应急响应技巧

最新推荐文章于 2024-05-21 10:23:42 发布
最新推荐文章于 2024-05-21 10:23:42 发布
阅读量607 收藏 3
点赞数 2
分类专栏： 应急响应 文章标签： linux 安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_43886632/article/details/105556406
版权

了解事件

发生时间-事件类型（挖矿、勒索）-受影响系统的情况（运行什么服务、端口）
询问客户或运维人员发现异常事件的具体时间以及影响范围。及时隔离防止继续感染影响范围扩大

事件主机需要了解的情况
主机是windows/linux
OA系统/邮件系统/财务系统/web官网等，业务系统是否可关停
是否有弱口令，远程管理端口是否开放
都开放了哪些端口，有什么应用服务，开发的服务是否存在漏洞分析
是否做了映射

异常情况

  • 文件已经被加密，打不开了
  • 设备无法正常启动
  • 勒索信息
  • 挖矿CPU利用率过高
  • 网页挂马/黑链
  • 对外发送异常请求
  • cc通信

处置异常

  • 禁止被感染主机使用U盘，移动硬盘等存储介质，如必须使用做好备份处理工作。主要是隔离被感知的主机
  • 禁用所有无线/有线网卡或直接拔网线
  • 关闭相关风险或者未知端口
  • 划分隔离网络区域
  • 封存主机，相关数据备份
  • 被感染主机应用服务下线
  • 被感染主机部分功能暂停
  • 被感染主机相关账号降权

事件主机分析

查看了解系统的相关信息—排查异常连接—异常进程排查—账号排查—启动项排查—计划任务排查—异常文件分析—日志排查—溯源—恢复

系统基本信息

  • Windows系统
  1. 查看当前系统的补丁信息 systeminfo
  • Linux系统

1.查看系统内核。列出系统arp表，重点查看网关mac地址 arp -a
2. 文件搜索命令 find / -name “.sh”

异常连接排查

  • Windows
  1. 查看目前的网络连接，定位可疑的 ESTABLISHED netstat -ano
    netstat -ano | findstr ESTABLISH
    参数说明：
    -a 显示所有网络连接、路由表和网络接口信息
    -n 以数字形式显示地址和端口号
    -o 显示与每个连接相关的所属进程 ID
    -r 显示路由表
    -s 显示按协议统计信息、默认地、显示 IP
    LISTENING 侦听状态
    ESTABLISHED 建立连接
    CLOSE_WAIT 对方主动关闭连接或网络异常导致连接中断
  2. 查看端口对应的pid
    netstat -ano | findstr “port”
  • Linux
  1. 列出所有打开了网络套接字（TCP和UDP）的进程
    lsof -i
    lsof -i|grep -E “LISTEN|ESTABLISHED”
  2. 列出所有打开的端口及连接状态
    netstat -antlp
    netstat -an
    参数说明
    -a 显示所有连线中的 Socket。
    -n 直接使用 IP 地址,而不通过域名服务器。
    -t 显示 TCP 传输协议的连线状况。
    -u 显示 UDP 传输协议的连线状况。
    -v 显示指令执行过程。
    -p 显示正在使用 Socket 的程序识别码和程序名称。
    -s 显示网络工作信息统计表

异常进程

  • Windows
  1. 查看异常进程 任务管理器
  2. 显示运行在本地或远程计算机上的所有进程 tasklist | findstr 11223
    根据netstat定位出的异常进程的pid，再通过tasklist命令进行进程定位
  3. 根据 wmic process 获取进程的全路径 wmic process | findstr “xx.exe”
  4. 查看进程的详细信息，比如进程路径，进程ID，文件创建日期，启动时间等
    “开始->运行->msinfo32->软件环境 -> 正在运行任务”
  • Linux
  1. 查找进程pid
    netstat -antlp 先找出可疑进程的端口
    lsof -i:port 定位可疑进程pid
  2. 通过pid查找文件
    linux每个进程都有一个对应的目录
    cd /proc/pid号 即可进入到该进程目录中
    ls -ail 结果中exe对应的就是该pid程序的目录
    ls -ail |grep exe
  3. 查看各进程占用的内存和cpu top
  4. 显示当前进程信息 ps
  5. 实现某个进程的精确查找 ps -ef | grep apache
  6. 结束进程 kill -9 pid，如，kill -9 43257
  7. 查看进程树 pstree -p 查找异常进程是否有父进程

账号排查

  • Windows
  1. 图形化界面查看当前的账户和用户组 lusrmgr.msc
  2. 查看当前账户情况 net user
  3. 查看某个账户的详细信息 net user Guest
  4. 查看当前组的情况 net localgroup administrators
  5. 查看当前系统会话，比如查看是否有人使用远程终端登陆服务器 query user
    踢出该用户 logoff ID ID是上面查询出来的。也可能是用户名
  • Linux
  1. 查看utmp日志，获得当前系统正在登陆账户的信息及地址 w
  2. 获得系统前N次的登陆记录 last | more
  3. 查看账号情况 cat /etc/passwd
    /etc/passwd保存着linux系统所有用户的信息，通过查看这个文件，我们就可以尝试查找有没有攻击者所创建的用户或者存在异常的用户。我们主要关注的是第3、4列的用户标识号和组标识号和倒数一二列的用户主目录和命令解析程序。一般来说最后一列命令解析程序如果是设置为nologin的话，那么表示这个用户是不能登录的，所以可以结合我们上面所说的bash_history文件的排查方法。首先在/etc/passwd 中查找命令解释程序不是nologin的用户，然后再到这些用户的用户主目录里，找到 bash_history，去查看这个用户有没执行过恶意命令。/etc/passwd中一行记录对应着一个用户，每行记录又被冒号(:)分隔为7个字段，其格式和具体含义如下：
    用户名:口令:用户标识号:组标识号:注释性描述:主目录:登录Shell
    注意：无密码只允许本机登陆，远程不允许登陆，某个版本之后好像因为安全问题，passwd文件不再有密码了
  4. 查看账号情况 cat /etc/shadow
    root:666oGs1PqhL2p3ZetrE$X7o7bzoouHQVSEmSgsYN5UD4.kMHx6qgbTqwNVC5oOAouXvcjQSt.Ft7ql1WpkopY0UV9ajBwUt1DpYxTCVvI/:16809:0:99999:7:::
    用户名：加密密码：密码最后一次修改日期：两次密码的修改时间间隔：密码有效期：密码修改到期到的警告天数：密码过期之后的宽限天数：账号失效时间：保留
    这里查账号感觉好一点，一般系统的账号都是没有密码的，所以找最长的那几个，那就是有密码的账户，很可能就是被黑客添加的后门账户
  5. linux非root用户文件夹所在位置 /home
  6. 查看所有账户最后一次登陆时间 lastlog
  7. 显示用户登陆错误的记录 lastb 检查暴力破解
  8. 显示用户最近登陆信息 last
    数据源为
    /var/log/wtmp
    /var/log/wtmp.1
    /var/log/btmp
    /var/log/btmp.1
  9. 查看当前登陆用户 who （tty本地登陆 pts远程登录）
  10. 查看当前时刻用户行为 w
  11. 查看登陆多久，多少用户，负载 uptime
  12. 删除user用户 userdel -r user
  13. 创建用户
    useradd admin 创建一个用户，在home目录下不创建文件夹
    passwd admin 修改之前创建的账号的密码
    adduser admin2 是一个比较完善的创建用户的命令，会在home目录下生成一个admin2的文件夹
  14. 删除用户
    userdel admin2 这样删除的话不完全，home目录下的admin2目录不会删除
    userdel -rf admin -r 完全删除一个账户 -f强制删除
    如果遇到账户删除显示已经删除，但创建同名的用户提示用户已存在的情况，尝试以下方法进行删除。
    手动删除passwd、shadow、group里面用户相关字段，以及用户相关的log和mail，并强制删除home目录下用户的文件夹。
    /home
    /etc/passwd
    /etc/group
    /var/spool/mail

启动项排查

  • Windows
  1. 查看开机启动有无异常文件 msconfig
  2. win10开机启动文件夹
    C:\ProgramData\Microsoft\Windows\Start Menu\Programs\StartUp
    快捷查找方法，找一个安装好的程序的快捷方式，右键打开文件位置，再进入该目录下的启动目录即可。StartUp
  3. win7开机启动文件夹
    C:\Users\rpkr\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup
    查找方式，开始>所有程序>启动 ,03查找同此方法
  4. 在注册表中查看开机启动项是否异常
    开始->运行->regedit，打开注册表，查看开机启动项是否正常，特别注意如下三个注册表项：
    HKEY_CURRENT_USER\software\micorsoft\windows\currentversion\run
    HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
    HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Runonce
    检查右侧是否有启动异常的项目，如有请删除，并建议安装杀毒软件进行病毒查杀，清除残留病毒或木马
  • Linux
  1. 查看开机启动项内容
    ls -alt /etc/init.d/
    /etc/init.d 是 /etc/rc.d/init.d 的软连接
  2. 启动项文件 more /etc/rc.local
    /etc/rc.d/rc[0~6].d
    ls -l /etc/rc.d/rc3.d/
    ll /etc |grep rc
  3. 定时任务-基本使用
    1.利用crontab创建计划任务
    crontab -l 列出某个用户 cron 服务的详细内容
    2.删除每个用户cront任务（慎重：删除所有的计划任务）
    crontab -r
    3.使用编辑器编辑当前的crontab文件
    crontab -e
    如：*/1 * * * * echo ““hello word”” >> /tmp/test.txt 每分钟写入文件
    4.利用anacron实现异步定时任务调度
    每天运行 /home/bacup.sh 脚本
    vi /etc/anacrontab
    #daily 10 example.daily /bin/bash /home/backup.sh
    当机器在backup.sh期望被运行时是关机的，anacron会在机器开机十分钟后运行它，而不用再等待7天
    ls -al /var/spool/cron/ 查看隐藏的计划任务
    Tips：默认编写的crontab文件会保存在（/var/spool/cron/用户名 例如：/var/loop/cron/root）

计划任务排查

  • Windows
  1. 查看Windows 计划任务 taskschd.msc
    或者 【程序】➜【附件】➜【系统工具】➜【任务计划程序】
  • Linux
  1. 查看当前计划任务有哪些 crontab -l 是否有后门木马程序启动相关信息
  2. 查看分析计划任务 crontab -u <-l, -r, -e>
    解释
    -u 指定一个用户
    -l 列出某个用户的任务计划
    -r 删除某个用户的任务
    -e 编辑某个用户的任务（编辑的是/var/spool/cron 下对应用户的 cron 文件，也可以直接修改
    /etc/crontab 文件）
  3. 查看 etc 目录任务计划相关文件
    ls -al /etc/cron*
    cat /etc/crontab
  4. 此处要注意隐藏的计划任务，在linux中以.开头的文件为隐藏文件，要使用ls -al来查看
  5. 定时任务 - 入侵排查
    重点关注以下目录中是否存在恶意脚本
    /var/spool/cron/*
    /etc/crontab
    /etc/cron.d/*
    /etc/cron.daily/*
    /etc/cron.hourly/*
    /etc/cron.monthly/*
    /etc/cron.weekly/
    /etc/anacrontab
    /var/spool/anacron/*
    可以cat /etc/cron.daily/* 查看目录下所有文件

异常文件分析

  • Windows

  1. 查看文件时间 右键查看文件属性，查看文件时间

  2. Recent 是系统文件夹，里面存放着你最近使用的文档的快捷方式，查看用户recent 相关文件，通过分析最近打开分析可疑文件 %UserProfile%\Recent

  3. 通过文件时间属性来定位可疑文件，根据文件夹内文件列表时间进行排序，查找可疑文件。当然也可以搜索指定日期范围的文件及文件查看文件时间，创建时间、修改时间、访问时间，黑客通过菜刀类工具改变的是修改时间。所以如果修改时间在创建时间之前明显是可疑文件

    Linux

  4. 分析文件日期 stat xx.sh

  5. 返回最近24小时内修改过的文件 find ./ -mtime 0
    返回的是前48~24小时修改过的文件 find ./ -mtime 1
    返回10天内修改过的文件，可以把最近几天的数据一天天的加起来 find ./ -mtime 0 -o -mtime 1 -o -mtime 2
    查找 24 小时内被修改的 php 文件 find ./ -mtime 0 -name “*.php”

  6. 敏感目录的文件分析 [零时/tmp 目录，命令目录/usr/bin /usr/sbin 等], 查看 tmp 目录下的文件 ls –alt /tmp/ | head -n 10这样是按时间顺序查出来的结果

  7. 特殊权限文件查找
    find / *.php -perm 777
    find / -perm 777 |more
    find / *.sh -perm 777|grep .sh

  8. 以 "."开头的具有隐藏属性的文件,当前目录查找 ls -ar |grep “^.”

  9. i 属性是linux文件不可修改权限
    chattr +I filename 给文件添加不可修改权限
    chattr -I filename 将文件的不可修改权限去掉
    lsattr filename 查看文件是否设置了相关权限
    如果设置了该参数，则无论任何人想要删除改文件均需要将此权限去掉

  10. a属性是 linux文件不可修改权限
    chattr +a filename 给文件添加只追加权限
    chattr -a filename 将文件的只追加权限去掉
    lsattr filename 查看文件的相关权限设置
    这个权限让目标只能追加，不能删除，而且不能通过编辑器追加

日志排查

  • Windows
  1. 打开日志管理器 eventvwr.msc
  2. 查看暴力破解问题，筛选事件ID
  • Linux
  1. 查看历史命令记录文件 cat /root/.bash_history |more ,每个账户对应的文件夹下都有这样一个日志文件，或者是history命令直接查
  2. 查看 /var/log/secure 登录日志，可观察其进行暴力破解溯源
  3. linux系统可使用 lastb 和 last 进行查看登录成功失败的IP地址
  4. 重点排查/var/log目录下的日志

溯源

. 分析事件原因

  • 攻击来源，IP，攻击链路
  • 攻击行为分析，弱口令爆破、反序列化漏洞、文件上传、命令执行漏洞等
    输出应急响应报告并且提供加固

恢复

异常文件程序清除 ，恢复业务系统运转、更改账号密码
升级加固系统

工具篇

  • webshell查杀
    D盾_Web查杀：
    http://www.d99net.net/index.asp
    河马webshell查杀：
    http://www.shellpub.com
    百度在线查杀：
    https://scanner.baidu.com/#/pages/intro
    Web Shell Detector：
    http://www.shelldetector.com/
    CloudWalker：
    https://github.com/chaitin/cloudwalker/releases

  • 日志分析工具
    攻击日志分析：
    https://github.com/Lucifer1993/ALB
    Web日志分析：
    https://github.com/JeffXue/web-log-parser
    Windows系统安全登录日志分析工具：
    https://github.com/TheKingOfDuck/logonTracer

  • 在线病毒扫描
    http://www.virscan.org //多引擎在线病毒扫描网 v1.02，当前支持 41 款杀毒引擎
    https://www.virustotal.com //新版多引擎世界在线杀毒网
    https://habo.qq.com //腾讯哈勃分析系统
    https://virusscan.jotti.org //Jotti恶意软件扫描系统
    http://www.scanvir.com //针对计算机病毒、手机病毒、可疑文件等进行检测分析

  • 威胁情报
    CVERC-国家计算机病毒应急处理中心：
    http://www.cverc.org.cn
    微步在线威胁情报社区：
    https://x.threatbook.cn
    火绒安全论坛：
    http://bbs.huorong.cn/forum-59-1.html
    奇安信威胁情报中心：
    https://ti.qianxin.com/
    腾讯御见威胁情报中心（微信公众号）
    黑鸟（微信公众号）

  • 病毒分析
    PCHunter：
    http://www.xuetr.com
    火绒剑：
    https://www.huorong.cn
    Process Explorer：
    https://docs.microsoft.com/zh-cn/sysinternals/downloads/process-explorer
    processhacker：
    https://processhacker.sourceforge.io/downloads.php
    autoruns：
    https://docs.microsoft.com/en-us/sysinternals/downloads/autoruns

  • 病毒查杀
    卡巴斯基：
    http://devbuilds.kaspersky-labs.com/devbuilds/KVRT/latest/full/KVRT.exe
    （推荐理由：绿色版、最新病毒库）
    大蜘蛛：
    http://free.drweb.ru/download+cureit+free
    （推荐理由：扫描快、一次下载只能用1周，更新病毒库）
    火绒安全软件：
    https://www.huorong.cn
    360杀毒：
    http://sd.360.cn/download_center.html

php00py
关注
  • 2
    点赞
  • 踩
  • 3
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
应急响应技巧(1).pdf
04-23
【应急响应技巧(1).pdf】的文档主要涵盖了在网络安全领域中进行应急响应的一些关键技巧，特别是针对Linux系统的检查和分析。以下是对这些技巧的详细解释： 1. **系统检查**： - **端口检查**：使用`netstat`命令...
应急响应笔记(Linux）
daxi0ng的博客
10-21 1676
A、日志分析 1、除root之外，是否还有其它特权用户(uid 为0)awk -F: '$3==0{print $1}' /etc/passwd 2、可以远程登录的帐号信息 awk '/\$1|\$6/{print $1}' /etc/shadow 3、查看登录失败信息 grep -o "Failed password" /var/log/secure|uniq -c 4、...
Linux 应急响应命令总结，收藏版
Biu_Biu_Bi的博客
04-10 2206
Linux 应急响应命令总结，收藏版
Linux应急响应篇
最新发布
weixin_64312503的博客
05-21 111
上一篇文章主要介绍了windows应急响应的基础技术分析能力，那么本章继续对linux操作系统中应急响应的基础技术分析能力做一下介绍，希望能对有需要的同学有帮助。以上便是我对linux系统中应急响应过程中常用的一些功能和分析方法，从10个方面进行了描述。当然往往一些安全事件的复杂性可能超出了这些范围，但是当我们将基础的一些思路和方法都掌握了，对于一些变化上的分析灵活运用和实操便可。文章转载至：奇安信攻防社区-Linux应急响应篇 (butian.net)
linux应急响应总结
热门推荐
Shanfenglan's blog
10-14 12万+
前言 分为几个部分来记录一下linux应急响应的一些操作与思路。 主机相关 1.利用自动化检测程序rookithunter进行检测 rookithunter可以自动化检查主机上可能存在的rookit木马文件，与被篡改的命令等，找到被篡改的命令后可以选择删除命令，然后重新安装命令。 参考: 后门和漏洞在Linux中使用“Rootkit Hunter rootkit后门检查工具RKHunter 第一步：下载与安装rookithunter 1.通用操作 wget https://sourceforge.net/p
应急响应实战笔记_2020最新版.pdf
06-24
整体目录结构共六章，分为技巧篇和实战篇。第1~3章为技巧篇，分别对应入侵排查、日志分析和权限维持，第4~6章为实战篇，包含了Windows/Linux各种病毒木马，web入侵事件溯源处理过程。
应急响应实践课程（全新升级）—课程资源与下载地址.docx
04-22
课程内容涵盖Windows和Linux两大操作系统平台，详细解析了在应急响应中的关键步骤和技巧。在Windows部分，课程从基础的排查分析入手，如开机启动项检查、临时文件夹异常文件排查、浏览器信息记录分析等，逐步深入到...
Linux应急手册pdf
02-19
小技巧章节添加 history 显示执行时间 小技巧章节添加 单独查看某个服务的日志 原善后阶段 -> 日志章节添加 journalctl 查看服务日志 原善后阶段添加计划任务日志 原善后阶段 -> 密码填充章节检查命令进行了增强，原...
服务器故障应急响应方案.docx
11-05
- 提供培训，确保运维人员熟悉应急响应流程和故障处理技巧。 - 建立完整的日志记录和监控系统，以便快速定位问题源头。 - 定期审查和更新应急方案，以适应技术发展和业务变化。 总结，服务器故障应急响应方案是...
linux应急响应命令
dashaziyihao的博客
10-12 1137
本人纯新手小白，写博客初衷是为了个人更好的记忆，也为了帮助一些像我一样的了解应急响应，让大家了解应急响应该干些什么事情。文章内容取自《网络安全应急响应技术实战指南》。
linux应急响应基础和常用命令
菜鸟学安全的博客
12-17 2199
linux应急响应基础和常用命令基于linux系统本身进行应急响应。
蓝队防守技术-3-应急响应
qq_57410330的博客
04-09 1046
关于蓝队防守的应急响应
linux应急响应
hakksjss的博客
04-08 1222
注意：尽量禁用，等待所有应急操作结束后在删除用户及目录。禁用账号，始账号无法登陆，特点为第二栏，为！记录用户登录、注销、重启、关机等事件，，注：无密码用户默认仅能本地登录。是否存在管理员不明确身份的账号。确认可远程账户是否设置强密码，等对方操作系统有的终端都要看。可查看计划任务的基本使用格式。删除用户，并移除其家目录。重点检查运行的脚本、文件。②匹配查找文件生成时间。③检查隐藏文件或文件夹。查看hisroty记录。匹配关键字，排列、去重。检查是否存在自启服务。
初识应急响应之Linux篇
Jach1n
02-13 249
linux应急响应常用命令
windows应急响应溯源流程Part1
jentle8的博客
07-31 1635
windows 应急响应溯源Part1
应急响应-Linux
m0_52920608的博客
08-03 297
应急响应 Linux
Linux应急响应技巧：系统检查与安全审核
"应急响应技巧(1).pdf" 在网络安全领域，应急响应是处理系统或网络受到威胁或攻击时的关键步骤。这份文档主要涵盖了在Linux系统中的应急响应技巧，包括系统检查、关键文件检查、服务检查、启动项检查以及进程检查。...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值