开发者社区> 技术小甜> 正文

实例讲解网站被入侵后需做的检测

简介:
+关注继续查看
实例讲解网站被入侵后需做的检测

先分析入侵者都做了些什么! 

  记得为了方便在他机器上装了RADMIN,登录了一下,密码也不对了,看来是有人上去了,而且入侵者还拿到了系统管理员权限。 

  跑到机房,拿出ERD COMMANDER,改了密码,重启,进入系统后第一步升级帐户,多了一个hud$的用户,administrators组,删除,再看guest用户虽然禁用状态,但是说明内容不对了。仔细一看,administrators组,同样删除。接着看了下其他用户,组别都正常,把远程连接权限都去掉后,帐号方面算是处理完了。 

  接着看看各个硬盘C:\下面有如下文件 

  sqlhello.exe 

  sqlhello2.exe 

  result.txt 

  1.bat 

  2.bat 

  编辑了下1.bat,里面内容都是扫描整个网段。看来是有人拿这台机器当跳板了,移动所有文件到其他目录。 

  接着审计应用程序,考虑这台机器的用途和环境。是WINDOWS2000+IIS+SERV-U 。 

  先看SERV-U审计用户,看看有没有别人加system权限的FTP用户,查看下来没有。 

  执行权限也没有,锁定目录状态都是对的。 

  看了下没有记录日志。 

  然后看了版本。5.0.0.4...ft了,早让他升级,就是不升,看来是被入侵的第一步,先升级到6.0.0.2 ,FTP这里应该没什么问题了。 

  IIS方面的分析: 

  开着日志记录,太好了,等会儿分析日志 

  继续看,其他都是默认配置,先在应用程序映射里把所有的文件类型都删除干净只保留.ASP和.ASA 

  审计文件权限 

  设定各个分区和目录的权限。 

  接着审查木马情况,由于系统不能重装,所以只能加固原有已经被入侵的系统,考虑到这个入侵者添加的用户的情况以及在C根目录放文件还有日志都是开放等等情况,估计水平不会很高,也不会植入自己编写的木马。 

  使用了朋友thrkdev编的ATE来查了一遍,看来没有已知木马。 

  接着查找WEBSHELL,考虑到入侵者水平,最多也就用用海阳,而且最多也就把部分版权信息去掉,搜索所有内容包含lcx的.ASP文件。 

  果然,4个文件。 

  2005.asp 

  ok.asp 

  dvbbs7.asp 

  aki.asp 

  看来分析还是比较准确的,除了dvbbs7.asp有点创意,移动这些文件到其他目录,供以后审计用。 

然后是网络部分 

  TCP过滤未开,IPSEC未指派。 

  先把NETBIOS关掉,然后TCP内只允许20,21,80,3389 

  考虑到反向木马的可能性 

  在IPSEC内打开本机SPORT 20,21,80,3389到外部任意端口,其他从内部往外的一律屏蔽。 

  系统萃取,把一些无关服务与软件关闭或者卸载。 

  对系统进行补丁升级,还好补丁还是没有缺,把自动UPDATE设置到自动安装。 

  最后一步是分析日志,看看有没有遗漏的地方,系统本身的日志都被关闭了。看来入侵者还是比较小心。 

  打开该审计的部分,在关键目录,比如系统目录加上了审计,使得所有对C:\WINNT的创建文件的成功与失败都记录在日志内。 

  由于前面提到SERV-U日志原来并未记录,只能打开IIS日志查找对于找到的4个WEBSHELL的访问情况,找到了访问的IP,回查,来自一个固定IP地址,浏览了一下,得到信息后给对方管理员去邮件通知他们做好安全工作。 

  其实还有一些部分内容应该做而限于有些条件没有做的。 

  1.更换系统默认用户用户名 

  因为兄弟他们对计算机不熟,就没有更换,不过要求他们使用更加强壮的密码了 

  2.对于加密的webshell的查找 

  上述内容中对于WEBSHELL只查找了一种,并且只针对明文编码的页面程序进行了查找,应该是可以加入对于编码后ASP WEBSHELL的搜索。 

  还有搜索内容应该由简单的LCX扩展到wscript.shell等更加广泛与匹配的关键词的查找 

  3.对于木马的查找 

  由于预估入侵者水平不高,所以这项只依靠杀木马软件进行了搜索,如果有时间的话,还是应该手工进行查找 

  4.对页面程序进行评估 

  也有由于时间关系,没时间对原有网站程序进行检查。 

  5.入侵测试 

  由于入侵检测很可能被入侵者的思路带着走而忽略了其他薄弱环节,所以检测完毕应该最好进行完全的测试,保证其他路径是同样强壮的。

















本文转自starger51CTO博客,原文链接: http://blog.51cto.com/starger/19174,如需转载请自行联系原作者



版权声明:本文内容由阿里云实名注册用户自发贡献,版权归原作者所有,阿里云开发者社区不拥有其著作权,亦不承担相应法律责任。具体规则请查看《阿里云开发者社区用户服务协议》和《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容,填写侵权投诉表单进行举报,一经查实,本社区将立刻删除涉嫌侵权内容。

相关文章
警惕主动外联!云防火墙检测拦截勒索、Muhstik僵尸网络等 Log4j2漏洞利用
近期,阿里云安全观测到,在 Apache Log4j2 漏洞攻击全程中,无论是在漏洞利用阶段,还是后续要进行验证和进一步的控制利用,大多涉及多次受害服务器的主动外联,云防火墙已陆续发现并拦截60余万次涉及勒索、挖矿家族的漏洞利用行为。
536 0
高危预警|RDP漏洞或引发大规模蠕虫爆发,用户可用阿里云免费检测服务自检,建议尽快修复
阿里云安全中心免费提供服务器漏洞检测,支持Windows和Linux漏洞检测,支持云上主机和线下机房服务器的安全检测,助力企业做好安全预防。
5917 0
网络安全-webshell详解(原理、攻击、检测与防御)
网络安全-webshell详解(原理、攻击、检测与防御)
238 0
php网站漏洞检测对sql注入漏洞防护
近日,我们SINE安全对metinfo进行网站安全检测发现,metinfo米拓建站系统存在高危的sql注入漏洞,攻击者可以利用该漏洞对网站的代码进行sql注入攻击,伪造恶意的sql非法语句,对网站的数据库,以及后端服务器进行攻击,该metinfo漏洞影响版本较为广泛,metinfo6.1.0版本,metinfo 6.1.3版本,metinfo 6.2.0都会受到该网站漏洞的攻击。
1974 0
网站服务器被入侵该如何查询攻击日志
当windows服务器遭到入侵时,在运行过程中经常需要检索和深入分析相应的安全日志。除安全防护设备外,系统软件内置系统日志是调查取证的关键材料,但此类系统日志数量非常庞大,须要对windows安全日志开展合理深入分析,以获取我们需要的有用信息,这一点尤为重要。本文详细介绍了windows的系统日志种类,存储具体位置,检索方式,以及使用工具的方便检索。
383 0
+关注
文章
问答
文章排行榜
最热
最新
相关电子书
更多
如何产生威胁情报-高级恶意攻击案例分析
立即下载
网络流量异常行为分析系统
立即下载
数据泄露时代的 网络边界防御实践
立即下载
相关实验场景
更多