0x00 前言

当企业发生黑客入侵、系统崩溃或其它影响业务正常运行的安全事件时，急需第一时间进行处理，使企业的网络信息系统在最短时间内恢复正常工作，进一步查找入侵来源，还原入侵事故过程，同时给出解决方案与防范措施，为企业挽回或减少经济损失。

应急响应事件类型介绍

网络攻击事件：

安全扫描攻击：攻击者利用扫描器对目标进行漏洞探测，并在发现漏洞后进一步利用漏洞进行攻击

暴力破解攻击：对目标系统账号密码进行暴力破解，获取后台管理员权限

系统漏洞攻击：利用操作系统，应用系统中存在的漏洞进行攻击

Web漏洞攻击：通过SQL注入漏洞，上传漏洞，XSS漏洞，等各种Web漏洞进行攻击

拒绝服务攻击：通过大流量DDoS或者CC攻击目标，使用目标服务器无法提供正常服务

其他网络攻击行为

恶意程序事件：

病毒，蠕虫：造成系统缓慢，数据损坏，运行异常

远控木马：主机被黑客远程控制

僵尸网络程序：（肉鸡行为）：主机对外发起DDoS攻击，对外发起扫描攻击行为

挖矿程序：造成系统资源大量消耗

Web恶意代码：

Webshell后面：黑客通过Webshell控制主机

网页挂马：页面被植入带病毒的内容，影响访问者安全

网页暗链：网站被注入博彩，色情，游戏等广告内容

信息破坏事件：

系统配置遭篡改：系统中出现异常的服务，进程，启动项，账号等等

数据库内容篡改：业务数据遭到恶意篡改，引起业务异常和损失

信息数据泄露事件：服务器数据，会员账号遭到窃取并泄露

其他安全事件：

账号被异常登录：系统账号在异地登录，可能出现账号密码泄露

支付盗刷

事件处理流程

0x01 入侵排查思路

1.1 检查系统账号安全

1、查看服务器是否有弱口令，远程管理端口是否对公网开放。

检查方法：据实际情况咨询相关服务器管理员。

2、查看服务器是否存在可疑账号、新增账号。

检查方法：打开 cmd 窗口，输入lusrmgr.msc命令，查看是否有新增/可疑的账号，如有管理员群组的（Administrators）里的新增账户，如有，请立即禁用或删除掉。

3、查看服务器是否存在隐藏账号、克隆账号。

检查方法：

a、打开注册表 ，查看管理员对应键值。

b、使用D盾_web查杀工具，集成了对克隆账号检测的功能。

4、结合日志，查看管理员登录时间、用户名是否存在异常。

检查方法：

a、Win+R打开运行，输入“eventvwr.msc”，回车运行，打开“事件查看器”。

b、导出Windows日志--安全，利用Log Parser进行分析。

1.2 检查异常端口、进程

1、检查端口连接情况，是否有远程连接、可疑连接。

检查方法：

a、netstat -ano 查看目前的网络连接，定位可疑的ESTABLISHED

b、根据netstat 定位出的pid，再通过tasklist命令进行进程定位 tasklist | findstr “PID”

2、进程

检查方法：

a、开始--运行--输入msinfo32，依次点击“软件环境→正在运行任务”就可以查看到进程的详细信息，比如进程路径、进程ID、文件创建日期、启动时间等。

b、打开D盾_web查杀工具，进程查看，关注没有签名信息的进程。

c、通过微软官方提供的 Process Explorer 等工具进行排查 。

d、查看可疑的进程及其子进程。可以通过观察以下内容：

      没有签名验证信息的进程

      没有描述信息的进程

      进程的属主

      进程的路径是否合法

      CPU或内存资源占用长时间过高的进程

3、小技巧：

​ a、查看端口对应的PID： netstat -ano | findstr “port”

​ b、查看进程对应的PID：任务管理器--查看--选择列--PID 或者 tasklist | findstr “PID”

​ c、查看进程对应的程序位置：

​ 任务管理器--选择对应进程--右键打开文件位置

​ 运行输入 wmic，cmd界面 输入 process

​ d、tasklist /svc 进程--PID--服务

​ e、查看Windows服务所对应的端口： ​ %system%/system32/drivers/etc/services（一般%system%就是C:\Windows）

1.3 检查启动项、计划任务、服务

1、检查服务器是否有异常的启动项。

检查方法：

a、登录服务器，单击【开始】>【所有程序】>【启动】，默认情况下此目录在是一个空目录，确认是否有非业务程序在该目录下。 

b、单击开始菜单 >【运行】，输入 msconfig，查看是否存在命名异常的启动项目，是则取消勾选命名异常的启动项目，并到命令中显示的路径删除文件。

 c、单击【开始】>【运行】，输入 regedit，打开注册表，查看开机启动项是否正常，特别注意如下三个注册表项： HKEY_CURRENT_USER\software\micorsoft\windows\currentversion\run HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Runonce 检查右侧是否有启动异常的项目，如有请删除，并建议安装杀毒软件进行病毒查杀，清除残留病毒或木马。

d、利用安全软件查看启动项、开机时间管理等。

e、组策略，运行gpedit.msc。

2、检查计划任务

检查方法：

a、单击【开始】>【设置】>【控制面板】>【任务计划】，查看计划任务属性，便可以发现木马文件的路径。

b、单击【开始】>【运行】；输入 cmd，然后输入at，检查计算机与网络上的其它计算机之间的会话或计划任务，如有，则确认是否为正常连接。

3、服务自启动

检查方法：单击【开始】>【运行】，输入services.msc，注意服务状态和启动类型，检查是否有异常服务。

1.4 检查系统相关信息

1、查看系统版本以及补丁信息

检查方法：单击【开始】>【运行】，输入systeminfo，查看系统信息

2、查找可疑目录及文件

检查方法：

a、 查看用户目录，新建账号会在这个目录生成一个用户目录，查看是否有新建用户目录。

​ Window 2003 C:\Documents and Settings

​ Window 2008R2 C:\Users\

b、单击【开始】>【运行】，输入%UserProfile%\Recent，分析最近打开分析可疑文件。

c、在服务器各个目录，可根据文件夹内文件列表时间进行排序，查找可疑文件。

d、回收站、浏览器下载目录、浏览器历史记录

e、修改时间在创建时间之前的为可疑文件

3、得到发现WEBSHELL、远控木马的创建时间，如何找出同一时间范围内创建的文件？

​ a、利用 Registry Workshop 注册表编辑器的搜索功能，可以找到最后写入时间区间的文件。

​ b、利用计算机自带文件搜索功能，指定修改时间进行搜索。

1.5 自动化查杀

病毒查杀

检查方法：下载安全软件，更新最新病毒库，进行全盘扫描。

webshell查杀

检查方法：选择具体站点路径进行webshell查杀，建议使用两款webshell查杀工具同时查杀，可相互补充规则库的不足。

1.6 日志分析

系统日志

分析方法：

a、前提：开启审核策略，若日后系统出现故障、安全事故则可以查看系统的日志文件，排除故障，追查入侵者的信息等。

b、Win+R打开运行，输入“eventvwr.msc”，回车运行，打开“事件查看器”。

C、导出应用程序日志、安全日志、系统日志，利用Log Parser进行分析。

WEB访问日志

分析方法：

a、找到中间件的web日志，打包到本地方便进行分析。

b、推荐工具：Window下，推荐用 EmEditor 进行日志分析，支持大文本，搜索效率还不错。

​ Linux下，使用Shell命令组合查询分析

0x02 工具篇

2.1 病毒分析

PCHunter：http://www.xuetr.com

火绒剑：https://www.huorong.cn

Process Explorer：https://docs.microsoft.com/zh-cn/sysinternals/downloads/process-explorer

processhacker：https://processhacker.sourceforge.io/downloads.php

autoruns：https://docs.microsoft.com/en-us/sysinternals/downloads/autoruns

OTL：https://www.bleepingcomputer.com/download/otl/

SysInspector：http://download.eset.com.cn/download/detail/?product=sysinspector

2.2 病毒查杀

卡巴斯基：http://devbuilds.kaspersky-labs.com/devbuilds/KVRT/latest/full/KVRT.exe （推荐理由：绿色版、最新病毒库）

大蜘蛛：http://free.drweb.ru/download+cureit+free（推荐理由：扫描快、一次下载只能用1周，更新病毒库）

火绒安全软件：https://www.huorong.cn

360杀毒：http://sd.360.cn/download_center.html

2.3 病毒动态

CVERC-国家计算机病毒应急处理中心：http://www.cverc.org.cn

微步在线威胁情报社区：https://x.threatbook.cn

火绒安全论坛：http://bbs.huorong.cn/forum-59-1.html

爱毒霸社区：http://bbs.duba.net

腾讯电脑管家：http://bbs.guanjia.qq.com/forum-2-1.html

2.4 在线病毒扫描网站

http://www.virscan.org //多引擎在线病毒扫描网 v1.02，当前支持 41 款杀毒引擎

https://habo.qq.com //腾讯哈勃分析系统

https://virusscan.jotti.org //Jotti恶意软件扫描系统

http://www.scanvir.com //针对计算机病毒、手机病毒、可疑文件等进行检测分析

2.5 webshell查杀

D盾_Web查杀：http://www.d99net.net/index.asp

河马webshell查杀：http://www.shellpub.com

深信服Webshell网站后门检测工具：http://edr.sangfor.com.cn/backdoor_detection.html

Safe3：http://www.uusec.com/webshell.zip

推荐：https://bypass007.github.io/Emergency-Response-Notes/Summary/%E7%AC%AC1%E7%AF%87%EF%BC%9AWindow%E5%85%A5%E4%BE%B5%E6%8E%92%E6%9F%A5.html

0x03 补充篇

系统状态排查  查看CPU 内存 网络占有率

文件分析

临时文件  黑客往往可能将病毒放在临时目录，或者将病毒相关文件释放到临时目录，因此需要检查临时目录是否存在异常文件。

    假设系统盘在C盘，则通常情况下的临时目录如下：

    C:\Users\\shit\Local Settings\Temp

    C:\Documents and Settings\\shit\Local Settings\Temp

    C:\Users\\shit\桌面

    C:\Documents and Settings\\shit\桌面

    C:\Users\\shit\Local Settings\Temporary Internet Files

    C:\Documents and Settings\\shit\Local Settings\Temporary Internet Files

浏览器相对文件  黑客可能通过浏览器下载恶意文件，或者盗取用户信息，因此需要检查下浏览器的历史访问记录，文件下载记录，cookie信息，对应相关文件目录如下：

    C:\Users\\shit\Cookies

    C:\Documents and Settings\\shit\Cookies

    C:\Users\\shit\Local Settings\History

    C:\Documents and Settings\\shit\Local Settings\History

    C:\Users\\shit\Local Settings\Temporary Internet Files

    C:\Documents and Settings\\shit\Local Settings\Temporary Internet Files

最近文件  检查下最近打开了哪些文件，可疑文件有可能就在最近打开的文件中，打开一下这些目录即可看到：

    C:\Users\\shit\Recent

    C:\Document and Settings\shit\Recent

文件修改时间  可以根据文件夹内文件列表时间进行排序，查找可疑文件，一般情况下，修改时间越近的文件越可疑

system32和hosts文件

    System32也是常见的病毒释放目录，因此也要检查下改目录，hosts文件是系统配置文件，用于本地DNS查询的域名设置，可以强制将某个域名对应到某个IP上，因此需要检查hosts文件有没有被黑客恶意篡改

    这里以hosts文件为例，如上图，检查3种异常：

    1.知名站点，检查对应IP是否真的归属该站点，防止”钓鱼“

    2.未知站点，检查该域名和IP是否恶意

    3.无法访问的安全站点，即IP是否指向127.0.0.1 0.0.0.0等本地地址，无效地址

网络连接

使用命令 netstat -ano 查看当前的网络连接，排查可疑的服务，端口，外连的IP

如发现netstat定位出的pid有问题，可再通过tasklist命令进一步追踪该可疑程序(tasklist | findstr PID)

流量分析

流量分析可以使用wireshark 主要分析下当前主机访问了哪些域名，URL，服务，或者有哪些外网IP在访问本地主机的哪些端口，服务和目录，又使用了何种协议等等

    例如：使用了Wireshark观察到，主机访问了sjb555.3322.org 这种动态域名，即可粗略猜测这是一个C&C服务器

漏洞与补丁信息

使用命令systeminfo ,查看系统版本信息以及补丁信息，确认当前系统是否存在漏洞，是否以及打了相应的补丁

进程分析

    进程名字异常

    进程信息分析

启动项排查

    攻击者为了保持病毒能够开机启动，登录启动或者定时启动，通常会有相应的启动项，这里有个非常好的工具，Autoruns（www.sysinternals.com)

用户排查

net user

Tips

删除guest用户

按键 "win + r" 输入regedit打开注册表；

展开 "HKEY_LOCAL_MACHINE\SAM\SAM", 右键 "权限"；设置管理员完全控制权限

关闭注册表，重新打开

"HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\Names\Guest"

将注册表对应的类似"0x2f3", 进行删除

"HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\000002f3"和

"HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\Names\Guest"这两个键即可

常用的工具和命令

Webshell查杀

    D盾

    深信服WebShellkiller

    CloudWalker（牧云）

木马病毒类查杀

    ClamAV

    RKHunter

    Chkrootkit

进程分析

    火绒剑

流量分析

    Wireshark

    Tcpdump

启动项分析

    Autoruns

其他辅助工具

    IP分析

    超级文件监控工具V1.0