防护手法

本文涉及的产品
日志服务 SLS,月写入数据量 50GB 1个月
简介: 一、检查系统账号安全1、查看服务器是否有弱口令,远程管理端口是否对公网开放。检查方法:据实际情况咨询相关服务器管理员。2、查看服务器是否存在可疑账号、新增账号。检查方法:打开 cmd 窗口,输入 lusrmgr.msc 命令,查看是否有新增/可疑的账号,如有管理员群组的(Administrators)里的新增账户,如有,请立即禁用或删除掉。3、查看服务器是否存在隐藏账号、克隆账号。

常见的应急响应事件分类:


Web 入侵:网页挂马、主页篡改、Webshell


系统入侵:病毒木马、勒索软件、远控后门


网络攻击:DDOS 攻击、DNS 劫持、ARP 欺骗


针对常见的攻击事件,结合工作中应急响应事件分析和解决的方法,总结了一些 Windows 服务器入侵排查的思路。


入侵排查思路

一、检查系统账号安全

1、查看服务器是否有弱口令,远程管理端口是否对公网开放。


检查方法:据实际情况咨询相关服务器管理员。

2、查看服务器是否存在可疑账号、新增账号。


检查方法:打开 cmd 窗口,输入 lusrmgr.msc 命令,查看是否有新增/可疑的账号,如有管理员群组的(Administrators)里的新增账户,如有,请立即禁用或删除掉。

3、查看服务器是否存在隐藏账号、克隆账号。


检查方法:


a、打开注册表 ,查看管理员对应键值。


b、使用D盾_web查杀工具,集成了对克隆账号检测的功能。


4、结合日志,查看管理员登录时间、用户名是否存在异常。


检查方法:


a、Win+R 打开运行,输入"eventvwr.msc",回车运行,打开“事件查看器”。


b、导出 Windows 日志 – 安全,利用微软官方工具 Log Parser 进行分析。


二、 检查异常端口、进程

1、检查端口连接情况,是否有远程连接、可疑连接。


检查方法:


a、使用netstat -ano 命令查看目前的网络连接,定位可疑的 ESTABLISHED


b、根据 netstat 命令定位出的 PID 编号,再通过 tasklist 命令进行进程定位 tasklist | findstr "PID"


2、进程


检查方法:


a、开始 – 运行 – 输入 msinfo32 命令,依次点击 “软件环境 – 正在运行任务” 就可以查看到进程的详细信息,比如进程路径、进程ID、文件创建日期以及启动时间等。


b、打开D盾_web查杀工具,进程查看,关注没有签名信息的进程。


c、通过微软官方提供的 Process Explorer 等工具进行排查 。


d、查看可疑的进程及其子进程。可以通过观察以下内容:


 没有签名验证信息的进程

 没有描述信息的进程

 进程的属主

 进程的路径是否合法

 CPU 或内存资源占用长时间过高的进程

1

2

3

4

5

3、小技巧:


a、查看端口对应的 PID:netstat -ano | findstr "port"


b、查看进程对应的 PID:任务管理器 – 查看 – 选择列 – PID 或者 tasklist | findstr "PID"


c、查看进程对应的程序位置:


任务管理器 – 选择对应进程 – 右键打开文件位置


运行输入 wmic,cmd 界面输入 process


d、tasklist /svc 进程 – PID – 服务


e、查看Windows服务所对应的端口:


%systemroot%/system32/drivers/etc/services(一般 %systemroot% 就是 C:\Windows 路径)


三、检查启动项、计划任务、服务

1、检查服务器是否有异常的启动项。


检查方法:


a、登录服务器,单击【开始】>【所有程序】>【启动】,默认情况下此目录在是一个空目录,确认是否有非业务程序在该目录下。

b、单击开始菜单 >【运行】,输入 msconfig,查看是否存在命名异常的启动项目,是则取消勾选命名异常的启动项目,并到命令中显示的路径删除文件。

c、单击【开始】>【运行】,输入 regedit,打开注册表,查看开机启动项是否正常,特别注意如下三个注册表项:


HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\run

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run

1

2

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Runonce



检查右侧是否有启动异常的项目,如有请删除,并建议安装杀毒软件进行病毒查杀,清除残留病毒或木马。


d、利用安全软件查看启动项、开机时间管理等。


e、组策略,运行 `gpedit.msc`



2、检查计划任务


* 检查方法:


a、单击【开始】>【设置】>【控制面板】>【任务计划】,查看计划任务属性,便可以发现木马文件的路径。


b、单击【开始】>【运行】;输入 `cmd`,然后输入 `at`,检查计算机与网络上的其它计算机之间的会话或计划任务,如有,则确认是否为正常连接。


3、服务自启动


* 检查方法:单击【开始】>【运行】,输入 `services.msc`,注意服务状态和启动类型,检查是否有异常服务。


#### 四、 检查系统相关信息


1、查看系统版本以及补丁信息


* 检查方法:单击【开始】>【运行】,输入 `systeminfo`,查看系统信息。


2、查找可疑目录及文件


* 检查方法:


a、 查看用户目录,新建账号会在这个目录生成一个用户目录,查看是否有新建用户目录。


1

2

3

4

5

6

7

8

9

10

11

12

13

14

15

16

17

18

19

20

21

22

23

24

25

26

27

28

29

30

31

32

Window 2003版本 C:\Documents and Settings

Window 2008R2及以后版本 C:\Users\



b、单击【开始】>【运行】,输入 `%UserProfile%\Recent`,分析最近打开分析可疑文件。


c、在服务器各个目录,可根据文件夹内文件列表时间进行排序,查找可疑文件。


d、回收站、浏览器下载目录、浏览器历史记录


e、修改时间在创建时间之前的为可疑文件


3、发现并得到 WebShell、远控木马的创建时间,如何找出同一时间范围内创建的文件?


a、利用 [Registry Workshop](http://www.torchsoft.com/en/rw_information.html) 注册表编辑器的搜索功能,可以找到最后写入时间区间的文件。

b、利用计算机自带文件搜索功能,指定修改时间进行搜索。




#### 五、 自动化查杀


* 病毒查杀


* 检查方法:下载安全软件,更新最新病毒库,进行全盘扫描。


* webshell查杀


* 检查方法:选择具体站点路径进行webshell查杀,建议使用两款 WebShell 查杀工具同时查杀,可相互补充规则库的不足。




#### 六、日志分析


系统日志


* 分析方法:


a、前提:开启审核策略,若日后系统出现故障、安全事故则可以查看系统的日志文件,排除故障,追查入侵者的信息等。


b、Win+R 打开运行,输入 "eventvwr.msc",回车运行,打开"事件查看器"。


C、导出应用程序日志、安全日志、系统日志,利用 [Log Parser](https://www.microsoft.com/en-us/download/details.aspx?id=24659) 进行分析。




Web 访问日志


* 分析方法:


a、找到中间件的web日志,打包到本地方便进行分析。


b、推荐工具:Windows 下,推荐用 EmEditor 进行日志分析,支持大文本,搜索效率还不错。Linux 下,使用 Shell 命令组合查询分析。


### 工具篇


#### 病毒分析


PCHunter:http://www.xuetr.com


火绒剑:https://www.huorong.cn


Process Explorer:https://docs.microsoft.com/zh-cn/sysinternals/downloads/process-explorer


processhacker:https://processhacker.sourceforge.io/downloads.php


autoruns:https://docs.microsoft.com/en-us/sysinternals/downloads/autoruns


OTL:https://www.bleepingcomputer.com/download/otl/


SysInspector:http://download.eset.com.cn/download/detail/?product=sysinspector




#### 病毒查杀


卡巴斯基:http://devbuilds.kaspersky-labs.com/devbuilds/KVRT/latest/full/KVRT.exe   (推荐理由:绿色版、最新病毒库)


大蜘蛛:http://free.drweb.ru/download+cureit+free(推荐理由:扫描快、一次下载只能用1周,更新病毒库)


火绒安全软件:https://www.huorong.cn


360杀毒:http://sd.360.cn/download_center.html




#### 病毒动态


CVERC-国家计算机病毒应急处理中心:http://www.cverc.org.cn


微步在线威胁情报社区:https://x.threatbook.cn


火绒安全论坛:http://bbs.huorong.cn/forum-59-1.html


爱毒霸社区:http://bbs.duba.net


腾讯电脑管家:http://bbs.guanjia.qq.com/forum-2-1.html




#### 在线病毒扫描网站


Virustotal:https://www.virustotal.com


Virscan:http://www.virscan.org


腾讯哈勃分析系统:https://habo.qq.com


Jotti 恶意软件扫描系统:https://virusscan.jotti.org




#### webshell查杀


D盾_Web查杀:http://www.d99net.net/index.asp


河马 WebShell 查杀:http://www.shellpub.com

相关实践学习
【涂鸦即艺术】基于云应用开发平台CAP部署AI实时生图绘板
【涂鸦即艺术】基于云应用开发平台CAP部署AI实时生图绘板
相关文章
|
SQL
SQL 的 AND、OR 和 NOT 运算符:条件筛选的高级用法
SQL的AND运算符用于根据多个条件筛选记录,确保所有条件都为TRUE才返回记录。下面是AND运算符的基本语法:
295 1
|
机器学习/深度学习 分布式计算 DataWorks
EasyRec 使用介绍|学习笔记
快速学习 EasyRec 使用介绍。
1744 0
|
分布式计算 负载均衡 数据处理
MapReduce中的Combiner函数的作用和使用场景
MapReduce中的Combiner函数的作用和使用场景
506 0
|
存储 Web App开发 Android开发
iOS不支持WebP格式图片解决方案和iPhone 7及其后硬件拍照的HEIC格式图片
iOS不支持WebP格式图片解决方案和iPhone 7及其后硬件拍照的HEIC格式图片
1068 1
iOS不支持WebP格式图片解决方案和iPhone 7及其后硬件拍照的HEIC格式图片
|
资源调度 JavaScript 前端开发
vue2_二次封装a-upload组件,自定义上传预览
vue2_二次封装a-upload组件,自定义上传预览
924 0
|
10月前
|
机器学习/深度学习 人工智能 算法
【车辆车型识别】Python+卷积神经网络算法+深度学习+人工智能+TensorFlow+算法模型
车辆车型识别,使用Python作为主要编程语言,通过收集多种车辆车型图像数据集,然后基于TensorFlow搭建卷积网络算法模型,并对数据集进行训练,最后得到一个识别精度较高的模型文件。再基于Django搭建web网页端操作界面,实现用户上传一张车辆图片识别其类型。
367 0
【车辆车型识别】Python+卷积神经网络算法+深度学习+人工智能+TensorFlow+算法模型
|
域名解析 网络协议 数据安全/隐私保护
DNS解析问题之授权RAM子账号管理指定域名如何解决
DNS解析是指将人类可读的域名转换成机器可读的IP地址的过程,它是互联网访问中不可或缺的一环;本合集将介绍DNS解析的机制、类型和相关问题的解决策略,以确保域名解析的准确性和高效性。
722 1
|
Linux Android开发 iOS开发
FFmpeg开发笔记(七)欧拉系统编译安装FFmpeg
FFmpeg跨平台支持多系统,包括Linux、macOS、Windows和Android。官方提供[编译指南](https://trac.ffmpeg.org/wiki/CompilationGuide)。在CentOS上,编译涉及安装多个依赖,如NASM、Yasm、libx264、libx265、libfdk_aac等。同样,在EulerOS上,需安装相关工具并分别编译x264、x265和FFmpeg。详细FFmpeg开发内容可参考《FFmpeg开发实战:从零基础到短视频上线》。
372 1
FFmpeg开发笔记(七)欧拉系统编译安装FFmpeg
|
存储 算法 图形学
|
机器学习/深度学习 计算机视觉 知识图谱
【YOLOv8改进】ACmix(Mixed Self-Attention and Convolution) (论文笔记+引入代码)
YOLO目标检测专栏探讨了YOLO的改进,包括卷积和自注意力机制的创新结合。研究发现两者在计算上存在关联,卷积可分解为1×1卷积,自注意力也可视为1×1卷积的变形。由此提出ACmix模型,它整合两种范式,降低计算开销,同时提升图像识别和下游任务的性能。ACmix优化了移位操作,采用模块化设计,实现两种技术优势的高效融合。代码和预训练模型可在相关GitHub和MindSpore模型库找到。 yolov8中引入了ACmix模块,详细配置参见指定链接。