赞
踩
网络安全应急响应(Network Security Incident Response,又称CSIRT)是指团队或组织为了在网络安全事件发生时能够及时准确地做出反应和应对而建立的一套制度和流程。其目的是降低网络安全事件所造成的损失并迅速恢复受影响的系统和服务。我这里总结了一些 Window 服务器应急响应的思路和方法,希望能对师傅们处理攻击事件或工作中的应急响应有所帮助。
常见的应急响应事件可分为四类,当然设备和系统故障也算是一类,但这类不在我们今天的讨论范围内。
法证之父埃德蒙罗卡曾经说过:凡走过必留下痕迹,应急响应也是如此,我们首先需要获取的信息是谁在什么时间发现的服务器异常状况,异常的现象是什么,受害用户做了什么紧急处置,结合自身的经验和网上已有的信息,判断这次应急响应可能是个什么事件,同时给用户一个大致的排查思路和解决方案,结合客户现场的驻场运维人员或系统维护人员,利用自身所学和客户现场可利用的安全设备来进行排查。
查看目标服务器是否存在弱口令,远程管理端口是否对互联网开放,有条件的情况下可以结合流量分析类设备,对服务器所在的网络整体环境做一个评估分析。
排查服务器上是否存在可疑或者新增的账号。
打开 cmd 窗口,输入lusrmgr.msc命令,查看是否有新增/可疑的账号,如有管理员群组的(Administrators)里的新增账户,如有,请立即禁用或删除掉。
排查服务器上是否存在隐藏或者新增账号。
打开注册表 ,查看管理员对应键值。
可以使用 D盾web 查杀工具,集成了对克隆账号检测的功能。
可以结合Windows系统日志,排查管理员账号是否存在异常登录时间和行为。
Win+R 输入eventvwr.msc回车运行,打开事件查看器,查看Windows日志
导出 Windows 日志—安全,利用 LogParser工具进行分析。
查看服务器端口连接情况,判断是否有远程连接、可疑连接。
使用netstat -ano 指令查看目前的网络连接,定位可疑的ESTABLISHED(表示端口建立了连接)
根据 netstat 指令显示的pid,使用tasklist命令进行进程定位
tasklist | findstr “PID”
查看服务器是否存在可疑的进程,可以通过观察以下内容进行判断:
Win+R输入msinfo32,依次点击“软件环境→正在运行任务”就可以查看到进程的详细信息,比如进程路径、进程ID、文件创建日期、启动时间等。
也可以使用火绒剑(HRSword.exe),开启监控,重点关注没有签名信息的进程。
一些比较有用的指令和方法:
排查服务器是否存在异常的启动项。
如果是早期的Windows服务器,登录服务器,单击【开始】>【所有程序】>【启动】,默认情况下此目录在是一个空目录,确认是否有非业务程序在该目录下。
Win+R输入 msconfig,打开系统配置,查看是否存在命名异常的启动项目,是则取消勾选命名异常的启动项目,并到命令中显示的路径删除文件。(注意可以隐藏微软自带的服务)
Win+R输入regedit,打开注册表,查看开机启动项是否正常,特别注意如下三个注册表项:
HKEY_CURRENT_USER\software\micorsoft\windows\currentversion\run
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Runonce
检查右侧是否有启动异常的项目,如有请删除,并建议安装杀毒软件进行病毒查杀,清除残留病毒或木马。
也可以使用火绒剑进行查看
利用安全软件查看启动项、开机时间管理等。
Win+R输入gpedit.msc查看组策略中是否存在可疑脚本。
排查服务器上是否存在可疑的计划任务。
打开控制面板,以小图标的方式查看,点击管理工具,找到任务计划程序,查看计划任务属性,便可以发现木马文件的路径。
Win+R输入cmd,然后输入schtasks.exe,查看服务器是否存在与其他服务器之间的会话或计划任务,如有,则确认是否为正常业务。(注意,在一些比较老的Windows服务器上该命令可能为at)
排查服务器上是否存在自启动服务。
Win+R输入services.msc,排查服务状态和启动类型,检查是否有异常服务。
查看系统版本以及补丁信息。
Win+R输入systeminfo,查看服务器系统信息,排查系统是否存在可利用的漏洞,有条件的话可以通过漏扫来完成。
排查服务器上是否存在可疑目录及文件。
查看用户目录,新建账号会在这个目录生成一个用户目录,查看是否有新建用户目录。
Window 2003服务器 :C:\Documents and Settings
Window 2008R2服务器:C:\Users\
Win+R输入%UserProfile%\Recent,分析最近打开分析可疑文件。
可以根据文件夹内文件列表时间进行排序,查找可疑文件。
下载安全软件,如:火绒、天擎、360等,更新至最新的病毒库,进行全盘查杀。
使用webshell专杀攻击,选择具体站点路径进行 webshell 查杀,建议同时使用两款或以上的专杀工具进行查杀,可相互补充规则库的不足。
常见的webshell查杀工具:
一些系统日志的分析方法:
找到中间件的 web 日志,打包到本地方便进行分析。
推荐工具:
通过防火墙、IPS、WAF、态感、全流量等安全设备,对服务器的访问和安全防护日志进行分析,优点是方便直观,甚至可以把攻击流量包抓下来方便进行分析、取证和溯源,缺点是对安全设备的熟悉程度和策略配置要求比较高,也不是所有的单位都能提供。
扫一扫关注CatalyzeSec公众号
加入我们的星球,我们能提供:
1对1就业指导、面试模拟、Golang工具开发学习、Fofo高级会员、各公众号历史文章合集、各种网络安全电子书、面试题合集、最新poc、exp、最常用工具推荐、开放交流环境,解决成员问题。
Copyright © 2003-2013 www.wpsshop.cn 版权所有,并保留所有权利。