当前位置：首页 > 软件开发 > net
firefox

网站被入侵之后 需要做的检测

修改密码，重启。进入系统后第一步升级帐户，在administrators组多了一个 hud$的用户，将其删除。再看guest用户虽然禁用状态，但是说明内容不对了，仔细一看也被加入administrators组，同样删除。接着看了下其他用户、组别都正常，把远程连接权限都去掉后，帐号方面算是处理完了。

　　接着看看各个硬盘

　　c:\下面有如下文件

　　sqlhello.exe

　　sqlhello2.exe

　　result.txt

　　1.bat

　　2.bat

　　编辑了下1.bat，里面内容都是扫描整个网段。看来是有人拿这台机器当跳板了，移动所有文件到其他目录。

　　接着审计应用程序，考虑这台机器的用途和环境是windows2000+iis+serv-u。

　　检查serv-u

　　先看serv-u审计用户，看看有没有别人加system权限的ftp用户，查看后未发现异常。

　　执行权限也没有，锁定目录状态都是对的。

　　看了下没有记录日志。

　　检查serv-u版本，发现竟然使用的是5.0.0.4版。看来ftp是被入侵的第一步，先升级到6.1。

　　ftp这里应该没什么问题了。

　　iis方面的分析:

　　日志记录功能是打开的，等会儿分析日志

　　继续看，其他都是默认配置，先在应用程序映射里把所有的文件类型都删除干净只保留.asp和.asa

　　审计文件权限

　　设定各个分区和目录的权限。

　　接着审查木马情况，由于系统不能重装，所以只能加固原有已经被入侵的系统，考虑到这个入侵者添加的用户的情况以及在c根目录放文件还有日志都是开放等等情况，估计水平不会很高，也不会植入自己编写的木马。

　　使用了朋友thrkdev编的ate来查了一遍，看来没有已知木马。

　　接着查找webshell，考虑到入侵者水平，最多也就用用海阳，而且最多也就把部分版权信息去掉，搜索所有内容包含lcx的.asp文件。

　　果然，4个文件。

　　2005.asp

　　ok.asp

　　dvbbs7.asp

　　aki.asp

　　看来分析还是比较准确的，除了dvbbs7.asp有点创意，移动这些文件到其他目录，供以后审计用。

　　然后是网络部分

　　tcp过滤未开，ipsec未指派。

　　先把netbios关掉，然后tcp内只允许20,21,80,3389

　　考虑到反向木马的可能性

　　在ipsec内打开本机sport 20,21,80,3389到外部任意端口，其他从内部往外的一律屏蔽。

　　系统萃取，把一些无关服务与软件关闭或者卸载。对系统进行补丁升级，还好补丁还是没有缺，把自动update设置到自动安装。

　　最后一步是分析日志，看看有没有遗漏的地方，系统本身的日志都被关闭了。看来入侵者还是比较小心。

　　打开该审计的部分，在关键目录，比如系统目录加上了审计，使得所有对c:\winnt的创建文件的成功与失败都记录在日志内。

　　由于前面提到serv-u日志原来并未记录，只能打开iis日志查找对于找到的4个webshell的访问情况，找到了访问的ip，回查，来自一个固定ip地址，浏览了一下，得到信息后给对方管理员去邮件通知他们做好安全工作。

　　一些部分内容应该做而限于有些条件没有做的:

　　1.更换系统默认用户用户名

　　因为兄弟他们对计算机不熟，就没有更换，不过要求他们使用更加强壮的密码了

　　2.对于加密的webshell的查找

　　上述内容中对于webshell只查找了一种，并且只针对明文编码的页面程序进行了查找，应该是可以加入对于编码后asp webshell的搜索。

　　还有搜索内容应该由简单的lcx扩展到wscript.shell等更加广泛与匹配的关键词的查找

　　3.对于木马的查找

　　由于预估入侵者水平不高，所以这项只依靠杀木马软件进行了搜索，如果有时间的话，还是应该手工进行查找

　　4.对页面程序进行评估

　　也有由于时间关系，没时间对原有网站程序进行检查。

　　5.入侵测试

　　由于入侵检测很可能被入侵者的思路带着走而忽略了其他薄弱环节。

　　所以检测完毕应该最好进行完全的测试，保证其他路径是同样强壮的。

（）

 ↓相关文章：
© 2006-2008 All Rights Reserved