应急响应--网站(web)入侵篡改指南

免责声明:本文... 

目录

被入侵常见现象:

首要任务：

分析思路： 

演示案例:

IIS&.NET-注入-基于时间配合日志分析

Apache&PHP-漏洞-基于漏洞配合日志分析

Tomcat&JSP-弱口令-基于后门配合日志分析 (推荐)

Webshell 查杀-常规后门&内存马-各脚本&各工具

常规后门查杀

内存马查杀

---

被入侵常见现象:

设备告警
网站异常,篡改
cpu,磁盘
--根据现象决定,由谁引起的.网站被入侵:
(各种东西搭建的)通用/特有漏洞

首要任务：

获取当前 WEB 环境的组成架构（语言，数据库，中间件，系统等）

---

对方怎么攻击的
修复安全问题
清理后门(正常/内存马) 

分析思路： 

1、利用 时间节点 筛选日志行为 
2、利用 已知对漏洞 进行特征筛选        
3、利用 后门查杀 进行筛选日志行为 

---

演示案例:

IIS&.NET-注入-基于时间配合日志分析

 IIS&.NET-注入-基于 时间 配合日志分析 (缩小工程量)
背景交代：某公司在某个时间发现网站出现篡改或异常 
应急人员：通过时间节点配合日志分析攻击行为 

查看日志

对IP地址进行全局定位

找到对应的网址,进行摘取数据包,sqlmap自己注入发现有漏洞

--data " "

真实情况下,日志非常大         --分析日志工具?!!

---

Apache&PHP-漏洞-基于漏洞配合日志分析

背景交代：某公司在发现网站出现篡改或异常 
应急人员：通过网站程序利用红队思路排查漏洞，根据漏洞数据包配合日志分析攻击行为 
(按照红队的思路,找漏洞点)
Apache       joomla
--发现漏洞点的指纹,去日志里筛选

---

Tomcat&JSP-弱口令-基于后门配合日志分析 (推荐)

 背景交代：某公司在发现网站出现篡改或异常 
应急人员：在时间和漏洞配合日志没有头绪分析下，可以尝试对后门分析找到攻击行为 

tomcat jsp

---

Webshell 查杀-常规后门&内存马-各脚本&各工具

常规后门查杀

-常规后门查杀： 
1、阿里伏魔 (推荐)(good!!!!!!!!!)
https://ti.aliyun.com/#/webshell 
2、百度 WEBDIR+ 
https://scanner.baidu.com/#/pages/intro 
3、河马 	(推荐)有客户端
https://n.shellpub.com/ 
4、CloudWalker(牧云) 
https://stack.chaitin.com/security-challenge/webshell 
5、在线 webshell 查杀-灭绝师太版 
http://tools.bugscaner.com/killwebshell/ 
6、WebShell Detector WebShell 扫描检测器 
http://www.shelldetector.com/ 
7、D 盾	(效果好) 
http://www.d99net.net 
8、各类杀毒 
火绒，管家，X60，Defender，Nod32 等

---

内存马查杀

-内存马查杀：（后续讲） 
.NET: https://github.com/yzddmr6/ASP.NET-Memshell-Scanner
PHP： 常规后门查杀检测后，中间件重启后删除文件即可
JAVA：河马版本，其他优秀项目    (java最复杂)
其他： 缺乏相关项目

 

---