应急响应整理

目录

windows下

[1. 检查账号安全](#1. 检查账号安全)

利用注册表实现用户隐藏

粘滞键后门

[2 检查异常端口、进程](#2 检查异常端口、进程)

[3. 检查启动项、计划任务、服务](#3. 检查启动项、计划任务、服务)

[4. 日志分析-Windows](#4. 日志分析-Windows)

常见事件类型、登录类型

Linux下

[1. 账号安全](#1. 账号安全)

[2. 历史命令](#2. 历史命令)

[3. 检查异常端口](#3. 检查异常端口)

[4. 检查异常进程](#4. 检查异常进程)

[5. 检查开机启动项](#5. 检查开机启动项)

[6. 检查定时任务 80%](#6. 检查定时任务 80%)

[7. 检查系统日志](#7. 检查系统日志)

[8. 自动封堵IP](#8. 自动封堵IP)

---

windows下

1. 检查账号安全

检查账号主要是防备系统被留下了危险用户，具体的入侵思路如下： 1、查看服务器是否有弱口令；远程管理端口（3389）是否对公网开放，这里危害并不大，因为远程端口的破解很难。

• 检查方法：据实际情况咨询相关服务器管理员。

2、查看服务器是否存在可疑账号、新增账号。

• 检查方法：打开cmd 窗口，输入 lusrmgr.msc 命令，查看是否有新增/可疑的账号，如有管理员群组的（Administrators）里的新增账户，如有，请立即禁用或删除掉。

• 攻击：拿明文。使用mimiktz从lsass进程中拿。但是现在微软已经把lsass里面的明文数据拿走了。不过有些版本适配的情况下还是可以拿。

3、查看服务器是否存在隐藏账号、克隆账号。

• 检查方法： a、打开注册表 ，查看管理员对应键值。 b、使用D盾_web查杀工具，它集成了对克隆账号检测的功能。

• 创建隐藏账号 a、使用net user 创建一个尾巴带$的账号，然后使用net user 查看是看不到这个账号的。但是打开计算机管理，那里是可以看到的。

• 粘滞性后门 原本按五次shitf会弹出放大镜，把这个性质修改一下，把cmd重命名为放大镜（sethc），用来代替放大镜，然后按五次shitf时就会弹出cmd，在cmd里可以再添加用户，这样就可以避免后门用户本删掉而登录不了系统。但是就25年安全坏境来说，这种手法已经绝迹了。

下面简单复现一下两个后门，作为实际排查的切入点。

利用注册表实现用户隐藏

在windows中可以创建影子账户： 而且这个账户使用命令 net user查看是看不到的，这在早期Windows留后门中很有用。但是这个账户在计算机管理那里是可以看到的：

那么有没有什么方法，让这个后门用户在这两个地方都是隐形的呢？有，利用注册表可以实现。

原理 利用sid，把系统中的管理账户的sid复制给影子账户，然后把影子账户删掉，这样影子账户就相当于管理账户的影子。这样就可以使用它登录，而且在注册表它也是存在的。

操作

1. 修改权限 我们需要在SAM里面操作，而这个文件正常来说只有SYSTEM有完全控制权限，我们操作使用的是Administrators，没有这个权限，需要先把权限打开，操作见上图。

之后再次打开注册表，就可以看到了： 这里每一个Names对应一个Users。

1. 修改F文件 我们需要做的就是把administrators对应的Users的F文件复制给test$用户的F文件

2. 导出test$和它对应的Users

3. 删除test$用户

4. 双击导出的文件进行注册

然后远程登录测试就可以了。但是很可能成功不了。

粘滞键后门

原理 原本Windows按五下shift会跳出粘滞键。找到这个粘滞键的位置，用cmd来取代它。 这样即使留下的用户被删除了，也可以按五下shift呼出cmd然后添加用户。

实际上按五下shift呼出的是下面这个程序： 我们要做的就是把它名字改了，然后把cmd程序改为它的名字，这样在登录界面按五下shift就会呼出cmd，然后使用cmd添加账户。

操作

1. 权限的授予 要修改这里的文件名需要很高的权限，下面是授予步骤：以cmd为例 1、右键选择属性 2、属性里面选择安全： 3、 点击高级，再点击更改： 4、然后点击高级

5、点击立即查找，把administrators添加进去 7、再打开权限配置，会看到以下界面，按着步骤修改权限 然后退回的时候，有 应用 先点击应用，没有就点击 确定。

1. 修改文件

2. 测试

以上就是操作步骤，但是这个已经很难成功了。

2 检查异常端口、进程

1、检查端口连接情况，是否有远程连接、可疑连接。

• 检查方法： a、使用netstat -ano 命令查看目前的网络连接，定位可疑的 ESTABLISHED b、根据 netstat 命令定位出的 PID 编号，再通过 tasklist 命令进行进程定位 tasklist | findstr "PID"

2、进程 process monitor process explorer

• 检查方法： a、开始 -- 运行 -- 输入 msinfo32 命令，依次点击 "软件环境 -- 正在运行任务" 就可以查看到进程的详细信息，比如进程路径、进程ID、文件创建日期以及启动时间等。 b、打开D盾_web查杀工具，进程查看，关注没有签名信息的进程。 c、通过微软官方提供的 Process Explorer 等工具进行排查 。 d、查看可疑的进程及其子进程。可以通过观察以下内容： 没有签名验证信息的进程 没有描述信息的进程 进程的属主 进程的路径是否合法 CPU 或内存资源占用长时间过高的进程

3、小技巧： ​ a、查看端口对应的 PID：netstat -ano | findstr "port" ​ b、查看进程对应的 PID：任务管理器 -- 查看 -- 选择列 -- PID 或者 tasklist | findstr "PID" ​ c、查看进程对应的程序位置： ​ 1)任务管理器 -- 选择对应进程 -- 右键打开文件位置 ​ 2)运行输入 wmic，cmd 界面输入 process ​ d、tasklist /svc 进程 -- PID -- 服务 ​ e、查看Windows服务所对应的端口： ​ %systemroot%/system32/drivers/etc/services（一般 %systemroot% 就是 C:\Windows 路径）

3. 检查启动项、计划任务、服务

1、检查服务器是否有异常的启动项。

• 检查方法： a、登录服务器，单击【开始】>【所有程序】>【启动】，默认情况下此目录在是一个空目录，确认是否有非业务程序在该目录下。 b、单击开始菜单 >【运行】，输入 msconfig，查看是否存在命名异常的启动项目，是则取消勾选命名异常的启动项目，并到命令中显示的路径删除文件。 c、单击【开始】>【运行】，输入 regedit，打开注册表，查看开机启动项是否正常，特别注意如下三个注册表项：

   HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\run
   HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
   HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Runonce
   

检查右侧是否有启动异常的项目，如有请删除，并建议安装杀毒软件进行病毒查杀，清除残留病毒或木马。 d、利用安全软件查看启动项、开机时间管理等。 e、组策略，运行 gpedit.msc

2、检查计划任务

• 检查方法： a、单击【开始】>【设置】>【控制面板】>【任务计划】，查看计划任务属性，便可以发现木马文件的路径。 b、单击【开始】>【运行】；输入 cmd，然后输入 at，检查计算机与网络上的其它计算机之间的会话或计划任务，如有，则确认是否为正常连接。

3、服务自启动

• 检查方法：单击【开始】>【运行】，输入 services.msc，注意服务状态和启动类型，检查是否有异常服务。

4. 日志分析-Windows

日志一般来说很庞大，尤其是服务器的日志，所以这里就要借用工具Log Parser。 常用的查找语句举例： 1、查询登录成功的事件

登录成功的所有事件
 LogParser.exe -i:EVT --o:DATAGRID  "SELECT *  FROM c:\Security.evtx where EventID=4624"
 ​
 指定登录时间范围的事件：
 LogParser.exe -i:EVT --o:DATAGRID  "SELECT *  FROM c:\Security.evtx where TimeGenerated>'2018-06-19 23:32:11' and TimeGenerated<'2018-06-20 23:34:00' and EventID=4624"
 ​
 提取登录成功的用户名和IP：
 LogParser.exe -i:EVT  --o:DATAGRID  "SELECT EXTRACT_TOKEN(Message,13,' ') as EventType,TimeGenerated as LoginTime,EXTRACT_TOKEN(Strings,5,'|') as Username,EXTRACT_TOKEN(Message,38,' ') as Loginip FROM c:\Security.evtx where EventID=4624"

2、查询登录失败的事件

登录失败的所有事件：
 LogParser.exe -i:EVT --o:DATAGRID  "SELECT *  FROM c:\Security.evtx where EventID=4625"
 ​
 提取登录失败用户名进行聚合统计：
 LogParser.exe  -i:EVT "SELECT  EXTRACT_TOKEN(Message,13,' ')  as EventType,EXTRACT_TOKEN(Message,19,' ') as user,count(EXTRACT_TOKEN(Message,19,' ')) as Times,EXTRACT_TOKEN(Message,39,' ') as Loginip FROM c:\Security.evtx where EventID=4625 GROUP BY Message" 

这里的查询语句类似于SQL的查询语句，不需要特别记忆，可以利用大模型给出，但是需要注意类似EXTRACT_TOKEN(Message,38,' ')中的数字的含义，这个也可以利用大模型。 不过这里可能需要打开一个组策略，具体大模型就行。需不需要开取决于要查的是什么。

常见事件类型、登录类型

事件：

事件ID	说明
4624	登录成功
4625	登录失败
4634	注销成功
4647	用户启动的注销
4672	使用超级用户（如管理员）进行登录
4720	创建用户

登录：

登录类型	描述	说明
2	交互式登录（Interactive）	用户在本地进行登录。
3	网络（Network）	最常见的情况就是连接到共享文件夹或共享打印机时。
4	批处理（Batch）	通常表明某计划任务启动。
5	服务（Service）	每种服务都被配置在某个特定的用户账号下运行。
7	解锁（Unlock）	屏保解锁。
8	网络明文（NetworkCleartext）	登录的密码在网络上是通过明文传输的，如FTP。
9	新凭证（NewCredentials）	使用带/Netonly参数的RUNAS命令运行一个程序。
10	远程交互，（RemoteInteractive）	通过终端服务、远程桌面或远程协助访问计算机。
11	缓存交互（CachedInteractive）	以一个域用户登录而又没有域控制器可用

再筛选日志的时候结合以上信息能更快的锁定目标。

Linux下

1. 账号安全

基本使用：

 1、用户信息文件 /etc/passwd
 root:x:0:0:root:/root:/bin/bash
 account:password:UID:GID:GECOS:directory:shell
 用户名：密码：用户ID：组ID：用户说明：家目录：登陆之后的 shell
 注意：无密码只允许本机登陆，远程不允许登陆
 /bin/bash如果被用于登录，说明系统被入侵了。如果仅仅是nologin，那问题就很小
 ​
 2、影子文件 /etc/shadow
 root:$6$oGs1PqhL2p3ZetrE$X7o7bzoouHQVSEmSgsYN5UD4.kMHx6qgbTqwNVC5oOAouXvcjQSt.Ft7ql1WpkopY0UV9ajBwUt1DpYxTCVvI/:16809:0:99999:7:::
 用户名：加密密码：密码最后一次修改日期：两次密码的修改时间间隔：密码有效期：密码修改到期的警告天数：密码过期之后的宽限天数：账号失效时间：保留

小技巧：

who     查看当前登录用户（tty 本地登陆  pts 远程登录）
 w       查看系统信息，想知道某一时刻用户的行为
 uptime  查看登陆多久、多少用户，负载状态

入侵排查：

1、查询特权用户特权用户(uid 为0)
 [root@localhost ~]# awk -F: '$3==0{print $1}' /etc/passwd
 ​
 2、查询可以远程登录的帐号信息
 [root@localhost ~]# awk '/\$1|\$6/{print $1}' /etc/shadow
 ​
 3、除root帐号外，其他帐号是否存在sudo权限。如非管理需要，普通帐号应删除sudo权限
 [root@localhost ~]# more /etc/sudoers | grep -v "^#\|^$" | grep "ALL=(ALL)"
 ​
 4、禁用或删除多余及可疑的帐号
     usermod -L user    禁用帐号，帐号无法登录，/etc/shadow 第二栏为 ! 开头
   userdel user       删除 user 用户
   userdel -r user    将删除 user 用户，并且将 /home 目录下的 user 目录一并删除

2. 历史命令

基本使用： 通过 .bash_history 文件查看帐号执行过的系统命令

1、root 用户的历史命令
 histroy
 ​
 2、打开 /home 各帐号目录下的 .bash_history，查看普通帐号执行的历史命令。
 为历史的命令增加登录的 IP 地址、执行命令时间等信息：
 ​
 1）保存1万条命令
 sed -i 's/^HISTSIZE=1000/HISTSIZE=10000/g' /etc/profile
 ​
 2）在/etc/profile的文件尾部添加如下行数配置信息：
 ######jiagu history xianshi#########
 USER_IP=`who -u am i 2>/dev/null | awk '{print $NF}' | sed -e 's/[()]//g'`
 if [ "$USER_IP" = "" ]
 then
 USER_IP=`hostname`
 fi
 export HISTTIMEFORMAT="%F %T $USER_IP `whoami` "
 shopt -s histappend
 export PROMPT_COMMAND="history -a"
 ######### jiagu history xianshi ##########
 ​
 3）source /etc/profile 让配置生效
 生成效果： 1  2018-07-10 19:45:39 192.168.204.1 root source /etc/profile
 ​
 ​
 3、历史操作命令的清除：history -c
 但此命令并不会清除保存在文件中的记录，因此需要手动删除 .bash_profile 文件中的记录。

入侵排查：

 进入用户目录下，导出历史命令。
 cat .bash_history >> history.txt

3. 检查异常端口

使用 netstat 网络连接命令，分析可疑端口、IP、PID

netstat -antlp | more

查看下 pid 所对应的进程文件路径，
运行 ls -l /proc/$PID/exe 或 file /proc/$PID/exe（$PID 为对应的 pid 号）

4. 检查异常进程

使用 ps 命令，分析进程

ps aux | grep pid 

5. 检查开机启动项

基本使用： 系统运行级别示意图：

运行级别	含义
0	关机
1	单用户模式，可以想象为windows的安全模式，主要用于系统修复
2	不完全的命令行模式，不含NFS服务
3	完全的命令行模式，就是标准字符界面
4	系统保留
5	图形模式
6	重启动

查看运行级别命令 runlevel

系统默认允许级别

vi  /etc/inittab
id=3：initdefault  #系统开机后直接进入哪个运行级别

开机启动配置文件

/etc/rc.local
/etc/rc.d/rc[0~6].d

例子：当我们需要开机启动自己的脚本时，只需要将可执行脚本丢在 /etc/init.d 目录下，然后在 /etc/rc.d/rc*.d 文件中建立软链接即可。

注：此中的 * 代表 0,1,2,3,4,5,6 这七个等级

root@localhost ~]# ln -s /etc/init.d/sshd /etc/rc.d/rc3.d/S100ssh

此处sshd是具体服务的脚本文件，S100ssh是其软链接，S开头代表加载时自启动；如果是K开头的脚本文件，代表运行级别加载时需要关闭的。

入侵排查： 启动项文件：

more /etc/rc.local
/etc/rc.d/rc[0~6].d
ls -l /etc/rc.d/rc3.d/

6. 检查定时任务 80%

基本使用 1、利用 crontab 创建计划任务

• 基本命令

  crontab -l   列出某个用户cron服务的详细内容
  
  Tips：默认编写的crontab文件会保存在 (/var/spool/cron/用户名 例如: /var/spool/cron/root
  
  crontab -r   删除每个用户cront任务(谨慎：删除所有的计划任务)
  
  crontab -e   使用编辑器编辑当前的crontab文件 
  
  如：*/1 * * * * echo "hello world" >> /tmp/test.txt 每分钟写入文件

2、利用 anacron 命令实现异步定时任务调度

• 使用案例

  每天运行 /home/backup.sh 脚本：
  vi /etc/anacrontab 
  @daily    10    example.daily   /bin/bash /home/backup.sh
  当机器在 backup.sh 期望被运行时是关机的，anacron会在机器开机十分钟之后运行它，而不用再等待 7天。

入侵排查 重点关注以下目录中是否存在恶意脚本

/var/spool/cron/* 
/etc/crontab
/etc/cron.d/*
/etc/cron.daily/* 
/etc/cron.hourly/* 
/etc/cron.monthly/*
/etc/cron.weekly/
/etc/anacrontab
/var/spool/anacron/*

小技巧：

more /etc/cron.daily/*  查看目录下所有文件

7. 检查系统日志

日志默认存放位置：/var/log/ 查看日志配置情况：more /etc/rsyslog.conf

日志文件	说明
/var/log/cron	记录了系统定时任务相关的日志
/var/log/cups	记录打印信息的日志
/var/log/dmesg	记录了系统在开机时内核自检的信息，也可以使用dmesg命令直接查看内核自检信息
/var/log/mailog	记录邮件信息
/var/log/message	记录系统重要信息的日志。这个日志文件中会记录Linux系统的绝大多数重要信息，如果系统出现问题时，首先要检查的就应该是这个日志文件
/var/log/btmp	记录错误登录日志，这个文件是二进制文件，不能直接vi查看，而要使用lastb命令查看
/var/log/lastlog	记录系统中所有用户最后一次登录时间的日志，这个文件是二进制文件，不能直接vi，而要使用lastlog命令查看
/var/log/wtmp	永久记录所有用户的登录、注销信息，同时记录系统的启动、重启、关机事件。同样这个文件也是一个二进制文件，不能直接vi，而需要使用last命令来查看
/var/log/utmp	记录当前已经登录的用户信息，这个文件会随着用户的登录和注销不断变化，只记录当前登录用户的信息。同样这个文件不能直接vi，而要使用w,who,users等命令来查询
/var/log/secure或/var/log/auth.log	记录验证和授权方面的信息，只要涉及账号和密码的程序都会记录，比如SSH登录，su切换用户，sudo授权，甚至添加用户和修改用户密码都会记录在这个日志文件中

日志分析技巧：

1、定位有多少IP在爆破主机的root帐号：    
grep "Failed password for root" /var/log/secure | awk '{print $11}' | uniq -c | sort -nr | more

定位有哪些IP在爆破：
grep "Failed password" /var/log/secure|grep -E -o "(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)\.(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)\.(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)\.(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)"|uniq -c

爆破用户名字典是什么？
grep "Failed password" /var/log/secure| awk '{print $9}' | sort -nr | uniq -c
 
2、登录成功的IP有哪些： 	
grep "Accepted " /var/log/secure | awk '{print $11}' | sort | uniq -c | sort -nr | more

登录成功的日期、用户名、IP：
grep "Accepted " /var/log/secure | awk '{print $1,$2,$3,$9,$11}' 

3、增加一个用户kali日志：
Jul 10 00:12:15 localhost useradd[2382]: new group: name=kali, GID=1001
Jul 10 00:12:15 localhost useradd[2382]: new user: name=kali, UID=1001, GID=1001, home=/home/kali
, shell=/bin/bash
Jul 10 00:12:58 localhost passwd: pam_unix(passwd:chauthtok): password changed for kali
#grep "useradd" /var/log/secure 

4、删除用户kali日志：
Jul 10 00:14:17 localhost userdel[2393]: delete user 'kali'
Jul 10 00:14:17 localhost userdel[2393]: removed group 'kali' owned by 'kali'
Jul 10 00:14:17 localhost userdel[2393]: removed shadow group 'kali' owned by 'kali'
# grep "userdel" /var/log/secure

5、su切换用户：
Jul 10 00:38:13 localhost su: pam_unix(su-l:session): session opened for user good by root(uid=0)

sudo授权执行:
sudo -l
Jul 10 00:43:09 localhost sudo:    good : TTY=pts/4 ; PWD=/home/good ; USER=root ; COMMAND=/sbin/shutdown -r now