Linux应急响应入侵排查思路

0x00 前言当企业发生黑客入侵.系统崩溃或其它影响业务正常运行的安全事件时,急需第一时间进行处理,使企业的网络信息系统在最短时间内恢复正常工作,进一步查找入侵来源,还原入侵事故过程,同时给出解决方案与防范措施,为企业挽回或减少经济损失. 针对常见的攻击事件,结合工作中应急响应事件分析和解决的方法,总结了一些Linux服务器入侵排查的思路. 0x01 入侵排查思路一.账号安全基本使用: 1.用户信息文件/etc/passwdroot:x:0:0:root:/root:/bin/bash…

windows应急响应入侵排查思路

0x00 前言当企业发生黑客入侵.系统崩溃或其它影响业务正常运行的安全事件时,急需第一时间进行处理,使企业的网络信息系统在最短时间内恢复正常工作,进一步查找入侵来源,还原入侵事故过程,同时给出解决方案与防范措施,为企业挽回或减少经济损失. 常见的应急响应事件分类: web入侵:网页挂马.主页篡改.Webshell 系统入侵:病毒木马.勒索软件.远控后门网络攻击:DDOS攻击.DNS劫持.ARP欺骗针对常见的攻击事件,结合工作中应急响应事件分析和解决的方法,总结了一些Window服务器入…

Linux应急响应--入侵排查

1.入侵者可能会删除机器的日志信息,可以查看日志信息是否还存在或者是否被清空,相关命令示例: ll -h /var/log/* 系统日志一般都存在/var/log下常用的系统日志如下:核心启动日志:cat /var/log/dmesg 系统报错日志:less /var/log/messages 邮件系统日志:/var/log/maillogFTP系统日志:/var/log/xferlog安全信息和系统登录与网络连接的信息:/var/log/secure 登录记录:/var/log/wtmp …

Linux应急响应学习

Linux应急响应-系统日志排查-溯源溯源找到攻击者.系统日志分析攻击者的ip 攻击者可能留下了一些代码样本网上的信息很大程度上是不可信的. 方法: 蜜罐高交互的蜜罐溯源: ip 日志分析 (通过日志分析,分析哪个ip攻击了目标) 目的:分析黑客在服务器上做了什么事情? Linux 应急响应安服. 实验环境: 在线环境 w 第二行包括以下信息: USER - 登录用户名 TTY - 登录用户使用的终端名称 FROM - 来自登录用户的主机名或者 IP LOGIN@ - 用户登录…

6.【应急响应】Linux入侵排查思路

0x01 入侵排查思路一.账号安全基本使用: 1.用户信息文件/etc/passwd root:x:0:0:root:/root:/bin/bash account:password:UID:GID:GECOS:directory:shell 2.影子文件/etc/shadow root:$6$7LZU11L9$OrxD.7wkmCopj58AM5azR1M5/fqndWSHJwpniKJhMqPhxxsnpnaAbRkevpsKwBAOpq0JwVs66RE6.8U9ctHGT/:1776…

1.Windows入侵排查思路

Linux应急响应（一）：SSH暴力破解

0x00 前言 SSH 是目前较可靠,专为远程登录会话和其他网络服务提供安全性的协议,主要用于给远程登录会话数据进行加密,保证数据传输的安全.SSH口令长度太短或者复杂度不够,如仅包含数字,或仅包含字母等,容易被攻击者破解,一旦被攻击者获取,可用来直接登录系统,控制服务器所有权限. 0x01 应急场景某天,网站管理员登录服务器进行巡检时,发现端口连接里存在两条可疑的连接记录,如下图: TCP初始化连接三次握手吧:发SYN包,然后返回SYN/ACK包,再发ACK包,连接正式建立.但是这里…

Linux应急响应基础

文件排查敏感目录文件分析 tmp目录命令目录 /usr/bin /usr/sbin 开机启动项 /etc/init.d /etc/init.d是/etc/rc.d/init.d的软链接文件时间按时间排序查看指定目录下文件 ls -alt | head -n 10 stat 针对可以文件可以使用stat进行创建修改时间,访问时间的详细查看,若修改时间距离事件日期接近,有线性关联,说明可能呗篡改或者其它 | 状态 | 解释 | | ---- | ---- | | Access | 文件最后一…

Linux应急响应（三）：挖矿病毒

0x00 前言随着虚拟货币的疯狂炒作,利用挖矿脚本来实现流量变现,使得挖矿病毒成为不法分子利用最为频繁的攻击方式.新的挖矿攻击展现出了类似蠕虫的行为,并结合了高级攻击技术,以增加对目标服务器感染的成功率,通过利用永恒之蓝(EternalBlue).web攻击多种漏洞(如Tomcat弱口令攻击.Weblogic WLS组件漏洞.Jboss反序列化漏洞.Struts2远程命令执行等),导致大量服务器被感染挖矿程序的现象 . 0x01 应急场景某天,安全管理员在登录安全设备巡检时,发现某台…

Linux应急响应（二）：捕捉短连接

0x00 前言短连接(short connnection)是相对于长连接而言的概念,指的是在数据传送过程中,只在需要发送数据时,才去建立一个连接,数据发送完成后,则断开此连接,即每次连接只完成一项业务的发送. 在系统维护中,一般很难去察觉,需要借助网络安全设备或者抓包分析,才能够去发现. 0x01 应急场景某天,网络管理员在出口WAF检测到某台服务器不断向香港I发起请求 ,感觉很奇怪,登录服务器排查,想要找到发起短连接的进程. 0x02 日志分析登录服务器查看端口.进程,并未发…

最全Linux应急响应技巧【转】

概述 Linux环境下处理应急响应事件往往会更加的棘手,因为相比于Windows,Linux没有像Autorun.procexp这样的应急响应利器,也没有统一的应急响应处理流程.所以,这篇文章将会对Linux环境下的应急响应流程进行讲解,并且提供每一个环节中所用到的shell命令,以帮助大家快速.系统化地处理Linux环境下的病毒. 处理Linux应急响应主要分为这4个环节:识别现象-> 清除病毒-> 闭环兜底-> 系统加固. 首先从用户场景的主机异常现象出发,先识别出病毒的可疑现象.…

Linux应急响应（四）：盖茨木马

0x00 前言 Linux盖茨木马是一类有着丰富历史,隐藏手法巧妙,网络攻击行为显著的DDoS木马,主要恶意特点是具备了后门程序,DDoS攻击的能力,并且会替换常用的系统文件进行伪装.木马得名于其在变量函数的命名中,大量使用Gates这个单词.分析和清除盖茨木马的过程,可以发现有很多值得去学习和借鉴的地方. 0x01 应急场景某天,网站管理员发现服务器CPU资源异常,几个异常进程占用大量网络带宽: 0x02 事件分析异常IP连接: 异常进程: 查看进行发现ps aux进程异常,进…

Linux应急响应入门——入侵排查

点击上方"开源Linux",选择"设为星标" 回复"学习"获取独家整理的学习资料! 账号安全: 1.用户信息文件 /etc/passwd # 格式:account:password:UID:GID:GECOS:directory:shell # 用户名:密码:用户ID:组ID:用户说明:家目录:登陆之后的 shell root:x:0:0:root:/root:/bin/bash # 查看可登录用户: cat /etc/passwd | grep…

Linux应急响应思路详谈

一.主机篇: 1.自动化初筛,建议使用RootkitHunter (1)安装 $sudo wget https://jaist.dl.sourceforge.net/project/rkhunter/rkhunter/1.4.4/rkhunter-1.4.4.tar.gz $.tar.gz $ $sudo sh install.sh --install (2)使用(主要看一下,常用的基础的命令有没有被替换) $/usr/local/bin/rkhunter --propupd $/usr/loc…

Linux应急响应姿势浅谈

一.前记无论是甲方还是乙方的同学,应急响应可能都是家常便饭,你可能经常收到如下反馈: 运维同事 --> 服务器上存在可疑进程,系统资源占用高: 网络同事 --> 监控发现某台服务器对外大量发包: .... 不要着急,喝一杯82年的美年达压压惊,希望本文可以对你有所帮助. 二.排查流程 0x01 Web服务一般如果网络边界做好控制,通常对外开放的仅是Web服务,那么需要先找到Webshell,可以通过如下途径: 1)检查最近创建的php.jsp文件和上传目录例如要查找24小时内被修改的JS…

Linux 服务器性能问题排查思路

一个基于 Linux 操作系统的服务器运行的同时,也会表征出各种各样参数信息.通常来说运维人员.系统管理员会对这些数据会极为敏感,但是这些参数对于开发者来说也十分重要,尤其当你的程序非正常工作的时候,这些蛛丝马迹往往会帮助快速定位跟踪问题. 这里只是一些简单的工具查看系统的相关参数,当然很多工具也是通过分析加工 /proc./sys 下的数据来工作的,而那些更加细致.专业的性能监测和调优,可能还需要更加专业的工具(perf.systemtap 等)和技术才能完成哦. 毕竟来说,系统性能监控本身就…

Linux服务器被黑排查思路

目录一.为何会被入侵? 二.排查入侵排查检查是否还存在被登陆可能计划任务被修改的文件筛选日志日志恢复找到异常进程-1 找到异常进程-2 找到异常进程-3 找到异常进程-4 三.总结一.为何会被入侵? 开放了22远程登陆,开放了外网,就有可能被暴力破解登陆,对方一直尝试root密码而登陆进去了. 也有可能开放的服务,例如nginx,mysql或者redis(默认没有密码),因为某些漏洞,从而被黑客进入到系统之中. 被入侵后如果还有潜伏程序,将会有如下特征 1.启动一个程序一直运行…

Linux运维故障排查思路

linux系统故障网络问题 linux系统无响应 linux系统无法启动 linux系统故障处理思路 1.重视报错信息,一般情况下此提示基本定位了问题的所在 2.查阅日志文件,系统日志和应用日志 3.分析.定位问题 4.动手解决网络问题处理思路 1.网络硬件问题.网线.网卡.路由器.交换机等是否正常工作. 2.网卡驱动是否正常加载.网卡ip设置是否正确,系统路由是否正确. 3.检查局域网之间的通信是否正常. 4.检查dns是否设定正确.可从/etc/resolv.conf./etc/host…

HW防守 | Linux应急响应基础

最近也是拿到了启明星辰的暑期实习offer,虽然投的是安服,但主要工作是护网,昨天在公众号Timeline Sec上看到有一篇关于护网的文章,所以在这里照着人家写的在总结一下,为将来的工作打点基础. 0x01 技能树 Linux常用命令常见日志的位置以及分析方法熟悉常规黑客的攻击手法常规安全事件的处置思路 0x02 Linux常用命令查找与文本操作 1.find 根目录下所有.jsp后缀文件 find / -name *.jsp 最近3天修改过的文件 find -type f -mtim…

Linux进程僵死原因排查思路

常情况下脚本执行时间几秒完成,如果超过很长时间执行完成,可能是进程等待某些资源引起阻塞(假死状态). 场景:xx.perl读取文件并发送邮件现象:执行脚本的进程僵死(卡住) 排查:ps -ef |grep “perl xx.perl” 跟踪:strace -p 16634 (跟踪进程执行时的系统调用和所接收的信号(即它跟踪到一个进程产生的系统调用,包括参数.返回值.执行消耗的时间),卡在read(3,位置查看进程文件描述符目录:查看3进行的是socket操作,也就是卡在通信. 使用nets…

Linux应急响应

1.识别现象 top / ps -aux 监控与目标IP通信的进程 while true; do netstat -antp | grep [ip]; done 若恶意IP变化,恶意域名不变,使用host文件添加一条规则查找有无恶意命令 history 清除可疑进程的进程链 ps -elf | grep [pid] kill -9 [pid] 定位病毒进程对应的文件路径 ls -al /proc/[pid]/exe rm -f [exe_path] 2.闭环兜底 crontab -l cat/…

LINUX系统入侵排查

当企业发生黑客入侵.系统崩溃或其它影响业务正常运行的安全事件时,急需第一时间进行处理,使企业的网络信息系统在最短时间内恢复正常工作,进一步查找入侵来源,还原入侵事故过程,同时给出解决方案与防范措施,为企业挽回或减少经济损失. 针对常见的攻击事件,结合工作中应急响应事件分析和解决的方法,总结了一些Linux服务器入侵排查的思路. 一.入侵排查思路本次linux系统版本为:centos6.5 1.账号安全用户信息文件 cat /etc//passwd ,如果里面内容比较多使用more /etc…

Linux与windows的应急响应重点检查项

Linux应急响应重点检查项用户账号审计: cat /etc/passwd & cat /etc/shadow 在线账户审计: w 登录状况审计: last 空口令账户审计: awk -F: '($2 == "") { print $1 }' /etc/shadow 主机配置检查中不允许存在空口令账户,虽然空口令账户暂时没发现利用的方式,但是不符合等级保护的基本原则. 特权账户审计: awk -F: '($3 ==0) { print $1 }' /etc/passwd Li…

Windows安全应急响应（一）

入侵排查思路检查账号安全 1.查看服务器是否有弱口令,远程管理端口是否对公网开放 2.查看服务器是否存在可以账号.新增账号 3.查看服务器是否存在隐藏账号.克隆账号检查方法:i.打开注册表,查看管理员对应键值HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\ii.使用D盾_web查杀工具 4.结合日志,查看管理员登录时间.用户名是否存在异常检查方法:i.Win+R打开运行,输入eventvwr.msc,打开事件查看器ii.导出Windos日志--…

一些关于Linux入侵应急响应的碎碎念

近半年做了很多应急响应项目,针对黑客入侵.但疲于没有时间来总结一些常用的东西,寄希望用这篇博文分享一些安全工程师在处理应急响应时常见的套路,因为方面众多可能有些杂碎. 个人认为入侵响应的核心无外乎四个字,顺藤摸瓜.我们常常需要找到比较关键的信息后通过一些指令查询或者分析日志,逐步分析黑客的具体步骤. 入侵后需要被关注的Linux系统日志 var/log/cron 记录crontab命令是否被正确的执行,一般会被黑客删除 var/log/lastlog 记录登录的用户,可以使用命令lastlog查…

【Linux应急响应入侵排查思路】的更多相关文章