[会员中心]  [发布文章][发布软件]  [中文繁體]

文章·资料  电脑软件  手机软件  网站源码 电脑·手机·网络学习话题娱乐故事 文化·历史国学典籍法律法规 操作系统网络办公·文件音频视频图形图像 硬件·驱动程序行业教学学习编程游戏 安卓苹果鸿蒙 其他 ASPASP.NETJSPPHP HTML·CSS·JavaScript

本 站 搜 索 文章 软件 [选项] 文章类别： [全部]电脑·手机·网络话题故事文化·历史娱乐学习法律·法规国学典籍 搜索选项： 文章编号 文章标题 文章作者 文章来源 相关链接 关键字词 文章标签 文章内容 软件类别： [全部]操作系统网络办公·文件音频视频图形图像行业编程教学学习游戏硬件·驱动程序安卓系统苹果系统鸿蒙系统其他系统HTML·CSS·JavaScriptASPJSPPHPASP.NET 搜索选项： 软件编号 软件名称 软件作者 软件来源 相关链接 关键字词 软件标签 软件简介

发 送 文 章 实例讲解网站被入侵后需做的检测 〖评论()〗〖留言〗〖收藏〗  收信地址 填写收信人的电子邮箱 邮件主题 填写邮件主题 邮件内容 先分析入侵者都做了些什么！ 记得为了方便在他机器上装了RADMIN，登录了一下，密码也不对了，看来是有人上去了，而且入侵者还拿到了系统管理员权限。 跑到机房，拿出ERDCOMMANDER，改了密码，重启，进入系统后第一步升级帐户，多了一个hud$的用户，administrators组，删除，再看guest用户虽然禁用状态，但是说明内容不对了。仔细一看，administrators组，同样删除。接着看了下其他用户，组别都正常，把远程连接权限都去掉后，帐号方面算是处理完了。 接着看看各个硬盘C:\下面有如下文件 qlhello.exe qlhello2.exe result.txt 1.bat 2.bat 编辑了下1.bat，里面内容都是扫描整个网段。看来是有人拿这台机器当跳板了，移动所有文件到其他目录。 接着审计应用程序，考虑这台机器的用途和环境。 是WINDOWS2000+IIS+SERV-U 先看SERV-U审计用户，看看有没有别人加system权限的FTP用户，查看下来没有。 执行权限也没有，锁定目录状态都是对的。 看了下没有记录日志。 然后看了版本。 5.0.0.4...ft了，早让他升级，就是不升，看来是被入侵的第一步，先升级到6.0.0.2 FTP这里应该没什么问题了。 IIS方面的分析： 开着日志记录，太好了，等会儿分析日志 继续看，其他都是默认配置，先在应用程序映射里把所有的文件类型都删除干净只保留.ASP和.ASA 审计文件权限 设定各个分区和目录的权限。 接着审查木马情况，由于系统不能重装，所以只能加固原有已经被入侵的系统，考虑到这个入侵者添加的用户的情况以及在C根目录放文件还有日志都是开放等等情况，估计水平不会很高，也不会植入自己编写的木马。 使用了朋友thrkdev编的ATE来查了一遍，看来没有已知木马。 接着查找WEBSHELL，考虑到入侵者水平，最多也就用用海阳，而且最多也就把部分版权信息去掉，搜索所有内容包含lcx的.ASP文件。 果然，4个文件。 2005.asp ok.asp dvbbs7.asp aki.asp 看来分析还是比较准确的，除了dvbbs7.asp有点创意，移动这些文件到其他目录，供以后审计用。 然后是网络部分 TCP过滤未开，IPSEC未指派。 先把NETBIOS关掉，然后TCP内只允许20,21,80,3389 考虑到反向木马的可能性 在IPSEC内打开本机SPORT20,21,80,3389到外部任意端口，其他从内部往外的一律屏蔽。 系统萃取，把一些无关服务与软件关闭或者卸载。 对系统进行补丁升级，还好补丁还是没有缺，把自动UPDATE设置到自动安装。 最后一步是分析日志，看看有没有遗漏的地方，系统本身的日志都被关闭了。看来入侵者还是比较小心。 打开该审计的部分，在关键目录，比如系统目录加上了审计，使得所有对C:\WINNT的创建文件的成功与失败都记录在日志内。 由于前面提到SERV-U日志原来并未记录，只能打开IIS日志查找对于找到的4个WEBSHELL的访问情况，找到了访问的IP，回查，来自一个固定IP地址，浏览了一下，得到信息后给对方管理员去邮件通知他们做好安全工作。 其实还有一些部分内容应该做而限于有些条件没有做的。 1.更换系统默认用户用户名 因为兄弟他们对计算机不熟，就没有更换，不过要求他们使用更加强壮的密码了 2.对于加密的webshell的查找 上述内容中对于WEBSHELL只查找了一种，并且只针对明文编码的页面程序进行了查找，应该是可以加入对于编码后ASPWEBSHELL的搜索。 还有搜索内容应该由简单的LCX扩展到wscript.shell等更加广泛与匹配的关键词的查找 3.对于木马的查找 由于预估入侵者水平不高，所以这项只依靠杀木马软件进行了搜索，如果有时间的话，还是应该手工进行查找 4.对页面程序进行评估 也有由于时间关系，没时间对原有网站程序进行检查。 5.入侵测试 由于入侵检测很可能被入侵者的思路带着走而忽略了其他薄弱环节。 所以检测完毕应该最好进行完全的测试，保证其他路径是同样强壮的。<br /><br />文章网址：<a href="https://dangbai.cn/Article.asp?ID=10000990" target="_blank">https://dangbai.cn/Article.asp?ID=10000990</a> 填写邮件内容 发信地址 填写发信人的电子邮箱 邮件签名 填写邮件签名  验证码   填写验证码，单击刷新验证码    程序执行中，请稍候... 发送协议 ·欢迎使用本站在线文章发送系统。 ·不得使用本站在线发送邮件系统发送垃圾邮件、广告邮件。 ·如果收信人地址或其服务器出现错误，可能无法成功发送。 ·如果有什么问题，或者意见建议，请联系［网站管理员］。

当百网   本站使用【啊估文章软件站】网站系统    〖网站管理员留言簿〗