应急响应-网页篡改-技术操作只指南

初步判断

• 网页篡改事件区别于其他安全事件地明显特点是：打开网页后会看到明显异常。

业务系统某部分出现异常字词

• 网页被篡改后，在业务系统某部分网页可能出现异常字词，例如，出现赌博、色情、某些违法APP推广内容等。2019年4月，某网站遭遇网页篡改，首页产生大量带有赌博宣传地黑链，如图所示。

• 

网站出现异常图片、标语等

• 网页被篡改后，一般会在网站首页等明显位置出现异常图片、标语等。例如，政治攻击者为了宣泄不满，在网页上添加反动标语来进行宣示；还有一些攻击者为了炫耀技术，留下“Hack by 某某”字眼或相关标语，如图所示。

• 

系统排查

• 网页被恶意篡改是需要相应权限才能执行的，而获取权限主要有三种方法：一是通过非法途径购买已经泄露的相应的服务器账号；二是使用恶意程序进行暴力破解，从而修改网页；三是入侵网站服务器，进而获取操作权限。应对网页篡改事件进行的系统排查如下。

异常端口、进程排查

• 初步预判为网页篡改攻击后，为了防止恶意程序定时控制和检测网页内容，需要及时发现并停止可疑进程，具体步骤如下。
• 检测端口连接情况，判断是否有远程连接、可疑连接。
• 查看可疑的进程及其子进程。重点关注没有签名验证信息的进程，没有描述信息的进程，进程的属主、路径是否合法，以及CPU或内存资源长期占用过高的进程。

可疑文件排查

• 发现可疑进程后，通过进程查询恶意程序。多数的网页篡改是利用漏洞上传Webshell文件获取权限的，因此也可以使用D盾工具进行扫描。若发现Webshell文件、则可以继续对webshell进行排查。

确认篡改时间

• 为了方便后续的日志分析，此时需要确认网页篡改的具体时间。可以查看被篡改服务器的日志文件access.log，确认文件篡改大概时间。如图所示，可知最后修改时间为2019年10月21日5时51分27秒，因此网页篡改时间在这个时间之前。

• 

日志排查

系统日志

windows

• 系统

• • 查看是否有异常操作，如创建任务计划、关机、重启等。

• 安全

• • 查看各种类型的登录日志、对象访问日志、进程追踪日志、特权使用、账号管理、策略变更、系统事件等。安全也是调查取证中最常用的日志。

Linux系统

• Linux系统拥有非常灵活和强大的日志功能，可以保存用户几乎所有的操作记录，并可以从中检索出需要的信息，主要查看的日志如下。

• • /var/log/messages：查看是否有异常操作，如sudo、su等命令执行
  • /var/log/secure：查看是否有异常登录行为
  • last：查看最近登录行为
  • lastb：查看是否有错误登录行为
  • /var/log/audit：查看是否有铭感命令的操作
  • /var/spool/mail：查看是否有异常的邮件发送历史
  • .bash_history：查看是否有异常的命令执行记录

Web日志

• Web日志记录了Web服务器接收处理请求及运行错误等各种原始信息。通过Web日志可以清楚知晓用户的IP地址、何时使用的操作系统、使用什么浏览器访问了网站的那个页面、是否访问成功等。通过对Web日志进行安全分析、可以还原攻击场景，如图所示。

• • 

Windows系统

• 查看IIS日志、常见的IIS日志存放在目录“C:\inetpub\logs\LogFiles”下（如果未找到，可通过 IIS 配置查看日志存放位置）。
• 查看与文件篡改时间相关的日志，查看是否存在异常文件访问。
• 若存在异常文件访问，则确认该文件是正常文件还是后门文件。

Linux系统

• 查找Apache和Tomcat日志，常见存放位置如下：

• • Apache 日志位置：/var/log/httpd/access_log。
  • Tomcat 日志位置：/var/log/tomcat/access_log。

• 通过使用【cat】命令，可查找与文件篡改时间相关的日志，查看是否存在异常文件访问。
• 若存在异常文件访问，则确认该文件是正常文件还是后门文件

数据库日志

Mysql数据库日志

• 使用【show variables like 'log_%';】命令，可查看是否启用日志。
• 使用【show variables like 'general_log_file';】命令，可查看日志位置。
• 通过之前获得的时间节点，在 query_log 中查找相关信息。

Oracle数据库日志

• 若数据表中有 Update 时间字段，则可以作为参考；若没有，则需要排查数据日志来确定内容何时被修改
• 使用【select * from v$logfile;】命令，可查询日志路径。
• 使用【select * from v$sql】命令，可查询之前使用过的 SQL

网络流量排查

• 通过流量监控系统，筛选出问题时间线内所有该主机的访问记录，提前IP地址，在系统日志、Web日志和数据库日志中查找该IP地址的所有操作

清除加固

• 对被篡改网页进行下线处理。根据网页被篡改的内容及影响程度，有针对性地进行处置，如果影响程度不大，篡改内容不多，那么可先将相关网页进行下线处理，其他网页正常运行，然后对篡改内容进行删除恢复；如果篡改网页带来的影响较大，被篡改的内容较多，那么建议先对整个网站进行下线处理，同时挂出网站维护的公告。
• 如果被篡改的内容较少，那么可以手动进行修改恢复；如果被篡改的内容较多，那么建议使用网站定期备份的数据进行恢复。当然，如果网站有较新的备份数据，那么无论篡改内容是多是少，推荐进行网站覆盖恢复操作（覆盖前对被篡改网站文件进行备份，以备后续使用），避免有未发现的篡改数据。
• 如果网站没有定时备份，那么就只能在一些旧的数据的基础上，手动进行修改、完善。因此，对网站进行每日异地备份，是必不可少的。
• 备份和删除全部发现的后门，完成止损。
• 通过在 access.log 中搜索可疑 IP 地址的操作记录，可判断入侵方法，修复漏洞。