應(yīng)急響應(yīng)ppt課件(2)(編輯修改稿)
2025-06-08 08:58 本頁面
【文章內(nèi)容簡介】 進(jìn)程，是一個正常的系統(tǒng)進(jìn)程。27Windows系統(tǒng)應(yīng)急響應(yīng)方法n 3.查看、對比端口，找出出問題的端口n 通常懷疑計算機(jī)有安全問題的時候，也通過查看端口的方法來判斷，特別是在懷疑計算機(jī)里面中了木馬的時候。因為木馬通常都有自己的端口，比如著名的 “冰河 ”木馬，它所使用的端口是號 7626。這里如果發(fā)現(xiàn)自己的計算機(jī)端口里面有 7626端口是開放的，那計算機(jī)很可能是中了 “冰河 ”木馬了。28Windows系統(tǒng)應(yīng)急響應(yīng)方法n 如此一來，關(guān)鍵是如果找出出問題的進(jìn)程。查看進(jìn)行的時候，可以使用 DOS命令 stat來完成。方法是在用鼠標(biāo)點擊 “開始 ”－ “運(yùn)行 ”，輸入 “cmd”進(jìn)入 DOS提示符狀態(tài)。然后輸入 DOS命令 “stat”或 “statan”來查看系統(tǒng)的端口。如圖 ，為采用 stat命令查看端口。 29Windows系統(tǒng)應(yīng)急響應(yīng)方法n 如此一來，關(guān)鍵是如果找出出問題的進(jìn)程。查看進(jìn)行的時候，可以使用 DOS命令 stat來完成。方法是在用鼠標(biāo)點擊 “開始 ”－ “運(yùn)行 ”，輸入 “cmd”進(jìn)入 DOS提示符狀態(tài)。然后輸入 DOS命令 “stat”或 “statan”來查看系統(tǒng)的端口。如圖 ，為采用 stat命令查看端口。 30Windows系統(tǒng)應(yīng)急響應(yīng)方法n 找出出問題的端口的方法和上面所講的找出出問題進(jìn)程的方法是一樣的，也是采用圖片對比的方式，這里就不再贅述。n 找出出問題的端口后，也可以在搜索引擎上查找問題的端口的信息，這里就不再贅述。31Windows系統(tǒng)應(yīng)急響應(yīng)方法n 4．查看開放端口所對應(yīng)的程序n 上面通過 stat命令可以看到系統(tǒng)里有哪些端口是開放的。但是通常更需要知道的是開放端口所對應(yīng)的應(yīng)用程序是哪些？這里介紹一個工具名叫 “”。大家只要將這個文件下載下來，在 DOS環(huán)境下運(yùn)行一下就行了。如圖 ，可以很清楚地看到， TCP的 1025端口是被諾頓的個人防火墻所占用， TCP的 6792端口被聯(lián)眾程序所占用。 32Windows系統(tǒng)應(yīng)急響應(yīng)方法n 5.查看、對比注冊表n 通常懷疑計算機(jī)有安全問題的時候，還可以通過查看對比注冊表的方式，來找出問題的根源。注冊表的“HKEY_LOCOL_MACHINE\SOFTWARE\Microsoft\Windows\CurrrentVersion\Run”里面存放的是計算機(jī)啟動之后系統(tǒng)自動要加載的項，如圖 。這里通常也是黑客感興趣的地方，許多病毒、木馬程序經(jīng)常將自己的可執(zhí)行文件放在這里，以便開機(jī)之后能自動運(yùn)行。 33Windows系統(tǒng)應(yīng)急響應(yīng)方法n 找出注冊表出問題的項的方法和上面所講的找出出問題進(jìn)程的方法是一樣的，也是采用圖片對比的方式，這里就不再贅述。n 找出出問題的注冊表項后，也可以在搜索引擎上查找問題的端口的信息，這里就不在贅述。 34Windows系統(tǒng)應(yīng)急響應(yīng)方法n 6.查看其他安全工具的日志n 通過查看其他安全工具日志的方式，也可以找出問題的根源，其他工具如防火墻、入侵檢測、網(wǎng)絡(luò)蜜罐等。35Linus系統(tǒng)應(yīng)急響應(yīng)方法n 下面介紹一下 Linux下應(yīng)急響應(yīng)的方法和流程，測試系統(tǒng)為 。n 在 linux上進(jìn)行應(yīng)急響應(yīng)時，有必要創(chuàng)建自己的應(yīng)急響應(yīng)工具箱，這些工具包括如下命令：n lsdddesfilen findcatlsofmd5sumncn statpcatperlpsstracen stringstrussdfvin catkstatifconfigchkrootkitn moregziplastwrmn scriptbashmodinfolsmod36Linus系統(tǒng)應(yīng)急響應(yīng)方法n 在 Linux上創(chuàng)建響應(yīng)工具包時，可以用 gcc的 –static參數(shù)編譯源代碼，或者用 ldd檢查動態(tài)連接庫，在響應(yīng)工具包存儲介質(zhì)上建立庫文件目錄，并拷貝所有工具需要的動態(tài)連接庫的副本，最后設(shè)置環(huán)境變量。 37Linus系統(tǒng)應(yīng)急響應(yīng)方法n 當(dāng)有了自己的應(yīng)急工具箱之后，就可以進(jìn)行具體的應(yīng)急響應(yīng)步驟了，這里分如下幾個步驟：n 1．查看登錄系統(tǒng)的用戶n 用 w命令顯示當(dāng)前所有登錄系統(tǒng)的用戶，如圖 所示，輸出標(biāo)題行顯示了當(dāng)前系統(tǒng)時間，該系統(tǒng)已運(yùn)行的時間，當(dāng)前登錄用戶數(shù)，最近 1分鐘， 5分鐘和 15分鐘內(nèi)的平均系統(tǒng)負(fù)載。n USER字段顯示當(dāng)前登錄的用戶名。 TTY字段顯示了會話的控制終端， tty表示從控制臺登錄， pts/typ則可以表示通過一個網(wǎng)絡(luò)連接。 38Linus系統(tǒng)應(yīng)急響應(yīng)方法n 2．查看系統(tǒng)開放的端口n 用 stat–an命令來顯示當(dāng)前系統(tǒng)開放的端口，有時系統(tǒng)開放的端口比較多，一頁顯示不了，可以用|more這個管道命令使結(jié)果分頁顯示，便于查看，如圖所示，輸出行有 5個結(jié)果，其中比較重要的是 proto顯示了使用協(xié)議， localaddress顯示了使用的本地 ip，這對于 NAT地址轉(zhuǎn)換的情況比較有用，還有 foreignaddress顯示了外部 ip， state顯示了當(dāng)前這個連接的狀態(tài)。 39Linus系統(tǒng)應(yīng)急響應(yīng)方法n 圖 stat–an查看系統(tǒng)開放的端口40Linus系統(tǒng)應(yīng)急響應(yīng)方法n 3．查看系統(tǒng)進(jìn)程n 用 ps–aux來查看系統(tǒng)的進(jìn)程列表，如果進(jìn)程很多，同樣用 |more管道來分頁顯示結(jié)果，如圖 ， ps命令輸出中
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1