2024-04-10

应急响应总结

web服务应急

异常特征:

流量异常设备告警

处理思路:

获取受攻击Web服务器的组成架构(脚本语言数据库中间件操作系统等)
基于时间可能利用的漏洞后门查杀筛选查看日志，分析攻击行为

不同中间件的日志分析

日志查看方式

IIS日志:
- 通过IIS管理器查看
- 通过指定路径查看:
  Windows Server 2003 中的 IIS 6:
C:\Windows\System32\LogFiles
Windows Server 2008 R2 及以后版本（包括 Windows Server 2012, 2016, 2019）中的 IIS 7 及更高版本：
C:\inetpub\logs\LogFiles
Apache日志:
- windows
D:\xampp\apache\logs\access.log D:\xampp\apache\logs\error.log
- linux
/etc/httpd/logs/access_log
或
/var/log/httpd/access_log
Tomcat日志:
- windows
  Tomcat的日志文件默认存放在Tomcat安装目录下的logs子目录中Tomcat安装在D:\apache-tomcat-9.0.0.M1，那么日志文件的路径就是D:\apache-tomcat-9.0.0.M1\logs
  一般看localhost_access_log.YYYY-MM-DD.txt文件
- Linux
/usr/local/tomcat/logs

日志分析方式

看时间
看请求方式 POST方式比较可疑
看请求URL和状态码如果用了目录扫描器会访问一些不存在的页面
看UA头有些工具的UA头会暴露攻击行为

tips: 结合everything 可以做到多个文本同时搜索内容

木马查杀

常规webshell查杀

工具:
- 阿里伏魔:https://ti.aliyun.com/#/overview (在线查杀，需要自己上传，并且有大小限制)
- 河马(客户端，支持linux和windows http://www.shellpub.com)
- D盾(客户端，只支持windows)

webshell内存马查杀

java 内存马查杀
- 河马内存马扫描或者tomcat-memshell-scanner.jsp(针对java tomcat): 把jsp文件放入web目录下即可
- 将扫描到的可疑对象的文件dump下来放到查杀平台上面查杀确定
- 确定内存马后通过everything等工具查找到内存马的在jvm缓存文件中的位置,先结束进程然后进行删除，重启服务即可
php 内存马查杀
- 常规后门查杀检测后，中间件重启即可
.NET
- ASP.NET-Memshell-Scanner：
  https://github.com/yzddmr6/ASP.NET-Memshell-Scanner

tips: web服务被攻击一般都需要看日志去分析，如果日志被删了，可以恢复，日志被删除说明攻击者已经大概率已经拿到主机权限了(webshell权限删不了日志)

隐藏的webshell发现

文件MD5校验：将所有网站文件计算一次 hash 值保存，当出现应急情况时，重新计算一次 hash 值，并与上次保存的 hash 值进行对比，从而输出新创建的、修改过及删除的文件列表。
diff命令(linux)：diff 命令可以用来比较两个文本文件的差异。同样，我们可以通过一行命令快速找出两个项目文件的差异

diff -c -a -r <项目1> <项目2>

版本控制工具：比如说git，重新上传代码到git，然后打开项目，点击commit，在历史提交版本里面，查看文件更改内容，很容易就可以发现代码被篡改的地方
文件比对工具：Beyond Compare 和 WinMerge

网站被挂黑链接应急

被挂黑链接一般和JS代码有关(用js代码实现跳转)，找到js代码然后删除即可(一般会在根目录)

系统应急

window常规后门查杀和权限维持检测

查进程(火绒剑)
查自启动项(火绒剑)
隐藏账号检测(D盾)
检查映像劫持(Autoruns的imagehijacks选项卡或者pchunter)
查最近打开文件(LastActivityView)
host文件检查，防止钓鱼

linux常规后门查杀和权限维持检测

常规后门查杀

查进程(netstat命令)
- netstat参数(一般用netstat -anpt)
  -a：显示所有连线中的Socket
  -n：直接使用IP地址，而不通过域名服务器
  -p：显示正在使用Socket的程序识别码和程序名称
  -t：显示TCP传输协议的连线状况
- 查看到可疑进程用kill <pid值> 杀死进程，然后删除后门文件

权限维持检测

查计划任务
crontab -l

查开机自启动

1
2
3

more /etc/rc.local
more /etc/rc.d/rc[0~6].d
ls -l /etc/rc.d/rc3.d/

查看异常账户
1
2
cat /etc/passwd
cat /etc/shadow
格式：用户名：密码：用户ID：组ID：用户说明：家目录：登陆之后的shell
rpm命令纂改分析
rpm -V -a 查看所有被修改过的rpm包

标志	介绍
S	文件大小是否改变
M	文件的类型或文件的权限(rwx)是否被改变
5	文件MD5校验是否改变(可以看成文件内容是否改变)
D	设备中，从代码是否改变
L	文件路径是否改变
U	文件的属主(所有者)是否改变
G	文件的属组是否改变
T	文件的修改时间是否改变

rpm -V -f /bin/ls 确认ls命令是否被替换过，没有任何输出代表没有被替换过（ls可以换成别的命令如：/bin/ps）

导出历史命令

进入用户目录
cat .bash_history >> history.txt

日志查看

用命令查看/var/log/的指定日志即可，如

查看账户ssh登录日志
grep "Accepted " /var/log/secure* | awk '{print $1,$2,$3,$9,$11}'
查看redis日志
cat /var/redis/redis.log

Rootkit(内核级权限维持和隐藏，没办法抓包和看进程得到)

检测工具
- rkhunter(专门检测rookit的工具)
- Gscan: https://github.com/grayddq/GScan (linux应急响应自动化工具)
- chkrootkit

tips: rootkit很难被检测到，rootkit检测工具是根据rootkit工具的特征去检测的，但是rootkit工具有很多，所以很难检测到

挖矿脚本查杀

挖矿需要的前提: 取得了服务器权限

异常特征

CPU GPU占用率高

查杀思路

查进程cpu占用(linux下top命令)和网络行为
查找恶意进程的文件位置(linux下 find / -name xxxx) 记录文件修改时间上传威胁情报中心确定木马类型
查杀定时任务和自启动项目
杀死恶意进程清除文件 (重复检查,存在没删除干净的情况)

勒索病毒检测指南

什么是勒索病毒

勒索病毒是一种新型电脑病毒，主要以RDP爆破、邮件、程序木马、网页挂马的形式进行传播。该病毒性质恶劣、危害极大，一旦感染将给用户带来无法估量的损失。这种病毒利各种加密算法对文件进行加密，被感染者一般无法解密，必须拿到解密的私钥才有可能破解。2019年末，勒索已然呈现出 “双重勒索”的超势，即先取商业数据，然后实施勒索，如果未能在规定时间内支付金，将于网上（通常暗网）公开售卖企业的商业数据