码迷,mamicode.com
首页 > 其他好文 > 详细

应急响应&&取证

时间:2019-03-25 01:17:06      阅读:229      评论:0      收藏:0      [点我收藏+]

标签:system   head   文件创建   root用户   系统   删除   隐藏账户   board   clipboard   

查看日志    eventvwr.exe
 
中了勒索病毒
1.查看download目录有没有病毒样本,C:\Users\86132\Downloads
2.查看系统开放端口
3.导出systeminfo
4.导出日志文件 所有的都要导出  wevtutil epl security d:\security.evtx 
5.分析日志文件log parser.exe
    LogParser.exe -i:输入文件格式 -o:输出文件格式 "执行语句">保存到文件
    LogParser.exe -i:evt -o:csv "select * from C:\Users\86132\Desktop\security.evtx">C:\Users\86132\Desktop\security.csv
 
日志ID:
4624(用户登陆成功)
4768、4776(用户账号验证成功)
 
从日志文件中筛选出用户登陆成功,账号验证成功的事件(管理员执行)
wevtutil qe security /q:"Event[System[(EventID=4624 or EventID=4768 or EventID=4776)]]" /f:text /rd:true /c:1 > EvtLogon.dat
 
查看隐藏账户
查看是否有shift后门
查看系统命令是否被替换
查看是否有ssh后门
查看是否存在隐藏的进程
查看是否有计划任务
 
 
crontab -u root -l    查看root用户的计划任务
cat /etc/crontab    查看/etc/crontab  (ubuntu的路径)  
ls -al /etc/cron.*    查看cron文件是否详细变化的信息
ll /var/spool/cron/    查看/var/spool/cron/   /var/spool/cron/ 这个目录下存放的是每个用户包括root的crontab任务,(centos的路径)
                                 tom建的crontab任务对应的文件就是/var/spool/cron/tom
检查系统命令
ls -alt /bin/ | head -n 10 
ls -alt /usr/sbin/ | head -n 10
ls -alt /usr/bin/ | head -n 10
 
top -c 快速查看进程信息,并获取进程文件位置
kill -9 PID     强制杀死进程
 
根据恶意进程,文件特征如:文件名,文件大小,文件创建时间,进行全盘搜索
grep -rni "shell.name"*    根据文件名特征查找
find / -size 122311c    根据文件大小特征查找
find / -mtime 1 -name *    根据文件创建时间查找
cd /proc/PID    进入到进程
cat * |string -n 5 |more    读取该进程内存中的信息
lsof -p PID    查看进程占用信息
lsof -i:5000    查看5000端口的占用情况
netstat -nap    查看不正常端口
lsof -n |grep delete    查找已经删除但是还在使用的文件

应急响应&&取证

标签:system   head   文件创建   root用户   系统   删除   隐藏账户   board   clipboard   

原文地址:https://www.cnblogs.com/kunspace/p/10591465.html

(0)
(0)
   
举报
评论 一句话评论(0
登录后才能评论!
© 2014 mamicode.com 版权所有  联系我们:gaon5@hotmail.com
迷上了代码!