事件分类
常见的安全事件:
Web入侵:挂马、篡改、Webshell
系统入侵:系统异常、RDP爆破、SSH爆破、主机漏洞
病毒木马:远控、后门、勒索软件
信息泄漏:拖裤、数据库登录(弱口令)
*** 流量:频繁发包、批量请求、DDOS攻击
2 排查思路
一个常规的入侵事件后的系统排查思路:
文件分析
a) 文件日期、新增文件、可疑/异常文件、最近使用文件、浏览器下载文件
b) Webshell 排查与分析
c) 核心应用关联目录文件分析
进程分析
a) 当前活动进程 & 远程连接
b) 启动进程&计划任务
c) 进程工具分析
i. Windows:Pchunter
ii. Linux: Chkrootkit&Rkhunter
系统信息
a) 环境变量
b) 帐号信息
c) History
d) 系统配置文件
日志分析
a) 操作系统日志
i. Windows: 事件查看器(eventvwr)
ii. Linux: /var/log/
b) 应用日志分析
i. Access.log
ii. Error.log
3 分析排查
3.1 Linux系列分析排查
3.1.1 文件分析
敏感目录的文件分析(类/tmp目录,命令目录/usr/bin /usr/ *** in)
例如:
查看tmp目录下的文件: ls –alt /tmp/
查看开机启动项内容:ls -alt /etc/init.d/
查看指定目录下文件时间的排序:ls -alt | head -n 10
针对可疑文件可以使用stat进行创建修改时间、访问时间的详细查看,若修改时间距离事件日期接近,有 线性关联,说明可能被篡改或者其他。
新增文件分析
例如要查找24小时内被修改的 *** P文件: find ./ -mtime 0 -name "*.jsp"
(最后一次修改发生在距离当前时间n24小时至(n+1)24 小时)
查找72小时内新增的文件find / -ctime -2
PS:-ctime 内容未改变权限改变时候也可以查出
根据确定时间去反推变更的文件
ls -al /tmp | grep "Feb 27"
特殊权限的文件
查找777的权限的文件 find / *.jsp -perm 4777
隐藏的文件(以 "."开头的具有隐藏属性的文件)
在文件分析过程中,手工排查频率较高的命令是 find grep ls 核心目的是为了关联推理出可疑文件。
3.1.2 进程命令
使用netstat *** 连接命令,分析可疑端口、可疑IP、可疑PID及程序进程
netstat –antlp | more
使用ps命令,分析进程
ps aux | grep pid | grep –v grep
将netstat与ps 结合,可参考vinc牛的案例:
(可以使用lsof -i:1677 查看指定端口对应的程序)
使用ls 以及 stat 查看系统命令是否被替换。
两种思路:之一种查看命令目录最近的时间排序,第二种根据确定时间去匹配。
ls -alt /usr/bin | head -10
ls -al /bin /usr/bin /usr/ *** in/ / *** in/ | grep "Jan 15"
《荒野大镖客2》中的很多游戏玩家都想进行这一狙击兵挑戰,可是狙击兵挑戰难以保证,那麼针对这一狙击兵挑戰应当做些什么?今日,边肖将给你产生“二零零二年上下”游戏玩家共享的狙击兵挑戰对策,期待能对你有...
做抖音,要记住这一句话:涨粉靠爆款,留粉看日常。 当然,这里并不是说把主要精力放在那些有「爆款潜质」的作品上,而是要本着做爆款的态度,去死磕每一个作品。 只有把作品的整体质量提升上来,出爆款的几率...
今天中国各省进到三九第一天。在我国有“数九寒冬”的叫法:“三九四九冰面走”,它是最严寒的岁月。三九第一天的情绪要怎么写呢?下边我产生:三九第一天的心情句子 三九第一天发朋友圈文案说说。 三九第一天...
⒈哪儿能寻找黑客的联系电话百度搜索 工作经验搜百度一个百度搜索引擎你能寻找黑客联系电话但绝大多数是多少都是碰到的大广告宣传的说我了解一个这类的这类是啥你应该清晰。寻找社区论坛这些id里边公布文章内容或...
如何彻底删除微信记录?很多微信用户最近都在问小编这个问题,疫情期间微信聊天记录存储太多,其中涉及大量的个人隐私,为了保护隐私安全,所以大家都想彻底删除微信记录,可是很多用户不知如何解决这个问题,从而多...
微软已宣布Windows用户很快就能直接从他们的系统访问Linux文件。根据博客文章,今年4月推出的下一代Windows 10将使用户能够从文件资源管理器访问Linux文件并通过命令行进行编辑。这将更...