[会员中心]  [发布文章][发布软件]  [中文繁體] 
 文章·资料  电脑软件  手机软件  网站源码
   本 站 搜 索
[选项]
   推 荐 文 章       More...
华硕易电脑(ASUS Eee PC 1025C)驱动程序(Windows XP)安装参考(图) 华硕易电脑(ASUS Eee PC 1025C..
先来段开场白:为了外出携带方便..
Acronis True Image 使用说明 Acronis True Image 使用说明
  一款可以在Windows下使用..
Norton Ghost 使用详解 Norton Ghost 使用详解
一、分区备份   使用Ghost..
   阅 读 排 行
Windows 系统安装或备份时 ISO,GHO,WIM,ESD,PMF 都是什么文件类型 Windows 系统安装或备份时 ISO,GH..
【ISO 文件】 ISO 文件其实就..
使用“自动点击器”APP 在抖音直播间自动点赞 使用“自动点击器”APP 在抖音直..
看过抖音直播的朋友都知道,进入..
OPPO 手机的锁屏时间设置成横向显示 OPPO 手机的锁屏时间设置成横向..
第一次使用 OPPO 手机,桌面和锁..
电脑机箱(主板)前面板 USB 数据线的接线参考(图) 电脑机箱(主板)前面板 USB 数据..
  一、概述   因为每个 US..
抖音直播录屏的草稿保存位置 抖音直播录屏的草稿保存位置
抖音直播录屏,保存为“草稿”后,..
微信收到 flv 格式视频,如何播放? 微信收到 flv 格式视频,如何播放?
  微信上收到一个 flv 格式视频..
TrustAsia/DigiCert/Let s Encrypt 的免费 SSL 证书,多款网页浏览器都无法正常打开 TrustAsia/DigiCert/Let s Encryp..
云服务器安装了 Windows Server 2..
三星打印机(SCX-4521)提示“墨粉不足”设置 三星打印机(SCX-4521)提示“墨粉..
  三星打印机(SCX-4521)在添加..
文 章 信 息
实例讲解网站被入侵后需做的检测
评论()][留言][收藏
[文章分类:电脑·手机·网络 / 网站设计·开发·优化][阅读选项
先分析入侵者都做了些什么!   


记得为了方便在他机器上装了RADMIN,登录了一下,密码也不对了,看来是有人上去了,而且入侵者还拿到了系统管理员权限。  

跑到机房,拿出ERD COMMANDER,改了密码,重启,进入系统后第一步升级帐户,多了一个hud$的用户,administrators组,删除,再看guest用户虽然禁用状态,但是说明内容不对了。仔细一看,administrators组,同样删除。接着看了下其他用户,组别都正常,把远程连接权限都去掉后,帐号方面算是处理完了。  

接着看看各个硬盘C:\下面有如下文件  

qlhello.exe  

qlhello2.exe  

result.txt  

1.bat  

2.bat  

编辑了下1.bat,里面内容都是扫描整个网段。看来是有人拿这台机器当跳板了,移动所有文件到其他目录。  

接着审计应用程序,考虑这台机器的用途和环境。  

是WINDOWS2000+IIS+SERV-U  

先看SERV-U审计用户,看看有没有别人加system权限的FTP用户,查看下来没有。  

执行权限也没有,锁定目录状态都是对的。  

看了下没有记录日志。  

然后看了版本。  

5.0.0.4...ft了,早让他升级,就是不升,看来是被入侵的第一步,先升级到6.0.0.2  

FTP这里应该没什么问题了。  

IIS方面的分析:  

开着日志记录,太好了,等会儿分析日志  

继续看,其他都是默认配置,先在应用程序映射里把所有的文件类型都删除干净只保留.ASP和.ASA  

审计文件权限  

设定各个分区和目录的权限。  

接着审查木马情况,由于系统不能重装,所以只能加固原有已经被入侵的系统,考虑到这个入侵者添加的用户的情况以及在C根目录放文件还有日志都是开放等等情况,估计水平不会很高,也不会植入自己编写的木马。  

使用了朋友thrkdev编的ATE来查了一遍,看来没有已知木马。  

接着查找WEBSHELL,考虑到入侵者水平,最多也就用用海阳,而且最多也就把部分版权信息去掉,搜索所有内容包含lcx的.ASP文件。  

果然,4个文件。  

2005.asp  

ok.asp  

dvbbs7.asp  

aki.asp  

看来分析还是比较准确的,除了dvbbs7.asp有点创意,移动这些文件到其他目录,供以后审计用。  

然后是网络部分  

TCP过滤未开,IPSEC未指派。  

先把NETBIOS关掉,然后TCP内只允许20,21,80,3389  

考虑到反向木马的可能性  

在IPSEC内打开本机SPORT 20,21,80,3389到外部任意端口,其他从内部往外的一律屏蔽。  

系统萃取,把一些无关服务与软件关闭或者卸载。  

对系统进行补丁升级,还好补丁还是没有缺,把自动UPDATE设置到自动安装。  

最后一步是分析日志,看看有没有遗漏的地方,系统本身的日志都被关闭了。看来入侵者还是比较小心。  

打开该审计的部分,在关键目录,比如系统目录加上了审计,使得所有对C:\WINNT的创建文件的成功与失败都记录在日志内。  

由于前面提到SERV-U日志原来并未记录,只能打开IIS日志查找对于找到的4个WEBSHELL的访问情况,找到了访问的IP,回查,来自一个固定IP地址,浏览了一下,得到信息后给对方管理员去邮件通知他们做好安全工作。  

其实还有一些部分内容应该做而限于有些条件没有做的。  

1.更换系统默认用户用户名  

因为兄弟他们对计算机不熟,就没有更换,不过要求他们使用更加强壮的密码了  

2.对于加密的webshell的查找  

上述内容中对于WEBSHELL只查找了一种,并且只针对明文编码的页面程序进行了查找,应该是可以加入对于编码后ASP WEBSHELL的搜索。  

还有搜索内容应该由简单的LCX扩展到wscript.shell等更加广泛与匹配的关键词的查找  

3.对于木马的查找  

由于预估入侵者水平不高,所以这项只依靠杀木马软件进行了搜索,如果有时间的话,还是应该手工进行查找  

4.对页面程序进行评估  

也有由于时间关系,没时间对原有网站程序进行检查。  

5.入侵测试  

由于入侵检测很可能被入侵者的思路带着走而忽略了其他薄弱环节。  

所以检测完毕应该最好进行完全的测试,保证其他路径是同样强壮的。

文章作者:未知  更新日期:2006-05-13
[文章浏览:][打印文章][发送文章
阅读说明
·本站大部分文章转载于网络,如有侵权请留言告知,本站即做删除处理。
·本站法律法规类文章转载自[中国政府网(www.org.cn)],相关法律法规如有修订,请浏览[中国政府网]网站。
·本站转载的文章,不为其有效性,实效性,安全性,可用性等做保证。
·如果有什么问题,或者意见建议,请联系[网站管理员]
  原“浪人文章”和“浪人下载”网站已合并为“老若尔文章软件站”,域名:https://lre.cn
  本站使用【啊估文章软件站】网站系统    网站管理员留言簿〗〖捐助     闽ICP备08009617号