江鸟's Blog

HVV蓝队应急响应思路学习(Windows)

字数统计: 2k阅读时长: 7 min
2021/03/04 Share

HVV蓝队应急响应思路学习windows篇,近期更新蓝队学习过程。

常见的应急响应事件分类:

  • web入侵:网页挂马、主页篡改、Webshell
  • 系统入侵:病毒木马、勒索软件、远控后门
  • 网络攻击:DDOS攻击、DNS劫持、ARP欺骗

如何判断是否被入侵?

一、检查系统账号

1.查看服务器是否有弱口令,远程管理端口是否对往公网开放。

检查方法:

a、查看端口情况可以根据实际情况咨询相关服务器管理员。

b、根据弱口令检查工具来检查弱口令。(具体见工具篇)

2.查看服务器是否存在可疑账号、新增账号。

检查方法:

打开cmd窗口,输入lusrmgr.msc命令(打开本地用户和组),查看是否有新增/可疑的账号,如有管理员群组的(Administrator)里的新增账号,请立即禁用或删除。

image-20210304200148351

3.查看服务器是否存在隐藏账号、克隆账号。

详细操作方法:https://www.cnblogs.com/BuFFERer/p/12273710.html

检查方法:

a、打开注册表,查看管理员对应键值。对应的位置为:HKEY_LOCAL_MACHINE/SAM/SAM/Domains/Account/Users/$Names$/

b、cmd输入net user,查看是否有陌生账号。

c、使用D盾测试、它集成了对克隆账号检测的功能。

image-20210304200641615

4.结合日志,查看管理员登陆时间、用户名是否存在异常。

详细参考:https://cloud.tencent.com/developer/article/1769697

检查方法:

a、Win+R打开运行,输入eventvwr.msc,回车运行,打开“事件查看器”。

b、导出Windows日志–安全,利用Log Parser进行分析。

二、检查异常端口、进程

1.检查端口连接情况,是否有远程连接、可疑连接。

检查方法:

a、netstat -ano查看目前的网络连接,定位可疑的ESTABLISHED

b、根据netstat定位出的pid,再通过tasklist命令进行进程定位tasklist | findstr "PID"

建立连接了之后,我这边也会有一个端口被占用,不常见的随机端口,往往不是设立的web服务,那大概率就是被控了

2.进程

检查方法:

a、开始–运行–输入msinfo32,依次点击“软件环境>正在运行任务”就可以查看到进程的详细信息,比如进程路径、进程ID、文件创建日期、启动时间等。

b、D盾也可以查看进程,关注没有签名信息的进程。

image-20210304203153136

c、通过微软官方提供的Process Explorer等工具进行排查。

d、查看可疑的进程及其子进程。可疑通过观察一下内容:

  • 没有签名验证信息的进程
  • 没有描述信息的进程
  • 进程的属主
  • 进程的路径是否合法
  • CPU或内存资源占用长时间过高的进程

3.小技巧

a、查看端口对应的 PID: netstat -ano | findstr “port”

b、查看进程对应的 PID:任务管理器--查看--选择列--PID 或者 tasklist | findstr “PID”

c、查看进程对应的程序位置: 任务管理器–选择对应进程–右键打开文件位置

三、检查启动项、计划任务、服务

1.检查服务器是否有异常启动项

检查方法:

a、登录服务器,单击【开始】>【所有程序】>【启动】,默认情况下此目录在是一个空目录,确认是否有非业务程序在该目录下。

b、单击开始菜单 >【运行】,输入 msconfig,查看是否存在命名异常的启动项目,是则取消勾选命名异常的启动项目,并到命令中显示的路径删除文件。

c、单击【开始】>【运行】,输入 regedit,打开注册表,查看开机启动项是否正常,特别注意如下三个注册表项:

  • HKEY_CURRENT_USER>software>micorsoft>windows>current>version>run
  • HKEY_LOCAL_MACHINE>Software>Microsoft>Windows>CurrentVersion>Run
  • HKEY_LOCAL_MACHINE>Software>Microsoft>Windows>CurrentVersion>Runonce

检查右侧是否有启动异常的项目,如有请删除,并建议安装杀毒软件进行病毒查杀,清除残留病毒或木马。

d、利用安全软件查看启动项、开机时间管理等。

e、组策略,运行 gpedit.msc

image-20210304203409407

2.检查计划任务

检查方法:

a、单击【开始】>【设置】>【控制面板】>【任务计划】,查看计划任务属性,便可以发现木马文件的路径。

b、单击【开始】>【运行】;输入 cmd,然后输入at,检查计算机与网络上的其它计算机之间的会话或计划任务,如有,则确认是否为正常连接。

3.服务自启动

检查方法:

单击【开始】>【运行】,输入 services.msc,注意服务状态和启动类型,检查是否有异常服务。

image-20210304203450681

四、检查系统相关信息

1.查看系统版本以及补丁信息

检查方法:

单击【开始】>【运行】,输入 systeminfo,查看系统信息。

2.查找可疑目录及文件

检查方法:

a、 查看用户目录,新建账号会在这个目录生成一个用户目录,查看是否有新建用户目录。

Window 2003 :

  • C:Documents and Settings

Window 2008R2 :

  • C:Users

b、在服务器各个目录,可根据文件夹内文件列表时间进行排序,查找可疑文件。

五、自动化查杀

1.病毒查杀

检查方法:

下载安全软件,更新最新的病毒库,进行全盘扫描。

2.webshell查杀

检查方法:

选在具体站点路径进行webshell查杀,建议使用两款webshall查杀工具同时查杀,可相互补充规则库的不足。

六、日志分析

1.系统日志

分析方法:

a、前提:开启审核策略,若日后系统出现故障、安全事故则可以查看系统的日志文件,排除故障,追查入侵者的信息等。

b、Win+R打开运行,输入eventvwr.msc,回车运行,打开事件查看器。

c、导出应用程序日志、安全日志、系统日志,利用Log Parser进行分析。

2.web访问日志

分析方法:

a、找到中间件的web日志,打包到本地方便进行分析。

b、推荐工具:

  • Windows下,推荐使用EmEditor进行日志分析,支持大文本,搜索效率不错。
  • Linux下,使用Shell命名组合查询分析。

0x02 工具篇

病毒分析

PCHunter: http://www.xuetr.com

火绒剑: https://www.huorong.cn

Process Explorer: https://docs.microsoft.com/zh-cn/sysinternals/downloads/process-explorer

processhacker: https://processhacker.sourceforge.io/downloads.php

autoruns: https://docs.microsoft.com/en-us/sysinternals/downloads/autoruns

OTL: https://www.bleepingcomputer.com/download/otl/

病毒查杀

卡巴斯基(推荐理由:绿色版、最新病毒库): http://devbuilds.kaspersky-labs.com/devbuilds/KVRT/latest/full/KVRT.exe

大蜘蛛(推荐理由:扫描快、一次下载只能用1周,更新病毒库): http://free.drweb.ru/download+cureit+free

火绒安全软件: https://www.huorong.cn

360杀毒: http://sd.360.cn/download_center.html

病毒动态

CVERC-国家计算机病毒应急处理中心: http://www.cverc.org.cn

微步在线威胁情报社区: https://x.threatbook.cn

火绒安全论坛: http://bbs.huorong.cn/forum-59-1.html

爱毒霸社区: http://bbs.duba.net

在线病毒扫描网站

多引擎在线病毒扫描网 v1.02,当前支持 41 款杀毒引擎: http://www.virscan.org

腾讯哈勃分析系统: https://habo.qq.com

Jotti 恶意软件扫描系统: https://virusscan.jotti.org

针对计算机病毒、手机病毒、可疑文件等进行检测分析: http://www.scanvir.com

webshell 查杀

D盾_Web查杀: http://www.d99net.net/index.asp

河马 webshell 查杀: http://www.shellpub.com

深信服 Webshell 网站后门检测工具: http://edr.sangfor.com.cn/backdoor_detection.html

Safe3: http://www.uusec.com/webshell.zip

参考:https://github.com/Lorna-Dane/Blue-Team/blob/main/%E5%BA%94%E6%80%A5/Windows%E5%BA%94%E6%80%A5%E6%93%8D%E4%BD%9C%E6%89%8B%E5%86%8C.md

CATALOG
  1. 1. 如何判断是否被入侵?
    1. 1.1. 一、检查系统账号
      1. 1.1.1. 1.查看服务器是否有弱口令,远程管理端口是否对往公网开放。
      2. 1.1.2. 2.查看服务器是否存在可疑账号、新增账号。
      3. 1.1.3. 3.查看服务器是否存在隐藏账号、克隆账号。
      4. 1.1.4. 4.结合日志,查看管理员登陆时间、用户名是否存在异常。
    2. 1.2. 二、检查异常端口、进程
      1. 1.2.1. 1.检查端口连接情况,是否有远程连接、可疑连接。
      2. 1.2.2. 2.进程
      3. 1.2.3. 3.小技巧
    3. 1.3. 三、检查启动项、计划任务、服务
      1. 1.3.1. 1.检查服务器是否有异常启动项
      2. 1.3.2. 2.检查计划任务
      3. 1.3.3. 3.服务自启动
    4. 1.4.
    5. 1.5. 四、检查系统相关信息
      1. 1.5.1. 1.查看系统版本以及补丁信息
      2. 1.5.2. 2.查找可疑目录及文件
    6. 1.6. 五、自动化查杀
      1. 1.6.1. 1.病毒查杀
      2. 1.6.2. 2.webshell查杀
    7. 1.7. 六、日志分析
      1. 1.7.1. 1.系统日志
      2. 1.7.2. 2.web访问日志
  2. 2. 0x02 工具篇
    1. 2.1. 病毒分析
    2. 2.2. 病毒查杀
    3. 2.3. 病毒动态
    4. 2.4. 在线病毒扫描网站
    5. 2.5. webshell 查杀