应急响应整理

windows下

1. 检查账号安全

利用注册表实现用户隐藏

粘滞键后门

2 检查异常端口、进程

3. 检查启动项、计划任务、服务

4. 日志分析-Windows

常见事件类型、登录类型

Linux下

1. 账号安全

2. 历史命令

3. 检查异常端口

4. 检查异常进程

5. 检查开机启动项

6. 检查定时任务 80%

7. 检查系统日志

8. 自动封堵IP

windows下

1. 检查账号安全

检查账号主要是防备系统被留下了危险用户，具体的入侵思路如下： 1、查看服务器是否有弱口令；远程管理端口（3389）是否对公网开放，这里危害并不大，因为远程端口的破解很难。

检查方法：据实际情况咨询相关服务器管理员。

2、查看服务器是否存在可疑账号、新增账号。

检查方法：打开cmd 窗口，输入 lusrmgr.msc 命令，查看是否有新增/可疑的账号，如有管理员群组的（Administrators）里的新增账户，如有，请立即禁用或删除掉。
攻击：拿明文。使用mimiktz从lsass进程中拿。但是现在微软已经把lsass里面的明文数据拿走了。不过有些版本适配的情况下还是可以拿。

3、查看服务器是否存在隐藏账号、克隆账号。

检查方法： a、打开注册表，查看管理员对应键值。 b、使用D盾_web查杀工具，它集成了对克隆账号检测的功能。
创建隐藏账号 a、使用net user 创建一个尾巴带$的账号，然后使用net user 查看是看不到这个账号的。但是打开计算机管理，那里是可以看到的。
粘滞性后门原本按五次shitf会弹出放大镜，把这个性质修改一下，把cmd重命名为放大镜（sethc），用来代替放大镜，然后按五次shitf时就会弹出cmd，在cmd里可以再添加用户，这样就可以避免后门用户本删掉而登录不了系统。但是就25年安全坏境来说，这种手法已经绝迹了。

下面简单复现一下两个后门，作为实际排查的切入点。

利用注册表实现用户隐藏

在windows中可以创建影子账户：而且这个账户使用命令 net user查看是看不到的，这在早期Windows留后门中很有用。但是这个账户在计算机管理那里是可以看到的：

那么有没有什么方法，让这个后门用户在这两个地方都是隐形的呢？有，利用注册表可以实现。

原理利用sid，把系统中的管理账户的sid复制给影子账户，然后把影子账户删掉，这样影子账户就相当于管理账户的影子。这样就可以使用它登录，而且在注册表它也是存在的。

操作

修改权限 我们需要在SAM里面操作，而这个文件正常来说只有SYSTEM有完全控制权限，我们操作使用的是Administrators，没有这个权限，需要先把权限打开，操作见上图。

之后再次打开注册表，就可以看到了：这里每一个Names对应一个Users。

修改F文件 我们需要做的就是把administrators对应的Users的F文件复制给test$用户的F文件
导出test$和它对应的Users
删除test$用户
双击导出的文件进行注册

然后远程登录测试就可以了。但是很可能成功不了。

粘滞键后门

原理原本Windows按五下shift会跳出粘滞键。找到这个粘滞键的位置，用cmd来取代它。这样即使留下的用户被删除了，也可以按五下shift呼出cmd然后添加用户。

实际上按五下shift呼出的是下面这个程序：我们要做的就是把它名字改了，然后把cmd程序改为它的名字，这样在登录界面按五下shift就会呼出cmd，然后使用cmd添加账户。

操作

权限的授予 要修改这里的文件名需要很高的权限，下面是授予步骤：以cmd为例 1、右键选择属性 2、属性里面选择安全： 3、点击高级，再点击更改： 4、然后点击高级

5、点击立即查找，把administrators添加进去 7、再打开权限配置，会看到以下界面，按着步骤修改权限然后退回的时候，有应用先点击应用，没有就点击确定。

修改文件
测试

以上就是操作步骤，但是这个已经很难成功了。

2 检查异常端口、进程

1、检查端口连接情况，是否有远程连接、可疑连接。

检查方法： a、使用netstat -ano 命令查看目前的网络连接，定位可疑的 ESTABLISHED b、根据 netstat 命令定位出的 PID 编号，再通过 tasklist 命令进行进程定位 tasklist | findstr "PID"

2、进程 process monitor process explorer

检查方法： a、开始 -- 运行 -- 输入 msinfo32 命令，依次点击 "软件环境 -- 正在运行任务" 就可以查看到进程的详细信息，比如进程路径、进程ID、文件创建日期以及启动时间等。 b、打开D盾_web查杀工具，进程查看，关注没有签名信息的进程。 c、通过微软官方提供的 Process Explorer 等工具进行排查。 d、查看可疑的进程及其子进程。可以通过观察以下内容：没有签名验证信息的进程没有描述信息的进程进程的属主进程的路径是否合法 CPU 或内存资源占用长时间过高的进程

3、小技巧： a、查看端口对应的 PID：netstat -ano | findstr "port" b、查看进程对应的 PID：任务管理器 -- 查看 -- 选择列 -- PID 或者 tasklist | findstr "PID" c、查看进程对应的程序位置： 1)任务管理器 -- 选择对应进程 -- 右键打开文件位置 2)运行输入 wmic，cmd 界面输入 process d、tasklist /svc 进程 -- PID -- 服务 e、查看Windows服务所对应的端口： %systemroot%/system32/drivers/etc/services（一般 %systemroot% 就是 C:\Windows 路径）

3. 检查启动项、计划任务、服务

1、检查服务器是否有异常的启动项。

检查方法： a、登录服务器，单击【开始】>【所有程序】>【启动】，默认情况下此目录在是一个空目录，确认是否有非业务程序在该目录下。 b、单击开始菜单 >【运行】，输入 msconfig，查看是否存在命名异常的启动项目，是则取消勾选命名异常的启动项目，并到命令中显示的路径删除文件。 c、单击【开始】>【运行】，输入 regedit，打开注册表，查看开机启动项是否正常，特别注意如下三个注册表项：

   HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\runHKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunHKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Runonce

检查右侧是否有启动异常的项目，如有请删除，并建议安装杀毒软件进行病毒查杀，清除残留病毒或木马。 d、利用安全软件查看启动项、开机时间管理等。 e、组策略，运行 gpedit.msc

2、检查计划任务

检查方法： a、单击【开始】>【设置】>【控制面板】>【任务计划】，查看计划任务属性，便可以发现木马文件的路径。 b、单击【开始】>【运行】；输入 cmd，然后输入 at，检查计算机与网络上的其它计算机之间的会话或计划任务，如有，则确认是否为正常连接。

3、服务自启动

检查方法：单击【开始】>【运行】，输入 services.msc，注意服务状态和启动类型，检查是否有异常服务。

4. 日志分析-Windows

日志一般来说很庞大，尤其是服务器的日志，所以这里就要借用工具Log Parser。常用的查找语句举例： 1、查询登录成功的事件

登录成功的所有事件LogParser.exe -i:EVT –o:DATAGRID  "SELECT *  FROM c:\Security.evtx where EventID=4624"指定登录时间范围的事件：LogParser.exe -i:EVT –o:DATAGRID  "SELECT *  FROM c:\Security.evtx where TimeGenerated>'2018-06-19 23:32:11' and TimeGenerated<'2018-06-20 23:34:00' and EventID=4624"提取登录成功的用户名和IP：LogParser.exe -i:EVT  –o:DATAGRID  "SELECT EXTRACT_TOKEN(Message,13,' ') as EventType,TimeGenerated as LoginTime,EXTRACT_TOKEN(Strings,5,'|') as Username,EXTRACT_TOKEN(Message,38,' ') as Loginip FROM c:\Security.evtx where EventID=4624"

2、查询登录失败的事件

登录失败的所有事件：LogParser.exe -i:EVT –o:DATAGRID  "SELECT *  FROM c:\Security.evtx where EventID=4625"提取登录失败用户名进行聚合统计：LogParser.exe  -i:EVT "SELECT  EXTRACT_TOKEN(Message,13,' ')  as EventType,EXTRACT_TOKEN(Message,19,' ') as user,count(EXTRACT_TOKEN(Message,19,' ')) as Times,EXTRACT_TOKEN(Message,39,' ') as Loginip FROM c:\Security.evtx where EventID=4625 GROUP BY Message"

这里的查询语句类似于SQL的查询语句，不需要特别记忆，可以利用大模型给出，但是需要注意类似EXTRACT_TOKEN(Message,38,' ')中的数字的含义，这个也可以利用大模型。不过这里可能需要打开一个组策略，具体大模型就行。需不需要开取决于要查的是什么。

常见事件类型、登录类型

事件：

事件ID	说明
4624	登录成功
4625	登录失败
4634	注销成功
4647	用户启动的注销
4672	使用超级用户（如管理员）进行登录
4720	创建用户

登录类型	描述	说明
2	交互式登录（Interactive）	用户在本地进行登录。
3	网络（Network）	最常见的情况就是连接到共享文件夹或共享打印机时。
4	批处理（Batch）	通常表明某计划任务启动。
5	服务（Service）	每种服务都被配置在某个特定的用户账号下运行。
7	解锁（Unlock）	屏保解锁。
8	网络明文（NetworkCleartext）	登录的密码在网络上是通过明文传输的，如FTP。
9	新凭证（NewCredentials）	使用带/Netonly参数的RUNAS命令运行一个程序。
10	远程交互，（RemoteInteractive）	通过终端服务、远程桌面或远程协助访问计算机。
11	缓存交互（CachedInteractive）	以一个域用户登录而又没有域控制器可用

再筛选日志的时候结合以上信息能更快的锁定目标。

Linux下

1. 账号安全

基本使用：

 1、用户信息文件 /etc/passwdroot:x:0:0:root:/root:/bin/bashaccount:password:UID:GID:GECOS:directory:shell用户名：密码：用户ID：组ID：用户说明：家目录：登陆之后的 shell注意：无密码只允许本机登陆，远程不允许登陆/bin/bash如果被用于登录，说明系统被入侵了。如果仅仅是nologin，那问题就很小2、影子文件 /etc/shadowroot:$6$oGs1PqhL2p3ZetrE$X7o7bzoouHQVSEmSgsYN5UD4.kMHx6qgbTqwNVC5oOAouXvcjQSt.Ft7ql1WpkopY0UV9ajBwUt1DpYxTCVvI/:16809:0:99999:7:::用户名：加密密码：密码最后一次修改日期：两次密码的修改时间间隔：密码有效期：密码修改到期的警告天数：密码过期之后的宽限天数：账号失效时间：保留

小技巧：

who     查看当前登录用户（tty 本地登陆  pts 远程登录）w       查看系统信息，想知道某一时刻用户的行为uptime  查看登陆多久、多少用户，负载状态

入侵排查：

1、查询特权用户特权用户(uid 为0)[root@localhost ~]# awk -F: '$3==0{print $1}' /etc/passwd2、查询可以远程登录的帐号信息[root@localhost ~]# awk '/\$1|\$6/{print $1}' /etc/shadow3、除root帐号外，其他帐号是否存在sudo权限。如非管理需要，普通帐号应删除sudo权限[root@localhost ~]# more /etc/sudoers | grep -v "^#\|^$" | grep "ALL=(ALL)"4、禁用或删除多余及可疑的帐号usermod -L user    禁用帐号，帐号无法登录，/etc/shadow 第二栏为 ! 开头userdel user       删除 user 用户userdel -r user    将删除 user 用户，并且将 /home 目录下的 user 目录一并删除

2. 历史命令

基本使用： 通过 .bash_history 文件查看帐号执行过的系统命令

1、root 用户的历史命令histroy2、打开 /home 各帐号目录下的 .bash_history，查看普通帐号执行的历史命令。为历史的命令增加登录的 IP 地址、执行命令时间等信息：1）保存1万条命令sed -i 's/^HISTSIZE=1000/HISTSIZE=10000/g' /etc/profile2）在/etc/profile的文件尾部添加如下行数配置信息：######jiagu history xianshi#########USER_IP=`who -u am i 2>/dev/null | awk '{print $NF}' | sed -e 's/[()]//g'`if [ "$USER_IP" = "" ]thenUSER_IP=`hostname`fiexport HISTTIMEFORMAT="%F %T $USER_IP `whoami` "shopt -s histappendexport PROMPT_COMMAND="history -a"######### jiagu history xianshi ##########3）source /etc/profile 让配置生效生成效果： 1  2018-07-10 19:45:39 192.168.204.1 root source /etc/profile3、历史操作命令的清除：history -c但此命令并不会清除保存在文件中的记录，因此需要手动删除 .bash_profile 文件中的记录。

入侵排查：

 进入用户目录下，导出历史命令。cat .bash_history >> history.txt

3. 检查异常端口

使用 netstat 网络连接命令，分析可疑端口、IP、PID

netstat -antlp | more查看下 pid 所对应的进程文件路径，
运行 ls -l /proc/$PID/exe 或 file /proc/$PID/exe（$PID 为对应的 pid 号）

4. 检查异常进程

使用 ps 命令，分析进程

ps aux | grep pid

5. 检查开机启动项

基本使用： 系统运行级别示意图：

运行级别	含义
0	关机
1	单用户模式，可以想象为windows的安全模式，主要用于系统修复
2	不完全的命令行模式，不含NFS服务
3	完全的命令行模式，就是标准字符界面
4	系统保留
5	图形模式
6	重启动

查看运行级别命令 runlevel

系统默认允许级别

vi  /etc/inittab
id=3：initdefault  #系统开机后直接进入哪个运行级别

开机启动配置文件

/etc/rc.local
/etc/rc.d/rc[0~6].d例子：当我们需要开机启动自己的脚本时，只需要将可执行脚本丢在 /etc/init.d 目录下，然后在 /etc/rc.d/rc*.d 文件中建立软链接即可。

注：此中的 * 代表 0,1,2,3,4,5,6 这七个等级

root@localhost ~]# ln -s /etc/init.d/sshd /etc/rc.d/rc3.d/S100ssh

此处sshd是具体服务的脚本文件，S100ssh是其软链接，S开头代表加载时自启动；如果是K开头的脚本文件，代表运行级别加载时需要关闭的。

入侵排查： 启动项文件：

more /etc/rc.local
/etc/rc.d/rc[0~6].d
ls -l /etc/rc.d/rc3.d/

6. 检查定时任务 80%

基本使用 1、利用 crontab 创建计划任务

基本命令

  crontab -l   列出某个用户cron服务的详细内容Tips：默认编写的crontab文件会保存在 (/var/spool/cron/用户名 例如: /var/spool/cron/rootcrontab -r   删除每个用户cront任务(谨慎：删除所有的计划任务)crontab -e   使用编辑器编辑当前的crontab文件 如：*/1 * * * * echo "hello world" >> /tmp/test.txt 每分钟写入文件

2、利用 anacron 命令实现异步定时任务调度

使用案例

  每天运行 /home/backup.sh 脚本：vi /etc/anacrontab @daily    10    example.daily   /bin/bash /home/backup.sh当机器在 backup.sh 期望被运行时是关机的，anacron会在机器开机十分钟之后运行它，而不用再等待 7天。

入侵排查 重点关注以下目录中是否存在恶意脚本

/var/spool/cron/* 
/etc/crontab
/etc/cron.d/*
/etc/cron.daily/* 
/etc/cron.hourly/* 
/etc/cron.monthly/*
/etc/cron.weekly/
/etc/anacrontab
/var/spool/anacron/*

小技巧：

more /etc/cron.daily/*  查看目录下所有文件

7. 检查系统日志

日志默认存放位置：/var/log/ 查看日志配置情况：more /etc/rsyslog.conf

日志文件	说明
`/var/log/cron`	记录了系统定时任务相关的日志
`/var/log/cups`	记录打印信息的日志
`/var/log/dmesg`	记录了系统在开机时内核自检的信息，也可以使用`dmesg`命令直接查看内核自检信息
`/var/log/mailog`	记录邮件信息
`/var/log/message`	记录系统重要信息的日志。这个日志文件中会记录`Linux`系统的绝大多数重要信息，如果系统出现问题时，首先要检查的就应该是这个日志文件
`/var/log/btmp`	记录错误登录日志，这个文件是二进制文件，不能直接`vi`查看，而要使用`lastb`命令查看
`/var/log/lastlog`	记录系统中所有用户最后一次登录时间的日志，这个文件是二进制文件，不能直接`vi`，而要使用`lastlog`命令查看
`/var/log/wtmp`	永久记录所有用户的登录、注销信息，同时记录系统的启动、重启、关机事件。同样这个文件也是一个二进制文件，不能直接`vi`，而需要使用`last`命令来查看
`/var/log/utmp`	记录当前已经登录的用户信息，这个文件会随着用户的登录和注销不断变化，只记录当前登录用户的信息。同样这个文件不能直接`vi`，而要使用`w,who,users`等命令来查询
`/var/log/secure`或`/var/log/auth.log`	记录验证和授权方面的信息，只要涉及账号和密码的程序都会记录，比如`SSH`登录，`su`切换用户，`sudo`授权，甚至添加用户和修改用户密码都会记录在这个日志文件中

日志分析技巧：

1、定位有多少IP在爆破主机的root帐号：    
grep "Failed password for root" /var/log/secure | awk '{print $11}' | uniq -c | sort -nr | more定位有哪些IP在爆破：
grep "Failed password" /var/log/secure|grep -E -o "(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)\.(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)\.(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)\.(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)"|uniq -c爆破用户名字典是什么？
grep "Failed password" /var/log/secure| awk '{print $9}' | sort -nr | uniq -c2、登录成功的IP有哪些： 	
grep "Accepted " /var/log/secure | awk '{print $11}' | sort | uniq -c | sort -nr | more登录成功的日期、用户名、IP：
grep "Accepted " /var/log/secure | awk '{print $1,$2,$3,$9,$11}' 3、增加一个用户kali日志：
Jul 10 00:12:15 localhost useradd[2382]: new group: name=kali, GID=1001
Jul 10 00:12:15 localhost useradd[2382]: new user: name=kali, UID=1001, GID=1001, home=/home/kali
, shell=/bin/bash
Jul 10 00:12:58 localhost passwd: pam_unix(passwd:chauthtok): password changed for kali
#grep "useradd" /var/log/secure 4、删除用户kali日志：
Jul 10 00:14:17 localhost userdel[2393]: delete user 'kali'
Jul 10 00:14:17 localhost userdel[2393]: removed group 'kali' owned by 'kali'
Jul 10 00:14:17 localhost userdel[2393]: removed shadow group 'kali' owned by 'kali'
# grep "userdel" /var/log/secure5、su切换用户：
Jul 10 00:38:13 localhost su: pam_unix(su-l:session): session opened for user good by root(uid=0)sudo授权执行:
sudo -l
Jul 10 00:43:09 localhost sudo:    good : TTY=pts/4 ; PWD=/home/good ; USER=root ; COMMAND=/sbin/shutdown -r now