此事件是去年应急处置时完成的报告,距今有半年时间了。一直存在电脑里,最近准备完善应急响应中遇到的各类安全事件,这篇文章作为这一系列的开端。
还记得 2016 年那个著名的 Linux 内核级漏洞 Dirty Cow(脏牛)吗?2016 年 10 月,研究人员发现 Linux 内核的内存子系统在处理写时拷贝(Copy-on-Write)时存
一、分析背景 近日,国际知名安全厂商趋势科技发布了名为《ZNIU: First Android Malware to Exploit Dirty COW Vulnerability》(ZNIU:第一种利用“脏牛”漏洞的安卓恶意软件)的分析报告。“脏牛”(Dirty COW)CVE-2016-5195漏洞是去年10月爆出的在Linux内核存在九年之久的提权漏洞,研究人员当时表示,攻击者可以利用该漏洞攻击Linux服务器,Linux随即发布补丁修复漏洞。 由于安卓操作系统基于早期的Linux内核,“脏牛”还可能
大家好,我是ABC_123。在几个月前,我反复研读国家计算机病毒应急处理中心的多篇报告及360安全公司发布的各种关于该事件的报道,再结合国外对于美国APT研究报告,花了半个多月的时间复盘了美国APT入侵中国西北工业大学的整个流程,详见《第58篇:美国安全局NSA入侵西北工业大学流程图梳理和分析(正式篇)》。随着对美国APT组织和武器库的进一步了解,ABC_123最近又有新的领悟和研究成果,本着“未知攻、焉知防”的道理,今天给大家讲一讲美国APT在入侵西工大过程中,所用到的5款远控后门。
近期,网络安全研究人员详细介绍了一项可能针对东南亚实体的新型攻击活动,该活动可能使用以前无法识别的Linux恶意软件,除了收集凭据和充当代理服务器外,还可以远程访问其运营商。
IT行业发展到现在,安全问题已经变得至关重要,从“棱镜门”事件中,折射出了很多安全问题,信息安全问题已变得刻不容缓,而做为运维人员,就必须了解一些安全运维准则,同时,要保护自己所负责的业务,首先要站在攻击者的角度思考问题,修补任何潜在的威胁和漏洞。 一次Linux被入侵后的分析 下面通过一个案例介绍下当一个服务器被rootkit入侵后的处理思路和处理过程,rootkit攻击是Linux系统下最常见的攻击手段和攻击方式。 1、受攻击现象 这是一台客户的门户网站服务器,托管在电信机房,客户接到电信的通知:由于
IT行业发展到现在,安全问题已经变得至关重要,从最近的“棱镜门”事件中,折射出了很多安全问题,信息安全问题已变得刻不容缓,而做为运维人员,就必须了解一些安全运维准则,同时,要保护自己所负责的业务,首先要站在攻击者的角度思考问题,修补任何潜在的威胁和漏洞。
IT行业发展到现在,安全问题已经变得至关重要,从最近的“棱镜门”事件中,折射出了很多安全问题,信息安全问题已变得刻不容缓,而做为运维人员,就必须了解一些安全运维准则,同时,要保护自己所负责的业务,首先要站在攻击者的角度思考问题,修补任何潜在的威胁和漏洞。 一次Linux被入侵后的分析 下面通过一个案例介绍下当一个服务器被rootkit入侵后的处理思路和处理过程,rootkit攻击是Linux系统下最常见的攻击手段和攻击方式。 1、受攻击现象 这是一台客户的门户网站服务器,托管在电信机房,客户接到电信的通
安全是IT行业一个老生常谈的话题了,从之前的“棱镜门”事件中折射出了很多安全问题,处理好信息安全问题已变得刻不容缓。
本文由马哥教育Linux云计算面授班24期学员推荐,转载自互联网,作者为高俊峰,Linux资深技术专家,畅销书籍《循序渐进Linux》、《高性能Linux服务器构建实战》作者,内容略经小编改编和加工,观点跟作者无关,最后感谢作者的辛苦贡献与付出。 安全是IT行业一个老生常谈的话题了,从之前的“棱镜门”事件中折射出了很多安全问题,处理好信息安全问题已变得刻不容缓。 因此做为运维人员,就必须了解一些安全运维准则,同时,要保护自己所负责的业务,首先要站在攻击者的角度思考问题,修补任何潜在的威胁和漏洞,主要分五
安全是IT行业一个老生常谈的话题了,从之前的“棱镜门”事件中折射出了很多安全问题,处理好信息安全问题已变得刻不容缓。因此做为运维人员,就必须了解一些安全运维准则,同时,要保护自己所负责的业务,首先要站在攻击者的角度思考问题,修补任何潜在的威胁和漏洞。
近日,某一客户网站服务器被入侵,导致服务器被植入木马病毒,重做系统也于事无补,目前客户网站处于瘫痪状态,损失较大,通过朋友介绍找到我们SINE安全公司,我们立即成立安全应急处理小组,针对客户服务器被攻击,被黑的情况进行全面的安全检测与防护部署。记录一下我们整个的安全处理过程,教大家该如何防止服务器被攻击,如何解决服务器被入侵的问题。
今年11月15日左右,美国多家媒体爆料上海广升的固件OTA方案存在后门,其固件会每隔72小时就把你所有的短信内容、联系人等都发送到中国服务器,这种软件监视用户去过哪里,他们与什么人聊过天,他们在短信中写了什么等。这次爆料也使得广升陷入“间谍门“事件,但是事情还没结束。 11月17日左右,AnubisNetworks的CTO(João Gouveia)和BitSight的安全研究人员(Dan Dahlberg)发现多个品牌的Android手机固件OTA升级机制存在安全问题,包括在美国百思买出售的BLU Stu
植入式攻击入侵检测解决方案 ---- 目录 1. 什么是植入式攻击? 2. 为什么骇客会在你的系统里面植入木马? 3. 什么时候被挂马? 4. 在那里挂马的? 5. 谁会在你的系统里挂马? 6. 怎样监控植入式攻击 6.1. 程序与数据分离 6.2. 监控文件变化 6.3. 安装日志收集程序 7. 延伸阅读 1. 什么是植入式攻击? 什么是植入式攻击,通俗的说就是挂马,通过各种手段将木马上传到你的系统,修改原有程序,或者伪装程序是你很难发现,常住系统等等。 2. 为什么骇客会在你的系统里面植入木马? 通常挂
HVV行动已经进行到了11天,处置的工作明显增多,随着各种情况发生,所以这两天分别整理一些关于Linux和Windows的排查手册。
1、Lacework Labs在Avast公司的同事最近初步的鉴定基础之上,标识出与 HCRootkit / Sutersu Linux Rootkit活动相关的新样本和基础设施。
相信大家在很多科幻电影中都看到过黑客的身影,网络上将黑客定义为“热心于计算机技术,水平高超的电脑专家,尤其是程序设计人员”,在我们的印象中,黑客既可以维护网络安全,保障网络的正常次序,但是也有的黑客会入侵别人的电脑,破坏他人的文件等。对于普通的用户来说,了解基本的网络安全知识对于电脑安全来讲具有非常重要的意义。今天,让我们来看一看这些高超的黑客们平时都会使用哪些行业术语呢?
近日,卡巴斯基实验室最近发布的一份报告显示,2017年第二季度,泄露的一批新漏洞利用方案促成了数百万次对流行 APP 的新攻击。报告指出,Shadow Brokers 泄露的工具和据称 NSA 有关的漏洞在本季度造成严重后果。其中 EternalBlue、EternalRomance 之类的漏洞引起了大量的恶意攻击。 说起泄露,除了斯洛登棱镜门、Shadow Brokers 泄露 NSA 数据这种大型泄露之外,维基解密泄露的一系列 CIA 文档也可以算是史上较大规模政府机构信息泄露事件了。 📷
针对蓝队的一些Linux应急响应的一些常规的命令以及一些思路总结一下分享给大家,内容稍长,可以收藏以备不时之需。
这是作者新开的一个专栏,主要翻译国外知名的安全厂商APT报告文章,了解它们的安全技术,学习它们溯源APT组织的方法,同时锻炼作者的英语能力,希望对您有所帮助。第一篇文章主要分享Linux系统下针对性的APT攻击及技术要点,并结合作者经验及相关资料简单总结溯源部分APT组织的方法。
春节将至,让安全伴你行。网络安全,从我做起,没有绝对的安全,只有尽可能减少攻击面,提供系统防护能。 背景 操作系统:Ubuntu12.04_x64 运行业务:公司业务系统,爬虫程序,数据队列。 服务器
Linux库文件劫持这种案例在今年的9月份遇到过相应的案例,当时的情况是有台服务器不断向个可疑IP发包,尝试建立连接,后续使用杀软杀出木马,重启后该服务器还是不断的发包,使用netstat、lsof等常用系统命令无法查看到相应的PID。这样的话就无法定位到相应的进程,协助处理,怀疑中了rootkit,使用rkhunter进行查杀,未杀出rootkit。以为是内核的问题导致无法查看到相应进程的PID,就没有深入分析。
作者 李振良 | 来源 51cto 糖豆贴心提醒,本文阅读时间8分钟,文末有秘密! 事件背景 操作系统:Ubuntu12.04_x64 运行业务:公司业务系统,爬虫程序,数据队列。 服务器托管在外地机
疫情还没有结束,放假只能猫家里继续分析和研究最新的攻击技术和样本了,正好前段时间群里有人说服务器被黑,然后扔了个样本在群里,今天咱就拿这个样本开刀,给大家研究一下这个样本究竟是个啥,顺便也给大家分享一些关于Linux Rootkit恶意软件方面的相关知识点吧。
作为程序猿与网络攻城狮,我们几乎每天都要处理各种脚本,PoC代码,漏洞利用EXP等,但是你们可知里面代码的详细。再没有认真审核代码的情况下去执行的话,有可能一不小心就成了别人的肉鸡.
一、背景 云鼎实验室近期捕获到TeamTNT黑客团伙新的容器攻击活动。挖矿病毒通过扫描docker remote api未授权访问漏洞进行传播。相比之前TeamTNT黑客团伙使用的挖矿木马,新变种对原挖矿木马进行了升级,在进行感染时使用了新的策略。 入侵后会先清理其他挖矿病毒,并使用新的方法隐藏进程,入侵完毕后会清理痕迹,覆盖系统日志以逃避排查,为增加挖矿木马植入的成功率还有备用挖矿程序,增加木马的稳定性,利用nohup命令防止挖矿进程被挂断,并且使用了LKM rootkit技术隐藏进程。 样本属于最新版
当然应对Linux入侵时我们也可以使用一些自动化的安全工具协助排查溯源 并进行安全加固
每天都有人问我,黑客是什么,黑客有什么术语,或者遇到黑客,我应该怎么做,我在这里也给感兴趣的朋友普及一点小知识,黑客有很多的术语,下面我会给大家介绍黑客经常用到的术语,同时也给感兴趣的朋友普及一些有关黑客的知识,以及学会保护自已的防火墙。 木马:就是那些表面上伪装成了正常的程序,但是当这些被程序运行时,就会获取系统的整个控制权限。有很多黑客就是热中与使用木马程序来控制别人的电脑,比如灰鸽子,黑洞,PcShare等等。 网页木马:表面上伪装成普通的网页文件或是将而已的代码直接插入到正常的网页文件中,当有人访问
一、背景 腾讯安全云鼎实验室持续监控云原生在野攻击威胁态势,继DockerHub发现百万下载量黑产镜像(详见文章DockerHub再现百万下载量黑产镜像,小心你的容器被挖矿)之后,近期实验室最新捕获到TeamTNT黑客团队新型在野容器攻击活动,相比之前TeamTNT挖矿木马,此次新型攻击手法对原挖矿木马进行了升级,并利用容器环境进行感染传播。 通过对TeamTNT新型容器攻击样本详细分析,我们发现挖矿病毒是通过扫描docker remote api未授权访问漏洞进行传播。相比之前TeamTNT黑客团队出的
近期,绿盟威胁情报中心(NTI)在一次应急响应中,发现一起使用模块化恶意工具集“NuggetPhantom(掘金幽灵)”的安全事件。据我们观测,本次安全事件背后的组织最早出现于2016年底,其曾在2016年底的“天翼校园客户端蓝屏事件”以及2017年底的“天翼校园客户端挖矿程序事件”中有所行动。
0 前言 应急响应这一专题,本来并没有打算写。正如公众号的说明所言,比较想分享安全测试、漏洞赏析、渗透技巧、企业安全,其中特别是企业安全建设,这也是当初离职的初衷--到甲方看看安全怎么做?从另一个角度来全新的认识安全,同时也将在乙方的积累尽情发挥,做更多新鲜的、有挑战性的、安全落地的事情。 记得刚到公司不久,便遇到安全事件发生。因为之前没有人处理过、没人会太在意,所以当我看到时、非常吃惊大家的不在意,内网几台服务器被远程植入挖矿脚本,情况别说有多么危急了。 1 安全事件描述 1
rkhunter是Linux系统平台下的一款开源入侵检测工具,具有非常全面的扫描范围,除了能够检测各种已知的rootkit特征码以外,还支持端口扫描、常用程序文件的变动情况检查。
免责声明:本文介绍的安全知识方法以及代码仅用于渗透测试及安全教学使用,禁止任何非法用途,后果自负 前言:作者最近在学习有关linux rootkit的原理与防范,在搜索资料中发现,在freebuf上,对rootkit进行介绍的文章并不是很多。在此我斗胆献丑,总结了下我最近的学习收获,打算发表一系列关于linux rootkit的文章在freebuf上,希望能够帮助到大家。 对于这个系列文章,我的规划如下:这一系列文章的重点集中在介绍linux rootkit中最讨论最多也是最受欢迎的一种:loadable
2、为了更好的对比效果,大部分测试payload均使用msf的windows/meterperter/reverse_tcp模块生成。
Vegile是一款针对Linux系统设计和开发的强大后渗透测试工具,该工具所提供的后渗透利用技术可以确保广大研究人员保持一定程度的访问权,并允许对目标可信网络执行更加深入的渗透测试与安全分析。
https://www.tecmint.com/best-antivirus-programs-for-linux/
◆ 概述 病毒和恶意软件越来越成为计算机系统的最大的威胁,近年来,随着linux系统在云计算和企业服务中的应用越来越广泛,对针linux系统的病毒和恶意软件也越来越多,因此,如何保护你的计算机免受病毒的威胁,成为一个重要的话题。针对计算机的防护,杀毒软件是一个重要手段,下面我们列出一些你可以获得的最好的免费防病毒软件。 ◆ 适用于 Linux 的最佳防病毒软件 1. ClamAV ClamAV 是一款开源防病毒软件,可检测病毒、恶意软件、特洛伊木马和其他威胁,它也免费提供,这使其成为 Linux 上最好的防
据The Hacker News网站消息,威胁情报和事件响应公司 Mandiant发现,一个未知的黑客组织部署了以Oracle Solaris 系统为目标的新型Rootkit,其目的是破坏ATM网络,并使用虚假的银行卡在不同的银行进行未经授权的取款。
Lacework Labs 最近发现了一个新的在野 Rootkit。除了释放的内核模块和用户态样本文件外,还针对 Dropper 进行了深入了解。
从1988年第一个网络蠕虫病毒诞生以来,「互联网危机四伏」的观念就已经深入人心。如果只是这样,不给电脑联网、禁止使用任何可移动储存介质,数据就安全了吗?但专门研究黑客攻击技术的研究者告诉我们,这个想法太天真了。他们用实验证明,即使不联网,机箱里的风扇也能泄露你的机密信息。
在公司实习也有一个月了,学到不少东西,不知不觉就要大四了,回首漫漫安全路,不禁感慨万千:我入安全的时间比较晚,大一大二跟着老师参加 Android 移动应用开发的比赛,大三开始学习安全,和大部分的人一样,始于 web 安全,当时是以视频为主,比如大家耳熟能详的黑麒麟(已经凉了)、小迪渗透等等,后来不知有一股神秘的力量莫名其妙的让我迷上了远控,之后又看了本《0day》,从此开始了底层二进制之旅,如果问我为什么一个搞 Android 开发的在后来会选择 PC 端的病毒分析,emmmm,大概这就是缘分吧……到现在我依然觉得病毒和外挂是计算机领域最吊的东西,C 语言是世界上最牛逼的语言。说了那么多就以对未来的期望作为结尾吧,但愿在未来依然可以感受到接受新知识时的心潮澎湃、受到挫折时的迷惘无助、柳暗花明后的“自怨自艾”,或许这就是所谓的初心吧!
目前,高级的rootkit技术可以帮助你在渗透中拿到一个shell后进行持久性控制。此外,还有供应商故意提供了一些植入后门,但那就是截然不同的故事了。尽管各式花样翻新的技术与代码层出不穷,可你还记得曾经用过的那些后门吗? 本文介绍了5种远程控制工具(Remote Administration Tools)RAT ,又称“后门”,这完全是根据作者个人喜好挑选的。这是我进行合法渗透测试时所使用的工具,它们对于验证渗透的持久性与测量防御手段的有效性提供了重要的帮助。 1.mod_rootme——Apache模块后
一、 Linux 网络安全模型 1. 防火墙: 工作在主机或者网络边缘,对进出报文使用实现定义的规则进行检测,并且由匹配的规则进行处理的一组硬件或者软件。也可能两者结合。 1) 通常使用的防火墙设备 硬件防火墙:专门的一台防火墙硬件设备,工作在整个网络入口处。 软件防火墙:工作在主机中TCP/IP协议站上面的软件(工作在内核中)。 2) 防火墙工作位置
internet Storm Center安全专家近日发表一篇报告,报告中称在linux系统中发现基于ssh服务的rootkit,使用RPM安装的系统会受到影响。 报告中指出目前rootkit支持三个命令:Xver、XCAT、Xbnd,第一个命令打印rootkit版本,xCAT打印数据在会话中,并传回给攻击者,Xbnd命令设置一个监听器。 该rootkit会替换服务器中的libkeyutils库,主要功能包括收集用户凭据,除账号密码之外,还可以收集RSA和DSA的私有密钥。 通过以下命令可以查看服务器是
连接到服务器,首先通过ps auxef 和 netstat -tulnp两个命令查看异常进程信息,果然发现了两个异常进程 xmp 和 [atd]
关于TripleCross TripleCross是一款功能强大的Linux eBPF安全研究工具,该工具提供了后门、C2、代码库注入、执行劫持、持久化和隐蔽执行等功能。 功能介绍 1、使用一个代码库注入模块通过往进程的虚拟内存中写入命令来执行恶意代码; 2、提供了一个行劫持模块,用于修改传递给内核的数据以执行恶意程序; 3、提供了一个本地权限升级模块,允许使用root权限运行恶意程序; 4、提供了具有C2功能的后门,可以监控网络并执行从远程rootkit客户端发送的命令。它包含多个激活触发器,
在计算机的发展史上,恶意软件和病毒攻击层出不穷。Linux的安全问题始终未能在大众范围里引起注意。但对于专业人士而言,Linux系统上的攻击虽然隐藏在水面之下,威胁却与日俱增。
作为拥有着10年经验的渗透安全测试工程师,一路也是从小白历经磨难成长起来的我,给现在的新手小白一些建议。渗透安全的范围其实要学习的东西很广泛的,比如系统安全、移动安全、无线安全、web安全等很多方向。
领取专属 10元无门槛券
手把手带您无忧上云