【每日一记13】+第二天+window入侵排查
  

弓长先生丶 2141

{{ttag.title}}
window入侵排查


当企业发生黑客入侵、系统崩溃或其它影响业务正常运行的安全事件时,急需第一时间进行处理,使企业的网络信息系统在最短时间内恢复正常工作,进一步查找入侵来源,还原入侵事故过程,同时给出解决方案与防范措施,为企业挽回或减少经济损失。  


常见的应急响应事件分类:


web入侵:网页挂马、主页篡改、Webshell


系统入侵:病毒木马、勒索软件、远控后门


网络攻击:DDOS攻击、DNS劫持、ARP欺骗


针对常见的攻击事件,结合工作中应急响应事件分析和解决的方法,总结了一些Window服务器入侵排查的思路。


入侵排查思路


1.1 检查系统账号安全


1、查看服务器是否有弱口令,远程管理端口是否对公网开放。


* 检查方法:据实际情况咨询相关服务器管理员。


2、查看服务器是否存在可疑账号、新增账号。


* 检查方法:打开 cmd 窗口,输入`lusrmgr.msc`命令,查看是否有新增/可疑的账号,如有管理员群组的(Administrators)里的新增账户,如有,请立即禁用或删除掉。


3、查看服务器是否存在隐藏账号、克隆账号。


* 检查方法:


  a、打开注册表 ,查看管理员对应键值。


  b、使用D盾_web查杀工具,集成了对克隆账号检测的功能。


![](./image/sum-1-1.png)


4、结合日志,查看管理员登录时间、用户名是否存在异常。


* 检查方法:


  a、Win+R打开运行,输入“eventvwr.msc”,回车运行,打开“事件查看器”。


  b、导出Windows日志--安全,利用Log Parser进行分析。


![](./image/sum-1-2.png)






1.2 检查异常端口、进程


1、检查端口连接情况,是否有远程连接、可疑连接。


* 检查方法:


  a、netstat -ano 查看目前的网络连接,定位可疑的ESTABLISHED


  b、根据netstat 定位出的pid,再通过tasklist命令进行进程定位 tasklist  | findstr “PID”


![](./image/sum-1-3.png)


2、进程


* 检查方法:


  a、开始--运行--输入msinfo32,依次点击“软件环境→正在运行任务”就可以查看到进程的详细信息,比如进程路径、进程ID、文件创建日期、启动时间等。


  b、打开D盾_web查杀工具,进程查看,关注没有签名信息的进程。


  c、通过微软官方提供的 Process Explorer 等工具进行排查 。


  d、查看可疑的进程及其子进程。可以通过观察以下内容:


                    没有签名验证信息的进程
                    没有描述信息的进程
                    进程的属主
                    进程的路径是否合法
                    CPU或内存资源占用长时间过高的进程


3、小技巧:


​        a、查看端口对应的PID: netstat -ano | findstr “port”


​        b、查看进程对应的PID:任务管理器--查看--选择列--PID 或者  tasklist  | findstr “PID”


​        c、查看进程对应的程序位置:


​                任务管理器--选择对应进程--右键打开文件位置


​                运行输入 wmic,cmd界面 输入  process


​        d、tasklist /svc   进程--PID--服务


​        e、查看Windows服务所对应的端口:
​                %system%/system32/drivers/etc/services(一般%system%就是C:\Windows)






1.3 检查启动项、计划任务、服务


1、检查服务器是否有异常的启动项。


* 检查方法:


  a、登录服务器,单击【开始】>【所有程序】>【启动】,默认情况下此目录在是一个空目录,确认是否有非业务程序在该目录下。
  b、单击开始菜单 >【运行】,输入 msconfig,查看是否存在命名异常的启动项目,是则取消勾选命名异常的启动项目,并到命令中显示的路径删除文件。
  c、单击【开始】>【运行】,输入 regedit,打开注册表,查看开机启动项是否正常,特别注意如下三个注册表项:
  HKEY_CURRENT_USER\software\micorsoft\windows\currentversion\run
  HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
  HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Runonce
  检查右侧是否有启动异常的项目,如有请删除,并建议安装杀毒软件进行病毒查杀,清除残留病毒或木马。


  d、利用安全软件查看启动项、开机时间管理等。


  e、组策略,运行gpedit.msc。


![](./image/sum-1-4.png)






2、检查计划任务


* 检查方法:


  a、单击【开始】>【设置】>【控制面板】>【任务计划】,查看计划任务属性,便可以发现木马文件的路径。


  b、单击【开始】>【运行】;输入 cmd,然后输入at,检查计算机与网络上的其它计算机之间的会话或计划任务,如有,则确认是否为正常连接。






3、服务自启动


* 检查方法:单击【开始】>【运行】,输入services.msc,注意服务状态和启动类型,检查是否有异常服务。


1.4 检查系统相关信息


1、查看系统版本以及补丁信息


* 检查方法:单击【开始】>【运行】,输入systeminfo,查看系统信息


2、查找可疑目录及文件


* 检查方法:


  a、 查看用户目录,新建账号会在这个目录生成一个用户目录,查看是否有新建用户目录。


  ​        Window 2003  C:\Documents and Settings


  ​        Window 2008R2  C:\Users\


  b、单击【开始】>【运行】,输入%UserProfile%\Recent,分析最近打开分析可疑文件。


  c、在服务器各个目录,可根据文件夹内文件列表时间进行排序,查找可疑文件。


  d、回收站、浏览器下载目录、浏览器历史记录


  e、修改时间在创建时间之前的为可疑文件


3、得到发现WEBSHELL、远控木马的创建时间,如何找出同一时间范围内创建的文件?


​        a、利用 Registry Workshop  注册表编辑器的搜索功能,可以找到最后写入时间区间的文件。


​        b、利用计算机自带文件搜索功能,指定修改时间进行搜索。


1.5 自动化查杀


* 病毒查杀


  * 检查方法:下载安全软件,更新最新病毒库,进行全盘扫描。


* webshell查杀


  * 检查方法:选择具体站点路径进行webshell查杀,建议使用两款webshell查杀工具同时查杀,可相互补充规则库的不足。




1.6 日志分析


系统日志


* 分析方法:


  a、前提:开启审核策略,若日后系统出现故障、安全事故则可以查看系统的日志文件,排除故障,追查入侵者的信息等。


  b、Win+R打开运行,输入“eventvwr.msc”,回车运行,打开“事件查看器”。


  C、导出应用程序日志、安全日志、系统日志,利用Log Parser进行分析。


WEB访问日志


* 分析方法:


  a、找到中间件的web日志,打包到本地方便进行分析。


  b、推荐工具:Window下,推荐用 EmEditor 进行日志分析,支持大文本,搜索效率还不错。


  ​                         Linux下,使用Shell命令组合查询分析

打赏鼓励作者,期待更多好文!

打赏
暂无人打赏

发表新帖
热门标签
全部标签>
每日一问
技术盲盒
干货满满
技术笔记
新版本体验
功能体验
产品连连看
标准化排查
2023技术争霸赛专题
技术咨询
信服课堂视频
运维工具
用户认证
SANGFOR资讯
社区帮助指南
秒懂零信任
技术晨报
VPN 对接
专家分享
自助服务平台操作指引
GIF动图学习
畅聊IT
答题自测
专家问答
技术圆桌
在线直播
MVP
网络基础知识
安装部署配置
升级
安全攻防
上网策略
测试报告
日志审计
问题分析处理
流量管理
每日一记
云计算知识
原创分享
解决方案
sangfor周刊
项目案例
技术顾问
信服故事
SDP百科
功能咨询
终端接入
授权
设备维护
资源访问
地址转换
虚拟机
存储
迁移
加速技术
排障笔记本
产品预警公告
玩转零信任
信服圈儿
S豆商城资讯
技术争霸赛
「智能机器人」
追光者计划
深信服技术支持平台
答题榜单公布
纪元平台
通用技术
卧龙计划
华北区拉练
天逸直播
以战代练
山东区技术晨报
文档捉虫活动
齐鲁TV
华北区交付直播
每周精选

本版达人

新手68983...

本周分享达人

零和一网络

本周提问达人