[ 应急响应 ]服务器(电脑)受到攻击该如何处理?(二)

柔光的暖阳◎ 2023-10-06 20:27 17阅读 0赞

> [\[ 应急响应 \]服务器(电脑)受到攻击该如何处理?(一)][Link 1]  
> [\[ 应急响应 \]服务器(电脑)受到攻击该如何处理?(二)][Link 2]  
> [\[ 应急响应 \]服务器(电脑)受到攻击该如何处理?(三)][Link 3]

上篇文章简单从应急响应是安全岗位的必问知识点引入，从客户描述中寻找可利用信息帮助处理异常事件。重点介绍了什么是应急响应，应急响应基本流程。本篇文章将写道真实工作环境中我们我们的分析方法及具体采用的一些分析技术、工具等内容。

**目录**

四、工作中分析流程（重点）：

1. 日志分析

1. 寻找日志路径，下载日志

1. IIS环境：

2. 宝塔环境：

3. Windows查看日志：

4. 不同环境中的日志文件路径基本相似，再次不做过多介绍

2. 分析日志思路

1.如何通过日志文件寻找攻击的呢 ？

3. 日志分析方式

1. 手工：（根据上面思路）

2. 利用工具

4. 工具介绍

1. 奇安信的360星图日志分析工具：

2. Win日志自动神器LogonTracer

3. ELK和Splunk（用的最多的）

2. 后门分析

1.常见危害：

2.常见分析：

补充资料：

病毒分析：

病毒查杀：

病毒动态：

在线病毒扫描网站 ：

3. 流量分析

4. 脚本软件分析

5. 模拟渗透分析（少见）

后续还会针对上面的每一个方向进行深入讲解

应付面试的话可以先学到这里

后续会有采用一些具体的实例来让大家加深印象。欢迎关注订阅哦！

**文章分享**

--------------------

## 四、工作中分析流程（重点）： ##

## **1. 日志分析** ##

### 1. 寻找日志路径，下载日志 ###

**不同环境的服务器日志路径不一样**

例如：

#### **1. IIS环境：** ####

现在用的很少了，但能帮助了解（IIS是图形化，更容易学习）

iis的 前提是站长没有关闭日志

![watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAX1Bvd2VyU2hlbGw_size_20_color_FFFFFF_t_70_g_se_x_16][]

日志内容： 时间 攻击IP 攻击文件 请求方式 状态码 等等

（日志是前期站长配置的 保留什么文件）

#### **2. 宝塔环境：** ####

是现在比较常见的，宝塔面板找到linux的安装目录， 找到配置文件，.conf等，发现日志文件路径，然后下载日志文件即可

#### **3. Windows查看日志：** ####

打开服务器管理 找到对应的服务器

系统安全和程序较为重要 事件ID数表示含义网上查找

#### **4. 不同环境中的日志文件路径基本相似，再次不做过多介绍** ####

在真实工作环境中，每个安全公司都会有成熟的应急响应流程，里面都会包括具体的服务器的相关日志文件路径。万一没有我们可以在白度进行查找。不必纠结

### 2. 分析日志思路 ###

#### **1.如何通过日志文件寻找攻击的呢 ？**  ####

**首先：**在日志中搜索有没有诸如语句关键字，以注入漏洞为例：

注入语句层面：搜索select，updataxml等关键字

攻击工具层面：搜索sqlmap，nmap等关键字

（这其实就叫做指纹库搜索：根据工具指纹信息进行搜索）

**然后：**找出日志信息，定位IP

在真实环境中，我们很容易查出这类数据包（大型网站都会受到不计其数的攻击）

发现数据包（疑似攻击），我们需要定位其ip（日志文件中包含IP）

**接着：**查找该IP的所有数据包，看他干过哪些事情（数据包请求）

以该IP为关键字进行查询，从头到尾的记录 看攻击者有没有成功 可以分析关键性的攻击行为

**接着：**进行判断，判断其是否为此次异常的攻击源

如果我们可以在该IP的数据包中发现有提权、权限维持、上传后门等，基本上他就攻击成功了，我们需要记录他的所有相关信息

如果判断得出没有攻击成功，或者排除此次异常与其相关，简单记录。同理继续查看下一个IP。

**最后：**将得出的结果进行整理，对此次攻击进行处理，向客户提出根本性的解决建议。

整理-->报告

处理-->黑名单等（应急不是本质上解决，是临时处理。）

提出建议-->（我们只需要提出本质上解决的合理建议就可以）

### 3. 日志分析方式 ###

#### **1. 手工：（根据上面思路）** ####

手工进行分析，在真实工作中几乎见不到

在一些个人网站存在，也是不常见的

通常我们会利用工具对日志进行分析

#### **2. 利用工具** ####

在真实工作环境中，公司都会有工具给你使用

### 4. 工具介绍 ###

#### **1. 奇安信的360星图日志分析工具：** ####

目前官方已经停止维护，可自己百度下载

有缺点：都是老的一些东西（只支持iis apche nginx）

配置一下配置文件（config.ini）配置日志所在路径（可以单个路径 也可多个）

直接启动start.bat脚本文件就可以了

每个日志文件经过分析会生成三个报告文件

**优点：**  
一款非常好用的网站访问日志分析工具，可以有效识别Web漏洞攻击、CC攻击、恶意爬虫扫描、异常访问等行为。一键自动化分析，输出安全分析报告，支持iis/apache/nginx日志，支持自定义格式。

**缺点：**  
支持的日志类型较少，智能用于小网站日志分析，对于数据量很大的网站不适合

#### **2. Win日志自动神器LogonTracer** ####

[安装使用][Link 4]

后续会具体在介绍工具的使用

#### **3. ELK和Splunk（用的最多的）** ####

ELK和Splunk是都需要用到的工具（蓝队必须要用的）专有日志分析平台

检索大数据（快）

[推荐 | 10个好用的Web日志安全分析工具 - Bypass - 博客园][_ 10_Web_ - Bypass -] 十款常见的web日志安全分析工具

## **2. 后门分析** ##

[10款常见的Webshell检测工具 - Bypass - 博客园][10_Webshell_ - Bypass -] 十款常见的webshell查杀工具

### **1.****常见危害：** ###

暴力破解，漏洞利用，流量攻击，木马控制(Webshell,PC木马等)，病毒感染(挖矿，蠕虫，勒索等)。

暴力破解漏洞利用，操作系统漏洞利用，基于口令攻击的ftp，ssh等

针对系统流量的，3种影响是软肋的（需要后续操作 不然不会有什么危害）

木马控制，病毒感染危害服务器的正常运行

网站性木马，PC木马（控制系统的木马），APP的木马 利用杀毒软件 免杀需人工

### **2.常见分析：** ###

**计算机账户，端口，进程，网络，启动，服务，任务，文件**等安全问题

**常见日志类别及存储：**Windows,Linux

#### **补充资料：** ####

[https://xz.aliyun.com/t/485][https_xz.aliyun.com_t_485] 应急响应大集合

[值得收藏！史上最全Windows安全工具锦集 - SecPulse.COM | 安全脉搏][Windows_ - SecPulse.COM _] windows安全工具锦集

[Sysinternals - Windows Sysinternals | Microsoft Docs][Sysinternals - Windows Sysinternals _ Microsoft Docs] windows官方的工具

#### **病毒分析：** ####

PCHunter：[恶意代码检测 虚拟机脱壳. Rootkit检测 木马检测][_. Rootkit_]

火绒剑：[火绒安全][Link 5]

Process Explorer：[进程资源管理器 - Windows Sysinternals | Microsoft Docs][- Windows Sysinternals _ Microsoft Docs]

processhacker：[Downloads - Process Hacker][]

autoruns：[Autoruns for Windows - Windows Sysinternals | Microsoft Docs][Autoruns for Windows - Windows Sysinternals _ Microsoft Docs]

OTL：[https://www.bleepingcomputer.com/download/otl/][https_www.bleepingcomputer.com_download_otl]

SysInspector：[下载-杀毒软件下载,防病毒,反木马 - ESET NOD32中国官方网站][-_ - ESET NOD32]

#### **病毒查杀：**  ####

卡巴斯基：[http://devbuilds.kaspersky-labs.com/devbuilds/KVRT/latest/full/KVRT.exe][http_devbuilds.kaspersky-labs.com_devbuilds_KVRT_latest_full_KVRT.exe]

大蜘蛛：[Dr.Web CureIt! — Скачать бесплатно][Dr.Web CureIt_ _ _]

火绒安全软件：[火绒安全][Link 5]

360杀毒：[360杀毒\_下载中心][360]

#### **病毒动态：** ####

CVERC-国家计算机病毒应急处理中心：[CVERC-国家计算机病毒应急处理中心][CVERC-]

微步在线威胁情报社区：[首页 - 微步在线威胁情报社区][-]

火绒安全论坛：[火绒安全软件 - 火绒安全软件][- 1]

爱毒霸社区：[电脑杀毒软件\_中国知名杀毒软件-金山毒霸交流论坛|免费病毒救援][- 2]

腾讯电脑管家：[软件功能下载\_顽固木马专杀\_网络诊断工具-腾讯电脑管家论坛][- 3]

#### **在线病毒扫描网站****：** ####

[VirSCAN.org - Free Multi-Engine Online Virus Scanner v1.02, Supports 47 AntiVirus Engines!][VirSCAN.org - Free Multi-Engine Online Virus Scanner v1.02_ Supports 47 AntiVirus Engines] //多引擎在线病毒扫描网

[腾讯哈勃分析系统][Link 6] //腾讯哈勃分析系统

[Jotti's malware scan][Jotti_s malware scan] //Jotti恶意软件扫描系统

[ScanVir - 云鉴定网 - 威胁情报|云扫描|多引擎在线杀毒|可疑文件分析][ScanVir - _ -] //计算机病毒、手机病毒、可疑文件分析

**木马是控制（监控），病毒是乱搞（破坏）**

### **3. 流量分析** ###

这种分析防火墙上会有相关策略，进行把控。

如，一定时间内访问量达到多少加入黑名单。陌生IP访问警告提醒等等。

针对流量进行分析，某一个IP访问流量超出一般水平较多即可以将其评为疑似攻击IP，然后日志查询进行分析。

针对流量进行分析，某一个IP访问流量超出一般水平太多即可以将其评为攻击IP，直接对其进行处理。常见的为黑名单形式。

不是本地IP进行特别关注

......

### **4. 脚本软件分析** ###

利用脚本软件进行分析，我们需要有自己的应急响应工具包。

这一点，在后面会有一篇文章深入讲解。

### **5. 模拟渗透分析（少见）** ###

在前面方式无果的情况下，是最麻烦的，也可以说黑客的水平很高很高。

那么这个时候我们需要自己模拟渗透，以发现纰漏。

这是最难的一种情况，也就是说，我们自己成为一名黑客进行攻击。

### 后续还会针对上面的每一个方向进行深入讲解 ###

### 应付面试的话可以先学到这里 ###

### **后续会有采用一些具体的实例来让大家加深印象。欢迎关注订阅哦！** ###

## **文章分享** ##

### 网络篇 ###

> [\[ 网络模型篇 \]大白话告诉你什么是OSI七层模型][_ _OSI][\[ 网络协议篇 \] TCP三次握手四次挥手深度解析][_ _ TCP][\[ 网络模型篇 \]大白话告诉你什么是OSI七层模型][_ _OSI]
> 
> [\[ 网络协议篇 \] 一篇文章让你掌握神秘的 ACL][_ _ _ ACL]
> 
> [\[ 网络协议篇 \] 一篇文章让你掌握神秘的 NAT][_ _ _ NAT]
> 
> [\[ 网络协议篇 \] 一篇文章让你掌握神秘的 DHCP(一)][_ _ _ DHCP]
> 
> [\[ 网络协议篇 \] 一篇文章让你掌握神秘的 DHCP(二)][_ _ _ DHCP 1]

### linux篇 ###

> [\[ linux \] 工作中常用的防火墙操作][linux _]
> 
> [\[ linux \] 压缩文件和文件解压缩你都了解吗？][linux _ 1]
> 
> [\[ linux \] vim 编辑器的三种模式介绍][linux _ vim]
> 
> [\[ linux \] 你真的熟悉 linux 目录操作吗 ？][linux _ _ linux _]
> 
> [\[ linux \] 你真的熟悉 linux 文件操作吗 ？][linux _ _ linux _ 1]

### 应急响应篇 ###

> [\[ 应急响应 \]服务器(电脑)受到攻击该如何处理?(一)][Link 1]
> 
> [\[ 应急响应 \]服务器(电脑)受到攻击该如何处理?(二)][Link 2]
> 
> [\[ 应急响应 \]服务器(电脑)受到攻击该如何处理?(三)][Link 3]

### 闲聊篇 ###

> [\[ 闲聊篇 \] 大白话告诉你如何预防“人肉”？][_ _]
> 
> [\[ 程序员那些事 \]程序员会修电脑？程序员到底是干嘛的？][Link 7]
> 
> [\[ 程序员那些事 \]程序员下班后从不关电脑 ?][_ _ 1]
> 
> [\[ 电脑维修那些事 \] 一招教你自己解决电脑蓝屏][_ _ 2]

[Link 1]: https://blog.csdn.net/qq_51577576/article/details/121582451
[Link 2]: https://blog.csdn.net/qq_51577576/article/details/121595874
[Link 3]: https://blog.csdn.net/qq_51577576/article/details/121639458
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAX1Bvd2VyU2hlbGw_size_20_color_FFFFFF_t_70_g_se_x_16]: https://img-blog.csdnimg.cn/2ba56dd380004551913e9c4fcb94364e.png?x-oss-process=image/watermark,type_ZHJvaWRzYW5zZmFsbGJhY2s,shadow_50,text_Q1NETiBAX1Bvd2VyU2hlbGw=,size_20,color_FFFFFF,t_70,g_se,x_16
[Link 4]: https://github.com/JPCERTCC/LogonTracer/wiki/
[_ 10_Web_ - Bypass -]: https://www.cnblogs.com/xiaozi/p/13198071.html
[10_Webshell_ - Bypass -]: https://www.cnblogs.com/xiaozi/p/12679777.html
[https_xz.aliyun.com_t_485]: https://xz.aliyun.com/t/485
[Windows_ - SecPulse.COM _]: https://www.secpulse.com/archives/114019.html
[Sysinternals - Windows Sysinternals _ Microsoft Docs]: https://docs.microsoft.com/en-us/sysinternals/
[_. Rootkit_]: http://www.xuetr.com
[Link 5]: https://www.huorong.cn
[- Windows Sysinternals _ Microsoft Docs]: https://docs.microsoft.com/zh-cn/sysinternals/downloads/process-explorer
[Downloads - Process Hacker]: https://processhacker.sourceforge.io/downloads.php
[Autoruns for Windows - Windows Sysinternals _ Microsoft Docs]: https://docs.microsoft.com/en-us/sysinternals/downloads/autoruns
[https_www.bleepingcomputer.com_download_otl]: https://www.bleepingcomputer.com/download/otl/
[-_ - ESET NOD32]: http://download.eset.com.cn/download/detail/?product=sysinspector
[http_devbuilds.kaspersky-labs.com_devbuilds_KVRT_latest_full_KVRT.exe]: http://devbuilds.kaspersky-labs.com/devbuilds/KVRT/latest/full/KVRT.exe
[Dr.Web CureIt_ _ _]: http://free.drweb.ru/download+cureit+free
[360]: http://sd.360.cn/download_center.html
[CVERC-]: http://www.cverc.org.cn
[-]: https://x.threatbook.cn
[- 1]: http://bbs.huorong.cn/forum-59-1.html
[- 2]: http://bbs.duba.net
[- 3]: http://bbs.guanjia.qq.com/forum-2-1.html
[VirSCAN.org - Free Multi-Engine Online Virus Scanner v1.02_ Supports 47 AntiVirus Engines]: http://www.virscan.org
[Link 6]: https://habo.qq.com
[Jotti_s malware scan]: https://virusscan.jotti.org
[ScanVir - _ -]: http://www.scanvir.com
[_ _OSI]: https://blog.csdn.net/qq_51577576/article/details/121648661
[_ _ TCP]: https://blog.csdn.net/qq_51577576/article/details/121723174
[_ _ _ ACL]: https://blog.csdn.net/qq_51577576/article/details/121634576
[_ _ _ NAT]: https://blog.csdn.net/qq_51577576/article/details/121682188
[_ _ _ DHCP]: https://blog.csdn.net/qq_51577576/article/details/121683646
[_ _ _ DHCP 1]: https://blog.csdn.net/qq_51577576/article/details/121705492
[linux _]: https://blog.csdn.net/qq_51577576/article/details/121736700
[linux _ 1]: https://blog.csdn.net/qq_51577576/article/details/121747282
[linux _ vim]: https://blog.csdn.net/qq_51577576/article/details/121736800
[linux _ _ linux _]: https://blog.csdn.net/qq_51577576/article/details/121782819
[linux _ _ linux _ 1]: https://blog.csdn.net/qq_51577576/article/details/121782818
[_ _]: https://blog.csdn.net/qq_51577576/article/details/121467983
[Link 7]: https://blog.csdn.net/qq_51577576/article/details/121547822
[_ _ 1]: https://blog.csdn.net/qq_51577576/article/details/121546678
[_ _ 2]: https://blog.csdn.net/qq_51577576/article/details/121692874

发表评论取消回复

表情：

评论列表（有 0 条评论，17人围观）

还没有评论，来说两句吧...

相关阅读

相关 Redis服务器被攻击后该如何安全加固

Redis（Remote Dictionary Server）是一款高性能的开源缓存和存储数据库，广泛应用于各种Web应用程序和分布式系统中。然而，由于其高性能和开放的

绝地灬酷狼/ 2023年10月16日 17:49/ 0 赞/ 24 阅读

相关 [ 应急响应 ]服务器(电脑)受到攻击该如何处理?(三)

> [\[ 应急响应 \]服务器(电脑)受到攻击该如何处理?(一)][Link 1] > > [\[ 应急响应 \]服务器(电脑)受到攻击该如何处理?(二)][Link 2]

我不是女神ヾ/ 2023年10月06日 20:29/ 0 赞/ 9 阅读

相关 [ 应急响应 ]服务器(电脑)受到攻击该如何处理?(二)

> [\[ 应急响应 \]服务器(电脑)受到攻击该如何处理?(一)][Link 1] > [\[ 应急响应 \]服务器(电脑)受到攻击该如何处理?(二)][Link 2]

柔光的暖阳◎/ 2023年10月06日 20:27/ 0 赞/ 18 阅读

相关 [ 应急响应 ]服务器(电脑)受到攻击该如何处理?(一)

> [\[ 应急响应 \]服务器(电脑)受到攻击该如何处理?(一)][Link 1] > [\[ 应急响应 \]服务器(电脑)受到攻击该如何处理?(二)][Link 2]

左手的ㄟ右手/ 2023年10月06日 20:26/ 0 赞/ 9 阅读

相关 Windows 应急响应

主要关注点：进程，网络活动，启动项，计划任务，日志 1、查看服务器是否有弱口令、远程管理端口公网开放检查方法：询问管理员、通过注册表或者nmap扫全端口的方式确定是否

缺乏、安全感/ 2023年09月27日 21:16/ 0 赞/ 145 阅读

相关一次短信验证码攻击的应急响应

前言前段时间客户现场被攻击，客户找到了公司，公司找到了我，于是有了这一次的应急响应，因为第一次搞，所以记录一下整个过程。一、要做什么刚开始不知道干啥，

左手的ㄟ右手/ 2023年01月05日 12:18/ 0 赞/ 142 阅读

相关服务器内存增高应急处理过程总结

服务器内存增高应急处理过程总结一、服务器内存问题排查处理过程 1.1 堆内内存 1. OOM 2. Stac

我不是女神ヾ/ 2023年01月03日 01:19/ 0 赞/ 382 阅读

相关一次短信验证码攻击的应急响应

前言前段时间客户现场被攻击，客户找到了公司，公司找到了我，于是有了这一次的应急响应，因为第一次搞，所以记录一下整个过程。一、要做什么刚开始不知道干啥，

Myth丶恋晨/ 2022年11月19日 12:56/ 0 赞/ 156 阅读

相关 Linux应急响应实战

接到个单子，网站被挂博彩客户机器环境服务器系统: CentOS 7 服务器管理面板: 宝塔 CMS: 织梦 CMS V57 SP2 过程向客户了解情况后

缺乏、安全感/ 2022年10月24日 13:12/ 0 赞/ 61 阅读

相关商业网站该如何制定应急计划？

商业网站该如何制定应急计划？虽然谁都不希望SEO项目出现问题，但搜索引擎排名和流量不是站长自己能控制的，出问题是非常常见和正常的，应该提早做准备。商业网站更应该有适当的...

朱雀/ 2021年06月05日 02:40/ 0 赞/ 448 阅读