应急响应处置思路与流程

HVV中常见应急问题：

不确定攻击成功

服务器进行排查

windows服务器

账号排查

隐藏用户排查

• net user
• wmic查看
• 用户管理查看
• 注册列表查看

账户登录日志排查

• 4624登录成功
• 4625登录失败
• 4720账户创建
• 4724尝试重置密码
• 4738账户已更改

logoff踢出用户

网络连接排查

• netstat   -ant
• -a 显示所有网络连接、路由表和网络接口信息
• -n  ——数字的形式现实地址和端口号
• -o现实与每个连接相关得所属进程ID
• Listening
• Esablished
• Close_wait

进程排查

• Pchunter
• 火绒剑

文件排查

• 针对文件排查需要熟知常落地文件的类型以及作用。
• webshell-当有文件上传或者其他漏洞时常落地文件。
• mimkatz-用于破解域或者计算机密码 远控-常见为CS上线样本。
• frp-内网渗透端口转发
• Empire-类似metasploit，针对powershell利用
• sockscap--端口转发
• Proxychains--做socks代理（linux自带）
• Portscan.ps-针对windows端口扫描的powershell脚本。
• PowerShell-AD-Recon-针对windows域管理的各种脚本，域渗透必备
• 针对以上文件，一旦在存在，必然被入侵。校验MD5值

根据文件创建时间判断

当发现可疑文件后处置：

简单丢入沙箱中进行检查 使用“干净操作系统进行跟踪” 针对网络进行监控。 求助后场进行分析。

linux服务器

账号排查

• cat   /etc/passwd
• 查询uid为0的账户
• 分析可登录账户
• 查询用户错误的登陆信息
• 查询用户最后的登录信息
• 查看用户最近登录信息
• 查看当前用户登陆系统情况
• 查看空口令账户

网络连接排查

• netstat  -antlp
• netstat  -antlp  | more
• ps  aux      |    grep  pid

进程排查

• lsof   -p  PID查看进程打开的文件
• ps  -ef  |  awk'{print}'   |   sort  -n  |  uniq  >1

文件排查 

针对webshell排查的方式： 使用软件进行全文件扫描。

• find ./ -type f -name “*.jsp” | xargs grep “exec(”
• find ./ -type f -name “*.php” | xargs grep “eval(”
• find ./ -type f -name “*.asp” | xargs grep “execute(”
• find ./ -type f -name “*.aspx” | xargs grep “eval(”
• find ./ -type f -name “*.php” | xargs grep “base64_decode”

根据文件创建时间来排查

样本分析小技巧：

在HW过程中现红队常使用的cobaltstrike。其中在使用go语言生成后门程序的时候，会在程序字符串中保存go语言的相关组件，记录组件的方式路径+组件名称，如果没有加壳的话，可疑直接进行string分析。