07安全事件應急響應及分析(編輯修改稿)
2025-02-10 18:27 本頁面
【文章內(nèi)容簡介】 rver_Driver][SQL_Server]將 _nvarchar_值 _39。article_user39。_轉換為數(shù)據(jù)類型為 _int_的列時發(fā)生語法錯誤。 80 Mozilla/+ 日志分析 ? WEB日志 (路徑掃描示例 ) 20231013 15:20:44 GET / 80 Mozilla/ 404 0 2 20231013 15:20:44 GET / 80 Mozilla/ 404 0 2 20231013 15:20:44 GET / 80 Mozilla/ 404 0 2 20231013 15:20:44 GET / 80 Mozilla/ 404 0 2 20231013 15:20:44 GET / 80 Mozilla/ 404 0 2 20231013 15:20:44 GET /login/ 80 Mozilla/ 404 0 3 20231013 15:20:44 GET /dvbbs/ 80 Mozilla/ 404 0 3 20231013 15:20:44 GET / 80 Mozilla/ 404 0 2 20231013 15:20:44 GET / 80 Mozilla/ 404 0 2 20231013 15:20:44 GET /user/ 80 Mozilla/ 404 0 3 20231013 15:20:44 GET / 80 Mozilla/ 404 0 2 20231013 15:20:44 GET / 80 Mozilla/ 404 0 2 20231013 15:20:44 GET / 80 Mozilla/ 404 0 日志分析 ? 可疑賬號 ?使用 user查看 可疑賬戶分析 ? 較低級后門：添加系統(tǒng)帳號；添加其他服務帳號（ FTP，數(shù)據(jù)庫）； ?二進制后門：反向連接型普通后門；動態(tài)鏈接庫后門； ?配置型后門：隱藏賬號和克隆帳號 ?網(wǎng)頁型后門： webshell 可疑文件分析 ? 隱藏賬號 ?形如 hack$的隱藏賬號，不能使用 user查看 賬戶后門 可疑進程 二進制后門 可疑端口和服務 二進制后門 ? 啟動項 ? HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run ? HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce ? HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnceEx ? HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policiees\Run ? 回收站 ? 根目錄下隱藏的 Recycler目錄 ?用戶刪除的文件在以其自身 SID為基礎命名的子目錄中 ? 臨時文件夾 C:\Documents and Settings\Default User\Local Settings\temp ? 計劃任務 ? 使用 at命令查看 文件后門 ? 曾經(jīng)存在的帳戶 ? HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\Curren
教學課件相關推薦
鄂ICP備17016276號-1