应急响应-168天--ELK日志分析系统&Yara规则_yara内存马检测规则

作者：寸_铁 | 2024-07-24 12:40:36

踩

yara内存马检测规则

ELK：

三种模式：上传文件，特定分析，代理加入。

1、导入Web日志

2、导入系统日志

3、自动监控日志

yara 为yara使用程序

yarac 为编译yara规则工具

例如cs换个监听器，然后生成两个后门文件，对比，找到共有的特征

如：挖矿病毒提取：文件头，关键字，协议，域名等

根据提取的对象提取共同点

内存马检测需要使用procdump.exe将内存脱下来，yara64.exe demo1.yar PID

然后使用专门的工具如 010editor 十六进制搜索木马关键字如木马含有的包地址

如：

rule jspfindshell

{

meta:

tag="jspfindshell"

description = "test jspfindshell"

author="xiaodisec"

strings:

$a = "org.apache.coyote"

condition:

all of them

}

声明：本文内容由网友自发贡献，不代表【wpsshop博客】立场，版权归原作者所有，本站不承担相应法律责任。如您发现有侵权的内容，请联系我们。转载请注明出处：https://www.wpsshop.cn/w/寸_铁/article/detail/874724