[会员中心]  [发布文章][发布软件]  [中文繁體] 
 文章·资料  电脑软件  手机软件  网站源码
   本 站 搜 索
[选项]
   推 荐 文 章       More...
华硕易电脑(ASUS Eee PC 1025C)驱动程序(Windows XP)安装参考(图) 华硕易电脑(ASUS Eee PC 1025C..
先来段开场白:为了外出携带方便..
Acronis True Image 使用说明 Acronis True Image 使用说明
  一款可以在Windows下使用..
Norton Ghost 使用详解 Norton Ghost 使用详解
一、分区备份   使用Ghost..
   阅 读 排 行
“.com”域名新发现 “.com”域名新发现
  尽管这不是什么秘密,但也许..
Windows 10 的 LTSB 和 LTSC 版本区别 Windows 10 的 LTSB 和 LTSC 版..
在 Windows 10 系统众多版本中,..
fieldset 和 legend 标签的属性和使用方法 fieldset 和 legend 标签的属性..
fieldset除了可以用style设定他..
Cisco PIX防火墙配置 Cisco PIX防火墙配置
摘要:本文讲述了作者第一次亲手..
Windows 系统安装或备份时 ISO,GHO,WIM,ESD,PMF 都是什么文件类型 Windows 系统安装或备份时 ISO,GH..
【ISO 文件】 ISO 文件其实就..
Microsoft Office Excel 2007 打开 Excel 2003 创建的文件在筛选时出现卡顿的解决方法 Microsoft Office Excel 2007 打..
  Microsoft Office Excel 2007..
ASP如何获取客户端真实IP地址 ASP如何获取客户端真实IP地址
  在 ASP 中使用 Request.Serve..
Base64 编码在线加密 Base64 编码在线加密
> 2); out += bas..
文 章 信 息
实例讲解网站被入侵后需做的检测
评论()][留言][收藏
[文章分类:电脑·手机·网络 / 网站设计·开发·优化][阅读选项
先分析入侵者都做了些什么!   


记得为了方便在他机器上装了RADMIN,登录了一下,密码也不对了,看来是有人上去了,而且入侵者还拿到了系统管理员权限。  

跑到机房,拿出ERD COMMANDER,改了密码,重启,进入系统后第一步升级帐户,多了一个hud$的用户,administrators组,删除,再看guest用户虽然禁用状态,但是说明内容不对了。仔细一看,administrators组,同样删除。接着看了下其他用户,组别都正常,把远程连接权限都去掉后,帐号方面算是处理完了。  

接着看看各个硬盘C:\下面有如下文件  

qlhello.exe  

qlhello2.exe  

result.txt  

1.bat  

2.bat  

编辑了下1.bat,里面内容都是扫描整个网段。看来是有人拿这台机器当跳板了,移动所有文件到其他目录。  

接着审计应用程序,考虑这台机器的用途和环境。  

是WINDOWS2000+IIS+SERV-U  

先看SERV-U审计用户,看看有没有别人加system权限的FTP用户,查看下来没有。  

执行权限也没有,锁定目录状态都是对的。  

看了下没有记录日志。  

然后看了版本。  

5.0.0.4...ft了,早让他升级,就是不升,看来是被入侵的第一步,先升级到6.0.0.2  

FTP这里应该没什么问题了。  

IIS方面的分析:  

开着日志记录,太好了,等会儿分析日志  

继续看,其他都是默认配置,先在应用程序映射里把所有的文件类型都删除干净只保留.ASP和.ASA  

审计文件权限  

设定各个分区和目录的权限。  

接着审查木马情况,由于系统不能重装,所以只能加固原有已经被入侵的系统,考虑到这个入侵者添加的用户的情况以及在C根目录放文件还有日志都是开放等等情况,估计水平不会很高,也不会植入自己编写的木马。  

使用了朋友thrkdev编的ATE来查了一遍,看来没有已知木马。  

接着查找WEBSHELL,考虑到入侵者水平,最多也就用用海阳,而且最多也就把部分版权信息去掉,搜索所有内容包含lcx的.ASP文件。  

果然,4个文件。  

2005.asp  

ok.asp  

dvbbs7.asp  

aki.asp  

看来分析还是比较准确的,除了dvbbs7.asp有点创意,移动这些文件到其他目录,供以后审计用。  

然后是网络部分  

TCP过滤未开,IPSEC未指派。  

先把NETBIOS关掉,然后TCP内只允许20,21,80,3389  

考虑到反向木马的可能性  

在IPSEC内打开本机SPORT 20,21,80,3389到外部任意端口,其他从内部往外的一律屏蔽。  

系统萃取,把一些无关服务与软件关闭或者卸载。  

对系统进行补丁升级,还好补丁还是没有缺,把自动UPDATE设置到自动安装。  

最后一步是分析日志,看看有没有遗漏的地方,系统本身的日志都被关闭了。看来入侵者还是比较小心。  

打开该审计的部分,在关键目录,比如系统目录加上了审计,使得所有对C:\WINNT的创建文件的成功与失败都记录在日志内。  

由于前面提到SERV-U日志原来并未记录,只能打开IIS日志查找对于找到的4个WEBSHELL的访问情况,找到了访问的IP,回查,来自一个固定IP地址,浏览了一下,得到信息后给对方管理员去邮件通知他们做好安全工作。  

其实还有一些部分内容应该做而限于有些条件没有做的。  

1.更换系统默认用户用户名  

因为兄弟他们对计算机不熟,就没有更换,不过要求他们使用更加强壮的密码了  

2.对于加密的webshell的查找  

上述内容中对于WEBSHELL只查找了一种,并且只针对明文编码的页面程序进行了查找,应该是可以加入对于编码后ASP WEBSHELL的搜索。  

还有搜索内容应该由简单的LCX扩展到wscript.shell等更加广泛与匹配的关键词的查找  

3.对于木马的查找  

由于预估入侵者水平不高,所以这项只依靠杀木马软件进行了搜索,如果有时间的话,还是应该手工进行查找  

4.对页面程序进行评估  

也有由于时间关系,没时间对原有网站程序进行检查。  

5.入侵测试  

由于入侵检测很可能被入侵者的思路带着走而忽略了其他薄弱环节。  

所以检测完毕应该最好进行完全的测试,保证其他路径是同样强壮的。

文章作者:未知  更新日期:2006-05-13
[文章浏览:][打印文章][发送文章
阅读说明
·本站大部分文章转载于网络,如有侵权请留言告知,本站即做删除处理。
·本站法律法规类文章转载自[中国政府网(www.org.cn)],相关法律法规如有修订,请浏览[中国政府网]网站。
·本站转载的文章,不为其有效性,实效性,安全性,可用性等做保证。
·如果有什么问题,或者意见建议,请联系[网站管理员]
  原“浪人文章”和“浪人下载”网站已合并为“老若尔文章软件站”,域名:https://lre.cn
  本站使用【啊估文章软件站】网站系统    网站管理员留言簿〗〖捐助     闽ICP备08009617号