【应急响应】2020应急响应基础-Windows、Linux合集

0x00 应急响应介绍

当企业发生黑客入侵、系统崩溃或其它影响业务正常运行的安全事件时，急需第一时间进行处理，使企业的网络信息系统在最短时间内恢复正常工作，进一步查找入侵来源，还原入侵事故过程，同时给出解决方案与防范措施，为企业挽回或减少经济损失。

常见的应急响应事件分类

web入侵：网页挂马、主页篡改、Webshell

系统入侵：病毒木马、勒索软件、远控后门

网络攻击：DDOS攻击、DNS劫持、ARP欺骗

入侵排查思路

web入侵：对中间件日志进行分析

系统入侵：计划任务，系统爆破痕迹（系统日志），进程进行分析

网络攻击：流量分析

0x01 Windows - 应急响应处置过程

1.1 检查系统账号安全

1.1.1 检查服务器是否有弱口令

1.1.2 检查远程管理端口是否对公网开放

1.1.3 查看服务器是否存在可疑账号、新增账号

打开 cmd 窗口，输入lusrmgr.msc命令，查看是否有新增/可疑的账号，如有管理员群组的（Administrators）里的新增账户，如有，请立即禁用或删除掉。

1.1.4 查看服务器是否存在隐藏账号、克隆账号

a、打开注册表 ，查看管理员对应键值。

b、使用D盾_web查杀工具，D盾_web查杀集成了对克隆账号检测的功能

c、windows账号信息，隐藏账号

打开 cmd 窗口，输入lusrmgr.msc命令，用户名以$结尾的为隐藏用户，如：admin$

LogParser.exe -i:EVT "select TimeGenera as LoginTime,EXTRACT_TOKEN as username FROM c: where ntID=4624"

1.2 检查异常端口、进程

1.2.1 检查端口连接情况，是否有远程连接、可疑连接

a、通过netstat查看目前的网络连接，定位可疑的ESTABLISHED

netstat -ano

b、根据netstat 定位出的pid，再通过tasklist命令进行进程定位

tasklist | findstr "PID"

1.2.2 检查进程

a、开始–运行–输入msinfo32，依次点击“软件环境→正在运行任务”就可以查看到进程的详细信息，比如进程路径、进程ID、文件创建日期、启动时间等。

b、打开D盾_web查杀工具，进程查看，关注没有签名信息的进程。

c、通过微软官方提供的 Process Explorer 等工具进行排查 。

d、查看可疑的进程及其子进程。可以通过观察以下内容：

• 没有签名验证信息的进程

• 没有描述信息的进程

• 进程的属主

• 进程的路径是否合法

• CPU或内存资源占用长时间过高的进程

1.3 计划任务

1.3.1 任务计划程序

控制面板 — 管理工具 — 任务计划程序，或运行 — taskschd.msc，或通过命令查看计划任务 schtasks

存放计划任务的文件

• C:\Windows\System32\Tasks\
• C:\Windows\SysWOW64\Tasks\
• C:\Windows\tasks\
• *.job（指文件）

1.3.2 自启动

【开始】-【运行】- 【输入shell:startup】，查看是否存在开机自启动项目

1.3.3 组策略

【开始】-【运行】- 【输入gpedit.msc】，查看是否存在脚本启动

1.4 查看可疑目录及文件

查看 host ：

cmd运行如下命令：

type %systemroot%\System32\drivers\etc\hosts

查看Recent：

Recent是系统文件夹，里面存放着你最近使用的文档的快捷方式，查看用户recent相关文件，通过分析最近打开分析可疑文件：

单击【开始】>【运行】，输入%UserProfile%\Recent，分析最近打开分析可疑文件。

查看temp：

路径为 C:\Windows\Temp。查看temp(tmp)相关目录下有无异常文件 ：Windows产生的临时文件

查看shift：

连按shift键5次，查看是否存在后门

查看ntfs数据流：

# 查找出可疑数据流命令
dir /s /r | findstr -i "$data" | findstr -vi "identifier"
# 将所有数据流存储到txt文本以便查找目标数据流的地址：
dir /s /r > all.txt

1.5 中间件日志分析

**tomcat：**安装目录下logs文件夹localhost_access_log.日期.txt (我们分析一般针对这个进行分析)

这个是存放访问tomcat的请求的所有地址以及请求的路径、时间，请求协议以及返回码等信息(重要)

例如：

127.0.0.1 - - [29/May/2020:12:03:06 +0800] "GET /tomcat.css HTTP/1.1" 200 5581
# 请求IP -- 请求时间 ---请求方式---请求路径---请求协议---状态码---字节包
# 对请求路径进行分析，定位攻击者

**apache：**安装目录下logs文件夹 access.log（格式与tomcat一致）

127.0.0.1 - - [13/May/2020:20:26:48 +0800] "GET /index.php HTTP/1.1" 404 196
# 请求IP -- 请求时间 ---请求方式---请求路径---请求协议---状态码---字节包
# 对请求路径进行分析，定位攻击者

1.6 查看日志

打开控制面板——系统和安全——查看事件日志（或eventvwr.msc），就进入了事件查看器

打开左侧事件查看器（本地）——Windows日志——安全

进行事件筛查，重要的事件 ID（安全日志，Security.evtx）：

• 4776：远程登陆（如3389）到本机日志
• 4624：用户账户登录成功
• 4625：用户账户登录失败
• 1102：记录安全审计日志清除事件
• 4720：创建用户
• 4726：删除用户
• 4732：将成员添加到启用安全的本地组中
• 4733：将成员从启用安全的本地组中移除
• 4728：将成员添加到启用安全的全局组中
• 4729：将成员从启用安全的全局组中移除

1.7 检查第三方软件漏洞

如果服务器内有运行对外应用软件（WWW、FTP 等），应对软件进行配置，限制应用程序的权限，禁止目录浏览或文件写权限

0x02 Windows - 安全建议

1. 系统确认被入侵后，往往系统文件会被更改和替换，此时系统已经变得不可信，最好的方法就是重新安装系统， 同时给新系统安装所有补丁。

2. 改变所有系统账号的密码为复杂密码（至少与入侵前不一致）。

3. 修改默认远程桌面端口，操作如下：
   单击【开始】>【运行】，然后输入 regedit。
   打开注册表，进入如下两处路径，修改下右侧的 PortNamber 值为其他值

   # 第一处
   HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds\rdpwd\Tds\tcp
   # 第二处
   HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp
   

4. 配置安全组防火墙白名单，只允许指定 IP 才能访问远程桌面端口。

5. 定期备份重要业务数据和文件。

6. 定期更新操作系统及应用程序组件版本（如 FTP、Struts2 等），防止被漏洞利用。

0x03 Linux - 应急响应处置过程

3.1 账号安全

3.1.1 基本使用

1、用户信息文件/etc/passwd

root:x:0:0:root:/root:/bin/bash
account:password:UID:GID:GECOS:directory:shell
用户名：密码：用户ID：组ID：用户说明：家目录：登陆之后shell
注意：无密码只允许本机登陆，远程不允许登陆

2、影子文件/etc/shadow

root:$6$oGs1PqhL2p3ZetrE$X7o7bzoouHQVSEmSgsYN5UD4.kMHx6qgbTqwNVC5oOAouXvcjQSt.Ft7ql1WpkopY0UV9ajBwUt1DpYxTCVvI/:16809:0:99999:7:::
用户名：加密密码：密码最后一次修改日期：两次密码的修改时间间隔：密码有效期：密码修改到期到的警告天数：密码过期之后的宽限天数：账号失效时间：保留

3、用户查看基本命令

who     查看当前登录用户（tty本地登陆  pts远程登录）
w       查看系统信息，想知道某一时刻用户的行为
uptime  查看登陆多久、多少用户，负载

3.1.2 入侵排查

1、查询特权用户(uid 为0)

awk -F: '$3==0{print $1}' /etc/passwd

2、查询可以远程登录的帐号信息

awk '/\$1|\$6/{print $1}' /etc/shadow

3、除root帐号外，其他帐号是否存在sudo权限。如非管理需要，普通帐号应删除sudo权限

more /etc/sudoers | grep -v "^#\|^$" | grep "ALL=(ALL)"

4、禁用或删除多余及可疑的帐号

usermod -L user    禁用帐号，帐号无法登录，/etc/shadow第二栏为!开头
userdel user       删除user用户
userdel -r user    将删除user用户，并且将/home目录下的user目录一并删除

3.2 历史命令

通过.bash_history文件查看帐号执行过的系统命令

# root的历史命令
cat /root/.bash_history
# home下用户的历史命令
cat /home/user/.bash_history

3.3 检查异常端口

使用netstat 网络连接命令，分析可疑端口、IP、PID

netstat -antp | more

查看下pid所对应的进程文件路径

运行ls -l /proc/$PID/exe或file /proc/$PID/exe（$PID 为对应的pid 号）

3.4 检查异常进程

使用ps命令，分析进程

ps ef | grep pid 

3.5 检查开机启动项

开机启动配置文件目录

/etc/rc.local
/etc/ld.so.preload
/etc/rc[0~6].d	# 常用为3

检查不同等级启动目录下的启动项，如：

ls /etc/rc3.d

3.6 检查定时任务

3.6.1 基本使用

1、crontab创建计划任务

crontab -l	# 列出计划任务的详细内容
crontab -r	# 删除每个用户cront任务(谨慎：删除所有的计划任务)
crontab -e	# 使用编辑器编辑当前的crontab文件
如：*/1 * * * * echo "hello world" >> /tmp/test.txt 每分钟写入文件

2、利用anacron实现异步定时任务调度

每天运行 /home/backup.sh脚本

vi /etc/anacrontab @daily 10 example.daily /bin/bash /home/backup.sh

当机器在 backup.sh 期望被运行时是关机的，anacron会在机器开机十分钟之后运行它，而不用再等待 7天。

3.6.2 入侵排查

重点关注以下目录中是否存在恶意脚本

/var/spool/cron/* 
/etc/crontab
/etc/cron.d/*
/etc/cron.daily/* 
/etc/cron.hourly/* 
/etc/cron.monthly/*
/etc/cron.weekly/
/etc/anacrontab
/var/spool/anacron/*

3.7 检查服务

3.7.1 基本使用

1、通过chkconfig（该工具基于redhat）修改服务启动状态

chkconfig [--level 运行级别] [独立服务名] [on|off]
chkconfig –level 2345 httpd on  开启自启动
chkconfig httpd on （默认level是2345）

2、通过rc.local文件修改服务启动状态

vim /etc/re.d/rc.local
加入/etc/init.d/httpd start

3.7.2 入侵排查

查询已安装的服务：

• RPM包安装的服务

# 查看服务自启动状态，可以看到所有的RPM包安装的服务
chkconfig  --list
# 系统在3与5级别下的启动项 
# 中文环境
chkconfig --list | grep "3:启用\|5:启用"
# 英文环境
chkconfig --list | grep "3:on\|5:on"

• 源码包安装的服务

# 查看服务安装位置 ，一般是在/user/local/目录下
service httpd start
搜索/etc/rc.d/init.d/查看是否存在

3.8 检查异常文件

1、查看敏感目录，如/tmp目录下的文件，同时注意隐藏文件夹，以“…”为名的文件夹具有隐藏属性

2、得到发现WEBSHELL、远控木马的创建时间，如何找出同一时间范围内创建的文件？可以使用find命令来查找，如：

# 找出/opt目录下，一天前访问过的文件
find /opt -iname "*" -atime 1 -type f

iname：文件名不区分大小写
atime ：最近一次文件访问的时间
mtime：最近一次文件内容被修改的时间
ctime：最近一次文件属性改变的时间
type ：文件类型

针对可疑文件可以使用stat命令查看文件属性，如：

stat /opt/backup.sh

3.9 检查系统日志

3.9.1 linux日志介绍

日志默认存放位置：/var/log/

查看日志配置情况：more /etc/rsyslog.conf

日志文件	说明
/var/log/cron	记录了系统定时任务相关的日志
/var/log/cups	记录打印信息的日志
/var/log/dmesg	记录了系统在开机时内核自检的信息，也可以使用dmesg命令直接查看内核自检信息
/var/log/mailog	记录邮件信息
/var/log/message	记录系统重要信息的日志。这个日志文件中会记录Linux系统的绝大多数重要信息，如果系统出现问题时，首先要检查的就应该是这个日志文件
/var/log/btmp	记录错误登录日志，这个文件是二进制文件，不能直接vi查看，而要使用lastb命令查看
/var/log/lastlog	记录系统中所有用户最后一次登录时间的日志，这个文件是二进制文件，不能直接vi，而要使用lastlog命令查看
/var/log/wtmp	永久记录所有用户的登录、注销信息，同时记录系统的启动、重启、关机事件。同样这个文件也是一个二进制文件，不能直接vi，而需要使用last命令来查看
/var/log/utmp	记录当前已经登录的用户信息，这个文件会随着用户的登录和注销不断变化，只记录当前登录用户的信息。同样这个文件不能直接vi，而要使用w,who,users等命令来查询
/var/log/secure	记录验证和授权方面的信息，只要涉及账号和密码的程序都会记录，比如SSH登录，su切换用户，sudo授权，甚至添加用户和修改用户密码都会记录在这个日志文件中

3.9.2 日志分析技巧：

1、定位有多少IP在爆破主机的root帐号：

grep "Failed password for root" /var/log/secure | awk '{print $11}' | sort | uniq -c | sort -nr | more

定位有哪些IP在爆破：

grep "Failed password" /var/log/secure|grep -E -o "(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)\.(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)\.(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)\.(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)"|uniq -c

爆破用户名字典是什么：

grep "Failed password" /var/log/secure|perl -e 'while($_=<>){ /for(.*?) from/; print "$1\n";}'|uniq -c|sort -nr

2、登录成功的IP有哪些：

grep "Accepted " /var/log/secure | awk '{print $11}' | sort | uniq -c | sort -nr | more

登录成功的日期、用户名、IP：

grep "Accepted " /var/log/secure | awk '{print $1,$2,$3,$9,$11}' 

3、增加用户日志：

grep "useradd" /var/log/secure 
# Jul 10 00:12:15 localhost useradd[2382]: new group: name=kali, GID=1001
# Jul 10 00:12:15 localhost useradd[2382]: new user: name=kali, UID=1001, GID=1001, home=/home/kali, shell=/bin/bash
# Jul 10 00:12:58 localhost passwd: pam_unix(passwd:chauthtok): password changed for kali

4、删除用户日志：

grep "userdel" /var/log/secure
# Jul 10 00:14:17 localhost userdel[2393]: delete user 'kali'
# Jul 10 00:14:17 localhost userdel[2393]: removed group 'kali' owned by 'kali'
# Jul 10 00:14:17 localhost userdel[2393]: removed shadow group 'kali' owned by 'kali'

5、sudo授权：

sudo -l
# Jul 10 00:43:09 localhost sudo:    good : TTY=pts/4 ; PWD=/home/good ; USER=root ; COMMAND=/sbin/shutdown -r now

0x04 Linux - 工具篇

4.1 Rootkit查杀

Rootkit是一种特殊的恶意软件，它的功能是在安装目标上隐藏自身及指定的文件、进程和网络链接等信息，比较多见到的是Rootkit一般都和木马、后门等其他恶意程序结合使用。Rootkit一词更多地是指被作为驱动程序，加载到操作系统内核中的恶意软件。

4.1.1 chkrootkit（推荐）

网址：http://www.chkrootkit.org

使用方法：
wget ftp://ftp.pangeia.com.br/pub/seg/pac/chkrootkit.tar.gz
tar zxvf chkrootkit.tar.gz
cd chkrootkit-0.52
make sense
#编译完成没有报错的话执行检查
./chkrootkit

4.1.2 rkhunter

网址：http://rkhunter.sourceforge.net

使用方法：
Wget https://nchc.dl.sourceforge.net/project/rkhunter/rkhunter/1.4.4/rkhunter-1.4.4.tar.gz
tar -zxvf rkhunter-1.4.4.tar.gz
cd rkhunter-1.4.4
./installer.sh --install
rkhunter -c

4.2 病毒查杀

4.2.1 Clamav

ClamAV的官方下载地址为：http://www.clamav.net/download.html

安装方式一：

1、安装zlib：
wget http://nchc.dl.sourceforge.net/project/libpng/zlib/1.2.7/zlib-1.2.7.tar.gz 
tar -zxvf  zlib-1.2.7.tar.gz
cd zlib-1.2.7
#安装一下gcc编译环境： yum install gcc
CFLAGS="-O3 -fPIC" ./configure --prefix= /usr/local/zlib/
make && make install

2、添加用户组clamav和组成员clamav：
groupadd clamav
useradd -g clamav -s /bin/false -c "Clam AntiVirus" clamav

3、安装Clamav
tar –zxvf clamav-0.97.6.tar.gz
cd clamav-0.97.6
./configure --prefix=/opt/clamav --disable-clamav -with-zlib=/usr/local/zlib
make
make install

4、配置Clamav
mkdir /opt/clamav/logs
mkdir /opt/clamav/updata
touch /opt/clamav/logs/freshclam.log
touch /opt/clamav/logs/clamd.log
cd /opt/clamav/logs
chown clamav:clamav clamd.log
chown clamav:clamav freshclam.log

5、ClamAV 使用：
 /opt/clamav/bin/freshclam 升级病毒库
./clamscan –h 查看相应的帮助信息
./clamscan -r /home  扫描所有用户的主目录就使用
./clamscan -r --bell -i /bin  扫描bin目录并且显示有问题的文件的扫描结果

安装方式二：

#安装
yum install -y clamav
#更新病毒库
freshclam
#扫描方法
clamscan -r /etc --max-dir-recursion=5 -l /root/etcclamav.log
clamscan -r /bin --max-dir-recursion=5 -l /root/binclamav.log
clamscan -r /usr --max-dir-recursion=5 -l /root/usrclamav.log
#扫描并杀毒
clamscan -r  --remove  /usr/bin/bsd-port
clamscan -r  --remove  /usr/bin/
clamscan -r --remove  /usr/local/zabbix/sbin
#查看日志发现
cat /root/usrclamav.log |grep FOUND

4.3 webshell查杀

河马webshell查杀：http://www.shellpub.com
深信服Webshell网站后门检测工具：http://edr.sangfor.com.cn/backdoor_detection.html

4.4 RPM check检查

系统完整性可以通过rpm自带的-Va来校验检查所有的rpm软件包，查看哪些命令是否被替换了：

./rpm -Va > rpm.log

如果一切均校验正常将不会产生任何输出，如果有不一致的地方，就会显示出来，输出格式是8位长字符串，每个字符都用以表示文件与RPM数据库中一种属性的比较结果 ，如果是. (点) 则表示测试通过。

验证内容中的8个信息的具体内容如下：
S         文件大小是否改变
M         文件的类型或文件的权限（rwx）是否被改变
5         文件MD5校验是否改变（可以看成文件内容是否改变）
D         设备中，从代码是否改变
L         文件路径是否改变
U         文件的属主（所有者）是否改变
G         文件的属组是否改变
T         文件的修改时间是否改变

如果命令被替换了，如何还原回来：

文件提取还原案例：
rpm  -qf /bin/ls  查询ls命令属于哪个软件包
mv  /bin/ls /tmp  先把ls转移到tmp目录下，造成ls命令丢失的假象
rpm2cpio /mnt/cdrom/Packages/coreutils-8.4-19.el6.i686.rpm | cpio -idv ./bin/ls 提取rpm包中ls命令到当前目录的/bin/ls下
cp /root/bin/ls  /bin/ 把ls命令复制到/bin/目录 修复文件丢失

4.5 linux安全检查脚本

Github项目地址：

https://github.com/grayddq/GScan

https://github.com/ppabc/security_check

https://github.com/T0xst/linux

0x05 勒索病毒自救指南

勒索病毒采用非对称加密，能否解密全凭运气，因此平时还是要注意勤打补丁多备份。

该指南介绍通过勒索病毒索引引擎查找勒索病毒相关信息，再通过各个安全公司提供的免费勒索软件解密工具解密。

5.1 勒索病毒搜索引擎

在勒索病毒搜索引擎输入病毒名、勒索邮箱、被加密后文件的后缀名，或直接上传被加密文件、勒索提示信息，即可快速查找到病毒详情和解密工具。

【360】 勒索病毒搜索引擎，支持检索超过800种常见勒索病毒，

http://lesuobingdu.360.cn

【腾讯】 勒索病毒搜索引擎，支持检索超过 300 种常见勒索病毒

https://guanjia.qq.com/pr/ls/

【启明】VenusEye勒索病毒搜索引擎，超300种勒索病毒家族

https://lesuo.venuseye.com.cn/

【奇安信】勒索病毒搜索引擎

https://lesuobingdu.qianxin.com/

【深信服】勒索病毒搜索引擎

https://edr.sangfor.com.cn/#/information/ransom_search

这些网站的解密能力还在持续更新中，是值得收藏的几个勒索病毒工具型网站。

5.2 勒索软件解密工具集

很多安全公司都提供了免费的勒索病毒解密工具下载，收集和整理相关下载地址，可以帮助我们了解和获取最新的勒索病毒解密工具。

【腾讯哈勃】勒索软件专杀工具

https://habo.qq.com/tool/index

【金山毒霸】勒索病毒免疫工具

http://www.duba.net/dbt/wannacry.html

【火绒】安全工具下载

http://bbs.huorong.cn/forum-55-1.html

【瑞星】解密工具下载

http://it.rising.com.cn/fanglesuo/index.html

【nomoreransom】勒索软件解密工具集

https://www.nomoreransom.org/zh/index.html

【MalwareHunterTeam】勒索软件解密工具集

https://id-ransomware.malwarehunterteam.com/

【卡巴斯基】免费勒索解密器

https://noransom.kaspersky.com/

【Avast】免费勒索软件解密工具

https://www.avast.com/zh-cn/ransomware-decryption-tools

【Emsisoft】免费勒索软件解密工具

https://www.emsisoft.com/ransomware-decryption-tools/free-download

【Github项目】勒索病毒解密工具收集汇总

https://github.com/jiansiting/Decryption-Tools

0x06 参考链接

应急响应实战笔记_2020最新版