应急响应
文章平均质量分 81
Pluto-2003
21级计算机科学与技术专业,网络安全方向,一个致力于分享各种安全领域的优质信息的博主
展开
-
应急响应实战笔记05Linux实战篇(3)
随着虚拟货币的疯狂炒作,利用挖矿脚本来实现流量变现,使得挖矿病毒成为不法分子利用最为频繁的攻击方式。新的挖矿攻击展现出了类似蠕虫的行为,并结合了高级攻击技术,以增加对目标服务器感染的成功率,通过利用永恒之蓝(EternalBlue)、web攻击多种漏洞(如Tomcat弱口令攻击、Weblogic WLS组件漏洞、Jboss反序列化漏洞、Struts2远程命令执行等),导致大量服务器被感染挖矿程序的现象。原创 2024-04-05 11:49:10 · 459 阅读 · 0 评论 -
应急响应实战笔记05Linux实战篇(2)
短连接(short connnection)是相对于长连接而言的概念,指的是在数据传送过程中,只在需要发送数据时,才去建立一个连接,数据发送完成后,则断开此连接,即每次连接只完成一项业务的发送。在系统维护中,一般很难去察觉,需要借助网络安全设备或者抓包分析,才能够去发现。原创 2024-04-04 17:10:46 · 390 阅读 · 0 评论 -
应急响应实战笔记05Linux实战篇(1)
SSH 是目前较可靠,专为远程登录会话和其他网络服务提供安全性的协议,主要用于给远程登录会话数据进行加密,保证数据传输的安全。SSH口令长度太短或者复杂度不够,如仅包含数字,或仅包含字母等,容易被攻击者破解,一旦被攻击者获取,可用来直接登录系统,控制服务器所有权限。原创 2024-04-02 15:44:47 · 360 阅读 · 0 评论 -
应急响应实战笔记04Windows实战篇(6)
作为一个运维工程师,而非一个专业的病毒分析工程师,遇到了比较复杂的病毒怎么办?别怕,虽然对二进制不熟,但是依靠系统运维的经验,我们可以用自己的方式来解决它。原创 2024-04-01 13:52:25 · 375 阅读 · 0 评论 -
应急响应实战笔记04Windows实战篇(5)
随着虚拟货币的疯狂炒作,挖矿病毒已经成为不法分子利用最为频繁的攻击方式之一。病毒传播者可以利用个人电脑或服务器进行挖矿,具体现象为电脑CPU占用率高,C盘可使用空间骤降,电脑温度升高,风扇噪声增大等问题。原创 2024-03-31 12:44:06 · 772 阅读 · 0 评论 -
应急响应实战笔记04Windows实战篇(4)
ARP病毒并不是某一种病毒的名称,而是对利用arp协议的漏洞进行传播的一类病毒的总称,目前在局域网中较为常见。发作的时候会向全网发送伪造的ARP数据包,严重干扰全网的正常运行,其危害甚至比一些蠕虫病毒还要严重得多。原创 2024-03-29 10:58:01 · 420 阅读 · 0 评论 -
应急响应实战笔记04Windows实战篇(3)
勒索病毒,是一种新型电脑病毒,主要以邮件、程序木马、网页挂马的形式进行传播。该病毒性质恶劣、危害极大,一旦感染将给用户带来无法估量的损失。这种病毒利用各种加密算法对文件进行加密,被感染者一般无法解密,必须拿到解密的私钥才有可能破解。自WannaCry勒索病毒在全球爆发之后,各种变种及新型勒索病毒层出不穷。原创 2024-03-26 10:59:34 · 426 阅读 · 0 评论 -
应急响应实战笔记04Windows实战篇(2)
蠕虫病毒是一种十分古老的计算机病毒,它是一种自包含的程序(或是一套程序),通常通过网络途径传播,每入侵到一台新的计算机,它就在这台计算机上复制自己,并自动执行它自身的程序。常见的蠕虫病毒:熊猫烧香病毒 、冲击波/震荡波病毒、conficker病毒等。原创 2024-03-25 10:58:52 · 292 阅读 · 0 评论 -
应急响应实战笔记04Windows实战篇(1)
FTP是一个文件传输协议,用户通过FTP可从客户机程序向远程主机上传或下载文件,常用于网站代码维护、日常源码备份等。如果攻击者通过FTP匿名访问或者弱口令获取FTP权限,可直接上传webshell,进一步渗透提权,直至控制整个网站服务器。原创 2024-03-24 17:55:51 · 550 阅读 · 0 评论 -
应急响应实战笔记03权限维持篇(7)
中国菜刀是一款专业的网站管理软件,用途广泛,使用方便,小巧实用。攻击者在入侵网站时,通常要通过各种方式写入Webshell,从而获得服务器的控制权限,比如执行系统命令、读取配置文件、窃取用户数据,篡改网站页面等操作。AntSword是一个开放源代码,跨平台的网站管理工具,旨在满足渗透测试人员以及具有权限和/或授权的安全研究人员以及网站管理员的需求。我在知识星球发起了一个小讨论,也收集到了一些webshell管理工具,如 hatchet、K8飞刀、lanker,欢迎补充。XISE WebShell管理工具。原创 2024-03-23 13:17:33 · 926 阅读 · 0 评论 -
应急响应流程整理
墙后的南北向流量监控;溯源需要充分利用检测阶段捕获的攻击行为告警、攻击 IP 等信息,例如通过分析捕获的恶意文件、钓鱼邮件的附件获取攻击者的 IP 或域名,结合威胁情报,还原攻击链,给出攻击者画像,追溯到真实的攻击者身份。1、互联网暴露面管理与防护:清理外围泄露的敏感信息,消除“无管理、无使用、无防护、无必要”的互联网暴露面资产,切实收敛暴露面;算法、密钥、特定互斥量、执行流程、加解密方式、特定功能模块、对抗分析措施、源码工程路径、特定数据字串、语言编译环境、特定数字签名、组件组织架构、特别的错误。原创 2024-03-21 20:26:27 · 986 阅读 · 0 评论 -
应急响应实战笔记03权限维持篇(6)
在渗透测试中,有三个非常经典的渗透测试框架----Metasploit、Empire、Cobalt Strike。那么,通过漏洞获取到目标主机权限后,如何利用框架获得持久性权限呢?原创 2024-03-04 14:55:58 · 943 阅读 · 0 评论 -
应急响应实战笔记03权限维持篇(5)
IPC$(Internet Process Connection)是共享"命名管道"的资源,它是为了让进程间通信而开放的命名管道,通过提供可信任的用户名和口令,连接双方可以建立安全的通道并以此通道进行加密数据的交换,从而实现对远程计算机的访问。而hta中也支持VBS。一般情况下攻击者使用FTP上传文件需要很多交互的步骤,下面这个 bash脚本,考虑到了交互的情况,可以直接执行并不会产生交互动作。** 另外呢,只要你所在服务器的环境支持,你也可以通过任何一门语言来实现它,这种方式暂不在本文的讨论范围之内。原创 2024-02-28 16:50:14 · 775 阅读 · 0 评论 -
应急响应实战笔记03权限维持篇(4)
首先启动的是/usr/sbin/sshd,脚本执行到getpeername这里的时候,正则匹配会失败,于是执行下一句,启动/usr/bin/sshd,这是原始sshd。这个子进程,没有什么检验,而是直接执行系统默认的位置的/usr/sbin/sshd,这样子控制权又回到脚本了。它通过提供一些动态链接库和一套统一的API,将系统提供的服务和该服务的认证方式分开,使得系统管理员可以灵活地根据需要给不同的服务配置不同的认证方式而无需更改服务程序,同时也便于向系统中添加新的认证手段。如果匹配成功就可以登录了。原创 2024-02-25 11:58:34 · 968 阅读 · 0 评论 -
应急响应实战笔记03权限维持篇(3)
攻击者在获取服务器权限后,会通过一些技巧来隐藏自己的踪迹和后门文件,本文介绍Linux下的几种隐藏技术。本文主要介绍了Linux下的几种隐藏技术,包括隐藏文件、隐藏权限、隐藏历史操作命令、端口复用、进程隐藏等方面的技巧。仅作抛砖引玉之用,欢迎留言分享。原创 2024-02-24 09:29:16 · 864 阅读 · 0 评论 -
应急响应实战笔记03权限维持篇(2)
利用COM劫持技术,最为关键的是dll的实现以及CLSID的选择,通过修改CLSID下的注册表键值,实现对CAccPropServicesClass和MMDeviceEnumerator劫持,而系统很多正常程序启动时需要调用这两个实例。如果攻击者能够控制其中的某一 个目录,并且放一个恶意的DLL文件到这个目录下,这个恶意的DLL便会被进程所加载,从而造成代码执行。管理员在平时运维过程应当保持警惕,掌握一定的入侵排查技巧,及时进行系统补丁更新,定期对服务器安全检查,才能有效地预防后门。原创 2024-02-23 13:11:01 · 844 阅读 · 0 评论 -
应急响应实战笔记03权限维持篇(1)
攻击者在获取服务器权限后,通常会用一些后门来维持权限,如果你想让你的后门保持的更久些,那么请隐藏好它,使之不易被管理员发现。原创 2024-02-20 13:38:10 · 923 阅读 · 1 评论 -
应急响应实战笔记02日志分析篇(5)
在利用SQL注入漏洞的过程中,我们会尝试利用sqlmap的--os-shell参数取得shell,如操作不慎,可能留下一些sqlmap创建的临时表和自定义函数。这个差别在于,不同的数据库连接工具,它在连接数据库初始化的过程中是不同的。通过这样的差别,我们可以简单判断出用户是通过连接数据库的方式。我们来做个简单的测试吧,使用我以前自己开发的弱口令工具来扫一下,字典设置比较小,2个用户,4个密码,共8组。另外,不管你是爆破工具、Navicat for MySQL、还是命令行,登录失败都是一样的记录。原创 2024-02-19 14:00:02 · 1094 阅读 · 1 评论 -
应急响应实战笔记02日志分析篇(4)
在利用SQL注入漏洞的过程中,我们会尝试利用sqlmap的--os-shell参数取得shell,如操作不慎,可能留下一些sqlmap创建的临时表和自定义函数。筛选后的结果,可以很清晰的识别用户登录信息,记录内容包括用户登录时间、登录是否成功、登录使用的账号以及远程登录时用户使用的IP地址。首先,MSSQL数据库应启用日志记录功能,默认配置仅限失败的登录,需修改为失败和成功的登录,这样就可以对用户登录进行审核。在日志文件查看器中,选择筛选,在筛选设置中源设置为“登录”,应用筛选器,确定。原创 2024-02-18 10:53:38 · 432 阅读 · 0 评论 -
应急响应实战笔记02日志分析篇(3)
打开网站,访问Xzuser.aspx,确认攻击者通过该页面的进行文件上传了图片木马,同时,发现网站了存在越权访问漏洞,攻击者访问特定URL,无需登录即可进入后台界面。在这里,我们遇到了一个问题:由于设置了代理转发,只记录了代理服务器的ip,并没有记录访问者IP?首先访问图片木马的记录,只找到了一条,由于所有访问日志只记录了代理IP,并不能通过IP来还原攻击路径,这时候,可以利用浏览器指纹来定位。第一种:确定入侵的时间范围,以此为线索,查找这个时间范围内可疑的日志,进一步排查,最终确定攻击者,还原攻击过程。原创 2024-02-15 20:36:05 · 749 阅读 · 1 评论 -
应急响应实战笔记02日志分析篇(2)
Linux系统拥有非常灵活和强大的日志功能,可以保存几乎所有的操作记录,并可以从中检索出我们需要的信息。本文简介一下Linux系统日志及日志分析技巧。日志默认存放位置:/var/log/查看日志配置情况:more /etc/rsyslog.conf日志文件说明记录了系统定时任务相关的日志记录打印信息的日志记录了系统在开机时内核自检的信息,也可以使用dmesg命令直接查看内核自检信息记录邮件信息记录系统重要信息的日志。原创 2024-02-13 10:22:04 · 615 阅读 · 1 评论 -
应急响应实战笔记02日志分析篇(1)
Windows系统日志是记录系统中硬件、软件和系统问题的信息,同时还可以监视系统中发生的事件。用户可以通过它来检查错误发生的原因,或者寻找受到攻击时攻击者留下的痕迹。Windows主要有以下三类日志记录系统事件:应用程序日志、系统日志和安全日志。系统日志记录操作系统组件产生的事件,主要包括驱动程序、系统组件和应用软件的崩溃以及数据丢失错误等。系统日志中记录的时间类型由Windows NT/2000操作系统预先定义。原创 2024-02-12 09:06:00 · 1457 阅读 · 1 评论 -
应急响应实战笔记01入侵排查篇(5)
经常会有一些小伙伴问:中了勒索病毒,该怎么办,可以解密吗?第一次遇到勒索病毒是在早几年的时候,客户因网站访问异常,进而远程协助进行排查。登录服务器,在站点目录下发现所有的脚本文件及附件后缀名被篡改,每个文件夹下都有一个文件打开后显示勒索提示信息,这便是勒索病毒的特征。出于职业习惯,我打包了部分加密文件样本和勒索病毒提示信息用于留档,就在今天,我又重新上传了样本,至今依然无法解密。作为一个安全工程师,而非一个专业的病毒分析师,我们可以借助各大安全公司的能力,寻找勒索病毒的解密工具。原创 2024-02-11 10:53:11 · 1009 阅读 · 1 评论 -
应急响应实战笔记01入侵排查篇(4)
如何在百万行代码里发现隐藏的后门?试想一下,如果你的网站被入侵,攻击者留下隐藏的后门,你真的都可以找出来吗?面对一个大中型的应用系统,数以百万级的代码行,是不可能做到每个文件每段代码进行手工检查的。即使是一款拥有 99.9% 的 Webshell 检出率的检测引擎,依然可能存在 Webshell 绕过的情况。另外,像暗链、网页劫持、页面跳转等常见的黑帽 SEO 手法,也很难通过手动检测或工具检测全部识别出来。最好的方式就是做文件完整性验证。原创 2024-02-10 10:22:08 · 1242 阅读 · 1 评论 -
应急响应实战笔记01入侵排查篇(3)
当网站服务器被入侵时,我们需要一款Webshell检测工具,来帮助我们发现webshell,进一步排查系统可能存在的安全漏洞。本文推荐了10款 WebShll 检测工具,用于网站入侵排查。当然,目前市场上的很多主机安全产品也都提供这种 WebShell 检测能力,比如阿里云、青藤云、safedog 等,本文暂不讨论。1、D盾_Web查杀阿D出品,使用自行研发不分扩展名的代码分析引擎,能分析更为隐藏的 WebShell 后门行为。兼容性:只提供 Windows 版本。D盾防火墙2、百度 WEBDIR+原创 2024-02-09 18:55:00 · 1672 阅读 · 1 评论 -
应急响应实战笔记01入侵排查篇(2)
当企业发生黑客入侵、系统崩溃或其它影响业务正常运行的安全事件时,急需第一时间进行处理,使企业的网络信息系统在最短时间内恢复正常工作,进一步查找入侵来源,还原入侵事故过程,同时给出解决方案与防范措施,为企业挽回或减少经济损失。针对常见的攻击事件,结合工作中应急响应事件分析和解决的方法,总结了一些 Linux 服务器入侵排查的思路。原创 2024-02-08 16:03:14 · 1176 阅读 · 0 评论 -
应急响应实战笔记01入侵排查篇(1)
当企业发生黑客入侵、系统崩溃或其它影响业务正常运行的安全事件时,急需第一时间进行处理,使企业的网络信息系统在最短时间内恢复正常工作,进一步查找入侵来源,还原入侵事故过程,同时给出解决方案与防范措施,为企业挽回或减少经济损失。常见的应急响应事件分类:Web 入侵:网页挂马、主页篡改、Webshell系统入侵:病毒木马、勒索软件、远控后门网络攻击:DDOS 攻击、DNS 劫持、ARP 欺骗针对常见的攻击事件,结合工作中应急响应事件分析和解决的方法,总结了一些 Windows 服务器入侵排查的思路。原创 2024-02-07 13:46:44 · 920 阅读 · 1 评论