首页
学习
活动
专区
工具
TVP
发布
您找到你想要的搜索结果了吗?
是的
没有找到

Windows应急响应

web入侵:Webshell,网页挂马,主页篡改系统入侵:病毒木马,远控后门,勒索软件网络攻击:ARP欺骗,DDOS攻击,DNS劫持针对常见的攻击事件,结合工作中应急响应事件分析和解决的方法,总结了一些...Window服务器入侵排查的思路。...但是,在一次被入侵成功的安全事件,我们肯定需要一系列分析溯源,尽可能把整个事件还原,还需要出个应急响应报告的。...入侵排查思路 检查系统账号安全 检查异常端口、进程 检查启动项、计划任务、服务 检查系统相关信息 杀软查杀 日志分析 处置流程: 准备阶段:获取整个事件的信息(比如发生时间,出现啥异常等),准备应急响应相关工具...可进行断网,防火墙策略隔离,关键数据备份,数据恢复 检测阶段:技术分析 取证阶段:确定攻击事件,确定攻击时间,确定攻击过程,确认攻击对象 处置阶段:提出安全问题,提出解决方案,业务恢复 总结阶段:完整应急响应事件报告编写

1.2K21

聊聊应急响应

“俗话说:好记性不如烂笔头,最近做了几个应急响应就来总结下。”     ...应急响应分为四个阶段:前期沟通,事件处理,事件分析,报告交付,前期沟通主要是和客户交流事件情况,了解是什么安全事件,客户是否做了处理,如果做了处理,做了那些处理。...服务器恢复正常后,进行事件分析,通过排查日志还原攻击者的入侵轨迹,最后一步就是整理报告。 沟通贯穿整个应急响应流程,也是最重要的,切记不要一上来就查,了解事件原因才会事半功倍。...0x01 "止血"     应急响应事件分为五大类,网络攻击事件,恶意程序事件,web恶意代码,信息破坏事件和其他事件,每个事件的具体描述如下 image.png (图片来源:https://help.aliyun.com...,我觉得更重要的是攻击者的攻击思路,他在这个系统里做了什么,他为什么要这么做,他这么做得到了什么,换作是你,你发现了这个漏洞,你会怎么做,向高手学习,才能成长更快,总而言之,应急响应,任重道远。

85900

Linux应急响应笔记

背景 前一段时间我处理了一次应急响应,我还输出了一篇文章 Linux应急响应笔记。...这两天又处理了一次病毒入侵,在前一次的基础上,这次应急做了一些自动化脚本,应急响应效率有了一定程度的提升,故另做一份笔记。...PS:本文重在分享应急响应经验,文中保留了恶意网址,但是删除了恶意脚本及程序的下载路径。本文仅用于技术讨论与分析,严禁用于任何非法用途,违者后果自负。...应急操作笔记 查看我上一次 Linux应急响应笔记,我发现罗列这么多命令,很多时候眼花缭乱,操作起来也不方便,不如写个shell脚本自动化收集信息。...tar -zcvf GatherInfo.tar.gz GatherInfo 信息收集结果分析 查看自动化收集的信息GatherInfo下的所有文件内容,根据下面的Checklist表项进行挨个梳理排查 应急响应检查表

2.4K51

Linux应急响应笔记

背景 客户的监控系统发现有异常行为,我临时顶替应急的同事处理一下。...应急响应流程 言归正传,应急响应的标准流程应该如何?...Lessons learned总结反思事件,一方面从源头上减小安全事件的发现,另一方面提升应急响应的效率。 上面的应急响应还是非常片面的,我搜罗了一系列网友分享的应急响应经验,整理成章方便以后查阅。...我把应急响应流程分为三个部分,分别是 【1】入侵现场,【2】攻击维持,【3】入侵原因,下面我将从这三个方面展开 入侵现场 所谓入侵现场,是指服务器被怀疑中毒的现场环境,一般来说,服务器被怀疑中毒都有异常现象...系统加固 修改各个对我开放的服务密码 限制对外开放的服务,如果不方便操作,则通过iptables限制可访问的主机 升级系统组件或者服务使用到的中间件

82530

应急能力提升4】实战应急响应经验

''' 01 — 靶场环境分配 靶场搭建在VM虚机中,在红队完成攻击模拟后制作镜像快照,然后导出分发给每一个应急响应小组。...02 — 应急响应时间 每个专题分析一周,各小组一般都是在下班后及利用周末时间进行分析。整个应急过程,加上报告编写及汇报材料准备,平均每个专题花费十天。...03 — 应急响应流程 在真实场景中,应急响应的情况多种多样,比如遇到勒索病毒、挖矿程序、网页篡改、DDOS攻击、CC攻击等,对应的响应流程也会不同。...这种场景一般是乙方安全公司做应急响应服务时的常规操作,降低了应急难度,提升效率。...看了各组应急响应报告中的修复建议,思路比较固定,基本都分为技术和管理方面。

1.2K20

说说Windows安全应急响应

在互联网高速发展的时代,我们应该如何保护个人信息不被窃取、不被不法分子当作利益的筹码,当我们遇到入侵事件的时候,我们应该怎么办,第一步怎么办,怎么推进排查过程、是否有应急预案等,这都是我们需要了解的。...说了这么多下面小白浅谈一下应急响应,我们看一下windows应急处理。...Windows安全应急处置 攻击者入侵一个网站必然会对企业的业务系统造成不同程度的损害,即使入侵不成功,也会使业务系统访问缓慢,即使在网络良好的情况下。...服务 我们以MSF权限维持中的Metsvc 模块,只要攻击者使用这个模块的后门,在服务中就会自动生成meterpreter这个服务,类型为自动启动。...只要遇见这样的服务,我们就可以断定服务器已经被别人盯上了,而且是已经留了后门。 ?

2K20

应急响应之入侵排查

一、前言 常见的应急响应事件分类: Web入侵:网页挂马、主页篡改、Webshell 系统入侵:病毒木马、勒索软件、远控后门 网络攻击:DDOS攻击、DNS劫持、ARP欺骗 二、Windows入侵排查...检查系统账号安全 查看服务器是否有弱口令,远程管理端口3389,22等端口是否对公网开放 检查方法:问服务器管理员,简单直接要么简单扫描测试一下也可以 ?...查看服务器是否存在可疑账号、新增账号 Win+R->lusrmgr.msc ? 查看服务器是否存在隐藏账号、克隆账号 使用D盾或者其他小工具都可以查看隐藏账号 ? ?...检查启动项、计划任务、服务 检查服务器是否有异常的启动项 火绒等安全软件查看 Win+R->regedit,打开注册表,查看开机启动项是否正常,特别注意一下三个注册表项 HKEY_CURRENT_USER...服务自启动 Win+R->services.msc 检查系统相关信息 查看系统版本以及补丁信息 Win+R->cmd->systeminfo 查看可以目录及文件 查看用户目录,新建账号会生成一个用户目录

84820

Linux 守护进程|应急响应

最近被安排做一些应急响应的工作,所以学习了一下Linux进程相关的知识,越学越多,那就记下来吧!...在Linux中: 打开terminal,也就是终端程序,之后可以获得一个shell 通过ssh连接到linux的ssh-server 服务器,也可以获得一个shell 通常我们都是通过以上两种方式来获得一个...大家都知道,此时我们启动了一个程序 ping ,并且创建了一个进程,我们再开一个终端ssh连接这个服务器看一下 ?...工作目录为/(根),主要是为了防止占用磁盘导致无法卸载磁盘 守护进程在后台默默提供着服务,但是不接受任何终端的管控,没有标准输入、标准输出、标准错误,比较典型的有mysqld, sshd等,当然我们也是可以创建一个守护进程的...我使用两个终端连接同一个服务器的ssh ?

2.7K30

【经典好文】Linux应急响应

接到个单子,网站被挂博彩 客户机器环境 服务器系统:CentOS 7 服务器管理面板:宝塔 CMS:织梦 CMS V57 SP2 排查过程 过程向客户了解情况后,登录了服务器进行检查,发现历史执行过的命令有些异常...为首次使用网站后门上传其他shell的IP,由于客户的站点是仿站,模板为网上下载,怀疑存在模板后门的情况,综合日志分析确认为模板后门 处置与意见 网站中的木马文件已经删除,根据访问日志确认是模板后门造成的此次事件 服务器异常账户已经删除...,考虑到该异常账户多次成功登录到服务器,而且历史操作中有切换到root用户痕迹,怀疑服务器密码已经泄漏,已建议客户修改 数据库检查中发现http://www.xxx.com存在一个疑似后门的账户,用户名

55810

应急响应案例:木马清理

一、案例背景 某用户页面打开缓慢,监控发现服务器CPU负载高。 [服务器负载] ---- 二、问题说明 登录服务器核实为木马导致CPU过高。...2)、没有配置安全组 [服务器安全组] 简单分析,由于没有配置安全组,导致出现木马入侵。 ---- 四、解决办法 1、准备工作 1)、对服务器进行快照备份。...[pwnriglhttps] 经核实,该服务就是 挖矿 木马的监控脚本。....51240.com/ 2、删除服务器上设置的不需要的用户 3、对于不需要登录的用户,请将用户的权限设置为禁止登录 4、修改远程登录服务的默认端口号以及禁止超级管理员用户登陆 Windows远程端口修改参考文档...fr=aladdin busybox.rar 2、微步在线 “微步在线” ,定位以安全威胁情报 (Threat Intelligence) 服务为中心的安全公司。

2.3K181
领券