Windows入侵溯源分析

本是古典何须时尚 2023-10-06 15:24 58阅读 0赞

#### 目录 ####

*  溯源分析的目的
 *  溯源分析的思路
 *   *  系统
     *   *  补丁检测
         *  恶意用户排查
         *  系统日志排查
     *  服务
     *   *  web服务漏洞检查
         *  其他服务漏洞检查
         *  恶意进程排查
         *  检查启动项、计划任务、服务
     *  文件
     *   *  敏感目录排查
         *  后门文件排查
         *  病毒/木马检测
     *  网络
     *   *  异常网络连接排查
         *  异常流量分析

## 溯源分析的目的 ##

1、确定入侵的时间和途径  
2、定位病毒/木马位置  
3、确定攻击轨迹和危害  
4、取样分析  
5、病毒/木马清除

## 溯源分析的思路 ##

围绕上述目的，可从系统、服务、文件、网络四个部分进行，每部分相互重叠、相互关联。  
一：从系统层面确定大概的入侵时间，然后从服务角度确定入侵途径和入侵类型；攻击者通常利用系统或服务的缺陷入侵系统，实施进一步的攻击。  
二:从文件和网络层面，确定影响范围和危害；攻击者最终目的是手机信息、破坏系统，如篡改配置文件，留下后门维持权限等。在此过程中需要与远程服务器通信，将收集的信息发送给远程服务器。或者接收远程服务器的进一步的攻击指示。

### 系统 ###

#### 补丁检测 ####

理由：如果系统存在未打的重要补丁，攻击者遍可以利用漏洞进行攻击。  
目的：确保系统补丁已经全部更新。

#### 恶意用户排查 ####

理由：攻击者为了保持对目标机器的控制权，在受害者服务器中添加新的用户。  
目的：若新增了用户，根据新增时间推测出大致的入侵时间。

#### 系统日志排查 ####

理由：攻击事件都会在日志中留下记录。  
目的：根据日志分析入侵时间，入侵轨迹。

### 服务 ###

#### web服务漏洞检查 ####

若仅对外开放web服务，基本可以确定是通过webshell入侵，需要找到相应的webshell、木马等文件，查看创建时间，确定入侵事件。

#### 其他服务漏洞检查 ####

如果机器上还运行着其他服务，检查服务软件版本确定是否存在漏洞，查看相关日志文件找到入侵的蛛丝马迹。

#### 恶意进程排查 ####

理由：只有新开一个进程才能实施攻击。  
目的：根据恶意进程，定位病毒/木马的位置。下载样本到本地，取样分析，确定攻击轨迹和危害。杀死进程清理病毒。

#### 检查启动项、计划任务、服务 ####

（1）检查服务器是否有异常的启动项。  
（2）检查计划任务。

### 文件 ###

#### 敏感目录排查 ####

理由：黑客有可能将后门文件保存在隐蔽位置，病毒木马也可能临时释放一些文件在系统文件下，等等。  
目的：定位病毒、木马、后门样本。

#### 后门文件排查 ####

理由：黑客为了保持权限，有可能会留下各种后门文件。  
目的：查找后门文件。

#### 病毒/木马检测 ####

（1）木马危害  
（2）病毒危害  
（3）样本分析

### 网络 ###

#### 异常网络连接排查 ####

理由：通常情况下，病毒、木马发送本机信息到远程服务器，或者从远程服务器下载其他病毒或木马进一步感染主机。  
目的：查看网络连接，溯源分析攻击轨迹和危害。

#### 异常流量分析 ####

理由：病毒/木马发送本机信息到远程服务器，或者从远程服务器下载其他病毒或木马进一步感染主机。  
目的：根据实时流量分析攻击轨迹和危害。

—摘录至《互联网安全建设从0到1》

发表评论取消回复

表情：

评论列表（有 0 条评论，58人围观）

还没有评论，来说两句吧...

相关阅读

相关 Linux入侵排查深入分析查找入侵原因

Linux入侵排查一、检查隐藏账户及弱口令检查服务器系统及应用账户是否存在弱口令：检查说明：检查管理员账户、数据库账户、MySQL 账户

客官°小女子只卖身不卖艺/ 2024年03月16日 22:20/ 0 赞/ 53 阅读

相关借助 Windows 事件转发进行入侵检测

了解有关从组织的设备中收集事件的方法。本文同时讨论了正常操作情况下以及怀疑有入侵时的事件。 Windows 事件转发（WEF）在你的组织中的设备上读取任何运行或管理事件日志

青旅半醒/ 2023年10月07日 08:44/ 0 赞/ 14 阅读

相关 Windows主机入侵痕迹排查办法

目录 1、排查思路 1.1、初步筛选排查资产 1.2、确定排查资产 1.3、入侵痕迹排查 2、排查内容 2

Dear 丶/ 2023年10月06日 16:06/ 0 赞/ 53 阅读

相关 Windows入侵溯源分析

目录溯源分析的目的溯源分析的思路系统补丁检测恶意用户排查系统日志排查

本是古典何须时尚/ 2023年10月06日 15:24/ 0 赞/ 59 阅读

相关 Telnet入侵Windows2000

开启Telnet 打开控制面板，管理工具 ![1][] 计算机管理 ![2][] 连接刚刚探测到的主机 ![3][] 输入探测到的主机IP ![

男娘i/ 2022年05月28日 13:37/ 0 赞/ 228 阅读

相关【WEB】WebShell代码分析溯源(第4题)

![70][] 查看到可以webshell后定位到源代码： ![70 1][] 这个的用法： get网址中传入 ?e=YXNzZXJ0 (arrest的bas

川长思鸟来/ 2022年05月16日 10:11/ 0 赞/ 175 阅读

相关【WEB】IIS写权限漏洞分析溯源

【原题】[https://www.mozhe.cn/bug/detail/VnRjUTVETHFXWk5URWNjV2VpVWhRQT09bW96aGUmozhe][https

清疚/ 2022年05月16日 09:46/ 0 赞/ 241 阅读

相关【WEB】PHP代码分析溯源（PHP文件包含）

【原题】 [https://www.mozhe.cn/bug/detail/T0YyUmZRa1paTkJNQ0JmVWt3Sm13dz09bW96aGUmozhe][h

灰太狼/ 2022年05月16日 07:58/ 0 赞/ 228 阅读

相关 Windows系统被入侵后处理方式介绍

使用前一定先创建快照备份，否则不要使用本文方法。 1、将ECS断开网络连接使用ECS安全组单独对该ECS进行隔离；出方向禁止所有协议。入方向只允许运

港控/mmm°/ 2022年04月24日 14:18/ 0 赞/ 231 阅读

相关 windows IPC$ 入侵

IPC$简介 IPC$ (Internet Process Connection)国人叫他共享"命名管道"资源服务。其实看原始英文名称我们能更好的理解他的用途和作用。

系统管理员/ 2021年09月28日 03:52/ 0 赞/ 354 阅读