windows系统中，网络攻击和恶意软件的威胁不断增加，很多组织和个人面临着数据泄露、数据破坏、服务中断等安全问题。对于这些问题的快速响应至关重要，而Windows应急响应工具箱的出现满足了这一需求。 该工具箱包括多个工具，可用于检测和分析已知和未知的恶意软件、检测系统漏洞、分析系统日志、复原系统损坏、进行堆栈跟踪等工作。 Windows应急响应工具箱具有易用性和灵活性，用户可以根据需要选择不同的工具，实现不同的应急响应方案。同时，该工具箱还支持自定义扩展，用户可以根据自己的需求添加其他工具或脚本。 总之，Windows应急响应工具箱是一款功能强大、易于使用的工具，对于快速响应系统安全事件、提高系统安全性具有重要意义，也是安全专业人士必备的工具之一。 ### 回答3： Windows应急响应工具箱是一套由微软公司推出的辅助管理和维护Windows系统的工具包，其主要作用是支持用户对系统做出应急响应，及时修复问题，保障系统的正常运行。 Windows应急响应工具箱主要包含以下工具： 1. Windows 恶意软件移除工具：可直接运行于受感染的Windows系统中，查杀与软件和恶意软件相关联的病毒及恶意软件。 2. Microsoft 安全扫描工具：帮助管理员高效地检测系统中可能存在的漏洞和安全问题，可在扫描时进行自定义设置。 3. Windows 系统信息和恢复工具：用于对系统进行详细分析，诊断问题和恢复系统。 4. Windows 性能诊断工具：帮助管理员监测系统资源使用情况，定位瓶颈，从而提高系统的运行效率。 5. Sysinternals 工具：由知名的 Windows 内核开发者编写的一套系统调试和诊断工具集，可用于诊断复杂的系统问题，查找和修复故障。 总之，Windows应急响应工具箱是一个非常实用的软件包，能够帮助管理员监控、分析和处理系统的问题，减少安全漏洞和性能问题对系统稳定性的影响。
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

Scorpio-m7

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值