信息安全應(yīng)急響應(yīng)系列之網(wǎng)站入侵分析(編輯修改稿)
2025-03-08 01:51 本頁面
【文章內(nèi)容簡介】 straceapache的進(jìn)程會(huì)發(fā)現(xiàn)有很多 open操作， apache需要遍歷 web目錄下所有的目錄查找 .htaccess文件，當(dāng)設(shè)置為 none時(shí) open操作明顯減少，可以結(jié)合壓力測(cè)試看到效果。北京數(shù)字證書認(rèn)證中心 2023年 4月 25數(shù)據(jù)分析針對(duì)收集到的賬戶信息、文件修改情況、系統(tǒng)日志、網(wǎng)站日志等進(jìn)行綜合分析和歸納，確認(rèn)是否存在以下情況：167。 系統(tǒng)含有非法賬號(hào)167。 系統(tǒng)中含有異常服務(wù)程序167。 系統(tǒng)部分文件被篡改，或發(fā)現(xiàn)有新的文件167。 系統(tǒng)安全日志中有非正常登陸情況167。 網(wǎng)站日志中有非授權(quán)地址訪問管理頁面記錄北京數(shù)字證書認(rèn)證中心 2023年 4月 26數(shù)據(jù)分析167。 通過異常文件的創(chuàng)建和修改時(shí)間，一般可以判斷攻擊者對(duì)網(wǎng)站進(jìn)行入侵的時(shí)間段；167。 對(duì)異常服務(wù)或進(jìn)程的追蹤，可以查找惡意文件，確認(rèn)攻擊后的后門，以及攻擊時(shí)間；167。 網(wǎng)站目錄下的異常文件，對(duì)判斷攻擊手段具有參考意義；167。 網(wǎng)站訪問日志可以對(duì)攻擊手段、時(shí)間和攻擊源地址的追蹤提供有力的證據(jù)。167。 系統(tǒng)安全日志中的登錄信息同樣可以用于判斷攻擊者來源。北京數(shù)字證書認(rèn)證中心 2023年 4月 27第四節(jié)：收尾及報(bào)告撰寫北京數(shù)字證書認(rèn)證中心 2023年 4月 28收尾工作167。 拷貝系統(tǒng)日志、網(wǎng)站訪問日志、異常文件以及截圖文件；167。 在得到客戶許可的情況下，刪除惡意程序、服務(wù)；167。 如有必要，對(duì)確認(rèn)已刪除非法文件的網(wǎng)站程序文件和數(shù)據(jù)庫進(jìn)行備份；167。 恢復(fù)網(wǎng)站業(yè)務(wù)正常運(yùn)行；167。 鎖定網(wǎng)站服務(wù)器。北京數(shù)字證書認(rèn)證中心 2023年 4月 29報(bào)告的撰寫167。 嚴(yán)格按照 《 BJCA安全服務(wù)記錄單 》 的模板進(jìn)行應(yīng)急響應(yīng)報(bào)告的撰寫；167。 報(bào)告中需客觀描述客戶的問題以及對(duì)我方的需求；167。 描述分析過程，確保結(jié)論有據(jù)可查，配以截圖等形式來展示；167。 提出有效的安全建議；167。 將報(bào)告提交給項(xiàng)目經(jīng)理，項(xiàng)目經(jīng)理有義務(wù)對(duì)報(bào)告進(jìn)行審核，避免泄密或錯(cuò)別字等現(xiàn)象出現(xiàn)。北京數(shù)字證書認(rèn)證中心 2023年 4月 30第五節(jié)：典型案例介紹北京數(shù)字證書認(rèn)證中心 2023年 4月 31案例一：北京市 XX局 網(wǎng)站服務(wù)器被控制167。 問題：1. 北京市 XX局工作人員被報(bào)告其服務(wù)器在對(duì)網(wǎng)絡(luò)中的其他主機(jī)進(jìn)行 ARP攻擊。登錄到該服務(wù)器上，發(fā)現(xiàn)一個(gè)新的管理員用戶，懷疑該服務(wù)器已經(jīng)被惡意攻擊者所控制。2. 客戶要求我公司工程師查找服務(wù)器出現(xiàn)問題的原因，并找出黑客是如何攻擊、并獲取該服務(wù)器權(quán)限的，從而避免以后出現(xiàn)同樣的問題。北京數(shù)字證書認(rèn)證中心 2023年 4月 32分析過程1. 查看服務(wù)器進(jìn)程信息，有許多 xiao$的進(jìn)程存在；2. 檢查系統(tǒng)用戶，發(fā)現(xiàn)異常賬號(hào) xiao$北京數(shù)字證書認(rèn)證中心 2023年 4月 33分析過程（續(xù)）3. 查看服務(wù)器文件修改情況，發(fā)現(xiàn)許多黑客工具北京數(shù)字證書認(rèn)證中心 2023年 4月 34分析過程 （續(xù)）4. 查看中間件配置文件5. 檢查中間件的upload文件北京數(shù)字證書認(rèn)證中心 2023年 4月 35分析過程 （續(xù)）6. 分析 WebLogic日志，發(fā)現(xiàn) 來自湖北省孝感市電信用戶 IP： WebLogic控制臺(tái)，并創(chuàng)建新的項(xiàng)目北京數(shù)字證書認(rèn)證中心 2023年 4月 36結(jié)論167。 惡意攻擊者（源 IP地址為： ）利用 WebLogic控制臺(tái)默認(rèn)管理員用戶名和密碼，增加了新的項(xiàng)目，生成了WebShell；167。 通過 WebShell添加了新的管理員賬號(hào) ， 進(jìn)而獲取服務(wù)器的控制權(quán)限 ；167。 惡意攻擊者在登陸操作系統(tǒng)后，對(duì)服務(wù)器所在局域網(wǎng)進(jìn)行了嗅探和 ARP攻擊，以及 網(wǎng)絡(luò) 掃描攻擊。北京數(shù)字證書認(rèn)證中心 160
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1