| 网站被入侵后需做的检测 |
|
作者：网络 文章来源：转载 点击数： 更新时间：2006-1-20  |
| [ 字体：缩小 正常 放大 | 双击自动滚屏 ] |
请选择合适的字体颜色：
|
|
先分析入侵者都做了些什么！
记得为了方便在他机器上装了RADMIN.登陆了一下.密码也不对了.看来是有人上去了.而且入侵者还拿到了系统管理员权限
跑到机房.拿出ERD COMMANDER.改了密码.重启，进入系统后第一步升级帐户.多了一个hud$的用户.administrators组.删除，再看guest用户虽然禁用状态,但是说明内容不对了.仔细一看.administrators组.同样删除。接着看了下其他用户.组别都正常.把远程连接权限都去掉后.帐号方面算是处理完了.
接着看看各个硬盘C:\下面有如下文件
sqlhello.exe
sqlhello2.exe
result.txt
1.bat
2.bat
编辑了下1.bat,里面内容都是扫描整个网段.看来是有人拿这台机器当跳板了.移动所有文件到其他目录.
接着审计应用程序，考虑这台机器的用途和环境
是WINDOWS2000+IIS+SERV-U
先看SERV-U审计用户.看看有没有别人加system权限的FTP用户.查看下来没有.
执行权限也没有.锁定目录状态都是对的.
看了下没有记录日志.
然后看了版本.
5.0.0.4...ft了.早让他升级.就是不升.看来是被入侵的第一步.先升级到6.0.0.2
FTP这里应该没什么问题了.
IIS方面的分析：
开着日志记录.太好了.等会儿分析日志
继续看.其他都是默认配置.先在应用程序映射里把所有的文件类型都删除干净只保留.ASP和.ASA
审计文件权限
设定各个分区和目录的权限.
接着审查木马情况.由于系统不能重装.所以只能加固原有已经被入侵的系统，考虑到这个入侵者添加的用户的情况以及在C根目录放文件还有日志都是开放等等情况，估计水平不会很高.也不会植入自己编写的木马.
使用了朋友thrkdev编的ATE来查了一遍.看来没有已知木马.
接着查找WEBSHELL，考虑到入侵者水平.最多也就用用海阳.而且最多也就把部分版权信息去掉，搜索所有内容包含lcx的.ASP文件.
果然.4个文件.
2005.asp
ok.asp
dvbbs7.asp
aki.asp
看来分析还是比较准确的.除了dvbbs7.asp有点创意，移动这些文件到其他目录.供以后审计用.
然后是网络部分
TCP过滤未开.IPSEC未指派.
先把NETBIOS关掉.然后TCP内只允许20,21,80,3389
考虑到反向木马的可能性
在IPSEC内打开本机SPORT 20,21,80,3389到外部任意端口.其他从内部往外的一律屏蔽.
系统萃取.把一些无关服务与软件关闭或者卸载.
对系统进行补丁升级.还好补丁还是没有缺.把自动UPDATE设置到自动安装. [1] [2] 下一页
|
|
| 文章录入：54iter 责任编辑：54iter |
上一篇文章： 局域网内如何防止ARP欺骗
下一篇文章： 完美关闭窗口JS |
| 【发表评论】【加入收藏】【告诉好友】【打印此文】【关闭窗口】 |
