信息安全應急響應系列之網站入侵分析(編輯修改稿)
2025-03-08 01:51 本頁面
【文章內容簡介】 straceapache的進程會發(fā)現有很多 open操作， apache需要遍歷 web目錄下所有的目錄查找 .htaccess文件，當設置為 none時 open操作明顯減少，可以結合壓力測試看到效果。北京數字證書認證中心 2023年 4月 25數據分析針對收集到的賬戶信息、文件修改情況、系統(tǒng)日志、網站日志等進行綜合分析和歸納，確認是否存在以下情況：167。 系統(tǒng)含有非法賬號167。 系統(tǒng)中含有異常服務程序167。 系統(tǒng)部分文件被篡改，或發(fā)現有新的文件167。 系統(tǒng)安全日志中有非正常登陸情況167。 網站日志中有非授權地址訪問管理頁面記錄北京數字證書認證中心 2023年 4月 26數據分析167。 通過異常文件的創(chuàng)建和修改時間，一般可以判斷攻擊者對網站進行入侵的時間段；167。 對異常服務或進程的追蹤，可以查找惡意文件，確認攻擊后的后門，以及攻擊時間；167。 網站目錄下的異常文件，對判斷攻擊手段具有參考意義；167。 網站訪問日志可以對攻擊手段、時間和攻擊源地址的追蹤提供有力的證據。167。 系統(tǒng)安全日志中的登錄信息同樣可以用于判斷攻擊者來源。北京數字證書認證中心 2023年 4月 27第四節(jié)：收尾及報告撰寫北京數字證書認證中心 2023年 4月 28收尾工作167。 拷貝系統(tǒng)日志、網站訪問日志、異常文件以及截圖文件；167。 在得到客戶許可的情況下，刪除惡意程序、服務；167。 如有必要，對確認已刪除非法文件的網站程序文件和數據庫進行備份；167。 恢復網站業(yè)務正常運行；167。 鎖定網站服務器。北京數字證書認證中心 2023年 4月 29報告的撰寫167。 嚴格按照 《 BJCA安全服務記錄單 》 的模板進行應急響應報告的撰寫；167。 報告中需客觀描述客戶的問題以及對我方的需求；167。 描述分析過程，確保結論有據可查，配以截圖等形式來展示；167。 提出有效的安全建議；167。 將報告提交給項目經理，項目經理有義務對報告進行審核，避免泄密或錯別字等現象出現。北京數字證書認證中心 2023年 4月 30第五節(jié)：典型案例介紹北京數字證書認證中心 2023年 4月 31案例一：北京市 XX局 網站服務器被控制167。 問題：1. 北京市 XX局工作人員被報告其服務器在對網絡中的其他主機進行 ARP攻擊。登錄到該服務器上，發(fā)現一個新的管理員用戶，懷疑該服務器已經被惡意攻擊者所控制。2. 客戶要求我公司工程師查找服務器出現問題的原因，并找出黑客是如何攻擊、并獲取該服務器權限的，從而避免以后出現同樣的問題。北京數字證書認證中心 2023年 4月 32分析過程1. 查看服務器進程信息，有許多 xiao$的進程存在；2. 檢查系統(tǒng)用戶，發(fā)現異常賬號 xiao$北京數字證書認證中心 2023年 4月 33分析過程（續(xù)）3. 查看服務器文件修改情況，發(fā)現許多黑客工具北京數字證書認證中心 2023年 4月 34分析過程 （續(xù)）4. 查看中間件配置文件5. 檢查中間件的upload文件北京數字證書認證中心 2023年 4月 35分析過程 （續(xù)）6. 分析 WebLogic日志，發(fā)現 來自湖北省孝感市電信用戶 IP： WebLogic控制臺，并創(chuàng)建新的項目北京數字證書認證中心 2023年 4月 36結論167。 惡意攻擊者（源 IP地址為： ）利用 WebLogic控制臺默認管理員用戶名和密碼，增加了新的項目，生成了WebShell；167。 通過 WebShell添加了新的管理員賬號 ， 進而獲取服務器的控制權限 ；167。 惡意攻擊者在登陸操作系統(tǒng)后，對服務器所在局域網進行了嗅探和 ARP攻擊，以及 網絡 掃描攻擊。北京數字證書認證中心 160
教學課件相關推薦
鄂ICP備17016276號-1