蓝队技能-应急响应篇&Rookit后门&进程提取&网络发现&隐藏技术&Linux杀毒&OpenArk

知识点:

1、应急响应-Windows-Rootkit-分析&清除

2、应急响应-Linux-Rootkit-分析&查毒&清除

内存马和rookit都是属于权限维持技术,

内存马一般是用来控制网站,rookit一般是用来控制服务器(隐藏常规C2后门)

综合分析工具箱
https://github.com/BlackINT3/OpenArk

一、演示案例:蓝队技能-Rookit技术-Win系统&进程隐藏&网络隐藏

演示项目:https://bytecode77.com/r77-rootkit

进程隐藏,网络隐藏,文件隐藏,注册表,启动项等

1、进程隐藏



2、网络链接隐藏


3、文件隐藏



应急思路-如果识别到什么项目rookit可以下载工具还原



应急思路-识别不到的情况下采用发现隐藏进程网络等项目

火绒剑(可检测到隐藏进程)

unhide (可检测到隐藏进程,网络隐藏)

https://www.unhide-forensics.info/

隐藏进程

处置知道隐藏的进程PID号可以用命令结束掉

网络隐藏


如果用防火墙封禁本地的49170端口是没用的,因为后门还会换个端口继续链接,一般防火墙封禁远程的端口才有用。

二、演示案例:蓝队技能-Rookit技术-linux系统&进程隐藏&网络隐藏

演示项目:https://github.com/f0rb1dd3n/Reptile

进程隐藏,网络隐藏,文件隐藏,隐藏的引导持久性等

1、进程隐藏




2、网络隐藏


应急项目-unhide (可检测到隐藏进程,网络隐藏)

https://www.unhide-forensics.info/

安装使用:https://mp.weixin.qq.com/s/LnqArTrAytMKtitGvplNug

一个小巧的网络取证工具,能够发现那些借助rootkit、LKM及其它技术隐藏的进程和TCP/UDP端口。


应急项目-clamav(可检测到各类系统恶意后门文件等)

https://www.clamav.net/

开源的反病毒引擎,用于检测和删除各种恶意软件,包括病毒、木马、间谍软件等

安装使用:

https://mp.weixin.qq.com/s/QL44BbioDcYt6B17L-pTfQ

扫码全部内容:

clamscan /

只扫描/bin/目录:

clamscan /bin/

递归扫描home目录,将病毒文件删除,并且记录日志:

clamscan -r -i /home --remove -l /var/log/clamav.log

扫描指定目录,然后将感染文件移动到指定目录,并记录日志:

clamscan -r -i /home --move=/tmp/clamav -l /var/log/clamav.log

常需要扫描的重点目录:

clamscan -r -i /etc --max-dir-recursion=5 -l /var/log/clamav-etc.logclamscan -r -i /bin --max-dir-recursion=5 -l /var/log/clamav-bin.logclamscan -r -i /usr --max-dir-recursion=5 -l /var/log/clamav-usr.logclamscan -r -i /var --max-dir-recursion=5 -l /var/log/clamav-var.log

查看病毒文件:

cat /var/log/clamav-bin.log | grep "FOUND"

相关推荐
db_murphy8 分钟前
Oracle数据块8KB、OS默认认块管理4KB,是否需调整大小为一致?
linux
我命由我123451 小时前
Kotlin 数据容器 - List(List 概述、创建 List、List 核心特性、List 元素访问、List 遍历)
java·开发语言·jvm·windows·java-ee·kotlin·list
mCell3 小时前
从删库到跑路?这50个Linux命令能保你职业生涯
linux·windows·macos
杰克逊的日记3 小时前
GPU运维常见问题处理
linux·运维·gpu
dualven_in_csdn4 小时前
electron 使用记录
windows
誰能久伴不乏4 小时前
Linux系统调用概述与实现:深入浅出的解析
linux·运维·服务器
程序员学习随笔4 小时前
Linux进程深度解析(2):fork/exec写时拷贝性能优化与exit资源回收机制(进程创建和销毁)
linux·运维·服务器
mmoyula4 小时前
【RK3568 PWM 子系统(SG90)驱动开发详解】
android·linux·驱动开发
-SGlow-5 小时前
MySQL相关概念和易错知识点(2)(表结构的操作、数据类型、约束)
linux·运维·服务器·数据库·mysql
zz9602265 小时前
Windows Server存储池,虚拟磁盘在系统启动后不自动连接需要手动连接
windows