重点文件分析 通过第一次定性分析后的结果,判断攻击类型所对应应重点分析排查点,尽快解决问题尽快恢复系统正常上线再进行全量分析。 Linux平台下应该额外注意点: 文件类:passwd文件，shadow文件,uid信息，ssh文件谨防SSH后门,host，rpm包(./rpm -Va > rpm.log).bash_history等。 日志类:message日志, cron日志,Shell日志,ecure日志,last日志 /var/log/secure，/ar/log/wtmp，var/log/message…

IR 工具收集 工具集(工具双击即可下载) Belkasoft Evidence Center - 该工具包通过分析硬件驱动、驱动镜像、内存转储、iOS、黑莓与安卓系统备份、UFED、JTAG 与 chip-off 转储来快速从多个源提取数字证据 CimSweep - CimSweep 是一套基于 CIM/WMI 的工具,能够在所有版本的 Windows 上执行远程事件响应 CIRTkit - CIRTKit 不仅是一个工具集合,更是一个框架,帮助在事件响应与取证调查过程中统一 Cyb…

以下是我们在应急过程中的一些心得和一些深入的研究过程。本文兼顾新手和一些像我们在安全中摸爬滚打了一段时间的小白们。LMM级别的RootKit应急由于知识深度有限，暂时不在本文中体现。本文中提到的RootKit为应用级别的RootKit，一些文章介绍的检测方法可能发现不了所存在的问题。 传说中的三板斧:ps、netstat、top 这三条命令及其有用，简单一点的应急问题基本这三条命令就搞定了，我们逐条来说。 1 2 ps -ef ps aux  两条命令就搞定了 但至于那些是恶意进程和反…

  从大佬博客上复制的一些文章 总结一些常用的东西，寄希望用这篇博文分享一些安全工程师在处理应急响应时常见的套路，因为方面众多可能有些杂碎。 个人认为入侵响应的核心无外乎四个字，顺藤摸瓜。我们常常需要找到比较关键的信息后通过一些指令查询或者分析日志，逐步分析黑客的具体步骤。 入侵后需要被关注的Linux系统日志 1 var/log/cron    记录crontab命令是否被正确的执行，一般会被黑客删除 1 var/log/lastlog　　记录登录的用户，可以使用命令lastlog查看，一般会被黑客删除…

行文目录如下： 1. 事件分类 常见的安全事件： Web入侵：挂马、篡改、Webshell 系统入侵：系统异常、RDP爆破、SSH爆破、主机漏洞 病毒木马：远控、后门、勒索软件 信息泄漏：刷裤、数据库登录（弱口令） 网络流量：频繁发包、批量请求、DDOS攻击 2. 排查思路 一个常规的入侵事件后的系统排查思路： 1. 文件分析 a) 文件日期、新增文件、可疑/异常文件、最近使用文件、浏览器下载文件 b) Webshell 排查与分析 c) 核心应用关联目录文件分析 2. 进程分析 a) 当前活动进程 & 远…