应急响应

一、应急响应概述#

1.1 什么是应急响应？#

当企业发生黑客入侵、系统崩溃或其它影响业务正常运行的安全事件时，第一时间进行处理，使系统在最短时间内恢复正常，进一步查找入侵来源，还原入侵事故过程，给出解决方案与防范措施。

1.2 入侵排查总体思路#

排查方向	检查内容
账号安全	可疑账号、隐藏账号、克隆账号
异常连接	可疑端口、外连IP、定期回连
异常进程	CPU/IO过高、无签名、无描述
启动项	开机自启、计划任务、服务
系统信息	补丁、可疑文件、文件时间
日志分析	安全日志、Web日志

二、Windows 入侵排查#

2.1 检查系统账号安全#

查看账号#

1
# 查看本地用户和组
2
lusrmgr.msc
3

4
# 检查管理员组是否有新增账户
5
net localgroup administrators

检查隐藏账号/克隆账号#

注册表路径：

1
HKEY_LOCAL_MACHINE\SAM\SAM

⚠️ 需要给 Administrator 用户赋予 SAM 完全控制和读取权限

操作步骤：

导出隐藏账号对应的注册表项（两个 .reg 文件）
删除可疑用户：net user hacker* /del
导入之前导出的 .reg 文件恢复

工具： D盾_Web查杀（集成克隆账号检测功能）

查看登录日志#

1
eventvwr.msc

2.2 检查异常连接和进程#

网络连接#

1
# 查看所有网络连接
2
netstat -ano
3

4
# 查找特定端口
5
netstat -ano | findstr "4444"
6

7
# 根据 PID 定位进程
8
tasklist | findstr "PID"

检查进程#

方法：

运行 msinfo32 → 软件环境 → 正在运行任务（查看进程路径、PID、创建日期、启动时间）
使用 resmon（资源监视器）
使用 Process Explorer（微软官方工具）
使用 D盾_Web查杀 查看无签名进程

可疑进程特征：

CPU/IO 占用过高
无签名验证信息
无描述信息
路径异常
属主异常

2.3 检查启动项、计划任务、服务#

启动项#

1
# 运行 msconfig，查看启动项（老版本）
2
msconfig
3

4
# 注册表启动项位置
5
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
6
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
7
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce
8

9
# 启动目录
10
C:\Users\用户名\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup

推荐工具： Autoruns（微软 Sysinternals 工具集）

计划任务#

1
# 查看计划任务
2
schtasks
3
# 或
4
at

路径： 控制面板 → 任务计划

服务#

1
services.msc

检查服务状态和启动类型，注意异常服务。

2.4 Windows 关键安全事件 ID#

事件ID	安全级别	类别	说明
4624	高	登录	登录成功（需结合登录类型分析）
4625	高	登录	登录失败（暴力破解检测）
4672	高	权限	特权登录（管理员权限）
4688	高	进程	进程创建（需开启命令行审计）
4104	高	脚本	PowerShell 脚本块记录
1102	严重	防御	安全日志被清除（告警！）
7045	高	持久化	新服务安装
4698	高	持久化	计划任务创建
4720	中	账户	用户账户创建
4726	中	账户	用户账户删除
4732	中	权限	成员添加到本地组
4719	高	策略	系统审计策略变更
5140	中	横向	网络共享访问

登录类型#

类型	说明
2	交互式登录（本地登录）
3	网络登录（共享文件夹、远程桌面）
4	批处理（计划任务启动）
5	服务启动
7	解锁（屏保解锁）
8	网络明文（FTP 等）
9	新凭证（RUNAS /netonly）
10	远程交互（RDP）
11	缓存交互（无域控时）

日志筛选方式#

1
# 常规：事件查看器图形界面
2
eventvwr.msc
3

4
# XML 筛选
5
# 例：筛选 EventID=4625 且 LogonType=3
6

7
# 命令筛选
8
wevtutil qe Security /q:"*[System[(EventID=4625)]] and *[EventData[(Data[@Name='LogonType']=3)]]"

2.5 工具推荐#

工具	用途
Process Explorer	进程排查
Process Monitor	进程监控
Autoruns	启动项排查
D盾_Web查杀	进程、克隆账号、Webshell
火绒	病毒查杀
卡巴斯基 KVRT	绿色版病毒查杀
大蜘蛛	扫描快

三、Linux 入侵排查#

3.1 账号安全#

用户信息文件#

1
# 用户信息 /etc/passwd
2
# 格式：用户名:密码:UID:GID:描述:家目录:Shell
3

4
# 查看特权用户（UID=0，只有 root 应为 0）
5
awk -F: '($3==0){print $1}' /etc/passwd
6

7
# 查看空密码用户
8
awk -F: '($2==""){print $1}' /etc/shadow
9

10
# 查看可远程登录的用户
11
awk '/\$1|\$6/{print $1}' /etc/shadow
12

13
# 查看有 sudo 权限的普通用户
14
more /etc/sudoers | grep -v "^#" | grep -v "^$" | grep "ALL=(ALL"
15

16
# 禁用/删除用户
17
usermod -L user      # 禁用账号（shadow 第二栏为 !）
18
userdel user         # 删除用户
19
userdel -r user      # 删除用户及家目录

shadow 密码加密类型：

类型	加密算法
$1$	MD5
$2a$	Blowfish
$5$	SHA-256
$6$	SHA-512

3.2 历史命令#

1
# 查看历史命令
2
history
3

4
# 查看用户历史命令文件
5
cat /home/用户名/.bash_history
6

7
# 清除历史（仅清除内存，需手动删除文件）
8
history -c

增强历史记录（记录时间/登录IP）： 在 /etc/profile 添加：

1
USER_IP=`who -u am i 2>/dev/null | awk '{print $NF}' | sed -e 's/[()]//g'`
2
if [ "$USER_IP" = "" ]; then
3
    USER_IP=`hostname`
4
fi
5
export HISTTIMEFORMAT="%F %T $USER_IP `whoami` "
6
export PROMPT_COMMAND="history -a"

3.3 检查网络连接#

1
# 查看连接状态
2
netstat -antlp | more
3
ss -antlp | more
4

5
# 查看进程路径
6
ls -l /proc/<PID>/exe
7
file /proc/<PID>/exe
8
cat /proc/<PID>/cmdline

3.4 检查进程#

1
ps aux | grep <PID>
2
ps -elf | grep <PID>

3.5 检查启动项#

路径/文件	说明
`~/.profile`	用户级配置
`~/.bashrc`	用户级 bash 配置
`/etc/profile`	系统级配置
`/etc/rc.local`	开机自启脚本
`/etc/rc.d/rc[0~6].d/`	运行级别启动目录
`/etc/cron*`	定时任务目录

运行级别：

级别	说明
0	关机
1	单用户模式（修复）
2	不完全命令行（无NFS）
3	完全命令行
4	保留
5	图形模式
6	重启

3.6 检查定时任务#

1
# 查看当前用户定时任务
2
crontab -l
3

4
# 查看 root 定时任务
5
crontab -l -u root
6

7
# 定时任务文件位置
8
/var/spool/cron/*           # 用户定时任务
9
/etc/crontab                 # 系统定时任务
10
/etc/cron.d/*                # 额外定时任务
11
/etc/cron.daily/*            # 每日任务
12
/etc/cron.hourly/*           # 每小时任务
13
/etc/cron.monthly/*          # 每月任务
14
/etc/cron.weekly/*           # 每周任务
15
/etc/anacrontab              # 异步定时任务
16
/var/spool/anacron/*         # anacron 数据

3.7 检查服务#

1
# systemd（新系统）
2
systemctl list-units --type=service          # 列出所有服务
3
systemctl list-units --type=service --state=running   # 运行中服务
4
systemctl list-unit-files --type=service --state=enabled   # 已启用服务
5

6
# sysvinit（老系统）
7
chkconfig --list          # 查看服务自启动状态
8
chkconfig --level 2345 httpd on   # 设置自启动

3.8 检查异常文件#

1
# 查找最近修改的文件
2
find / -type f -newermt "2024-05-19" ! -newermt "2024-05-22"
3

4
# 查找一天前访问过的文件
5
find / -iname "*" -mtime 1 -type f
6

7
# 查看文件状态（创建/修改/访问时间）
8
stat <文件名>
9

10
# 查看敏感目录
11
ls -la /tmp
12
ls -la /var/tmp

3.9 Linux 系统日志#

日志文件	说明
`/var/log/messages`	系统重要日志（优先检查）
`/var/log/auth.log` (Debian) 或 `/var/log/secure` (RHEL)	认证日志（SSH、su、sudo）
`/var/log/cron`	定时任务日志
`/var/log/btmp`	错误登录日志（`lastb` 查看）
`/var/log/lastlog`	最后登录时间（`lastlog` 查看）
`/var/log/wtmp`	所有登录/注销记录（`last` 查看）
`/var/log/utmp`	当前登录用户（`w`、`who`、`users`）

注意： 二进制日志文件需用专用命令查看：lastb、lastlog、last、w、who、users

日志分析命令#

1
# 查看爆破 root 的 IP
2
grep "Failed password for root" /var/log/auth.log | awk '{print $11}' | sort | uniq -c | sort -nr | more
3

4
# 查看所有爆破 IP
5
grep "Failed password" /var/log/auth.log | grep -E -o "([0-9]{1,3}\.){3}[0-9]{1,3}" | uniq -c | sort -nr
6

7
# 查看登录成功的 IP
8
grep "Accepted " /var/log/auth.log | awk '{print $11}' | sort | uniq -c | sort -nr | more
9

10
# 查看添加用户记录
11
grep "useradd" /var/log/auth.log
12

13
# 查看删除用户记录
14
grep "userdel" /var/log/auth.log
15

16
# 查看 su 切换
17
grep "su" /var/log/auth.log
18

19
# 查看 sudo 授权执行
20
grep "sudo" /var/log/auth.log

3.10 Rootkit 查杀#

chkrootkit：

1
wget ftp://ftp.pangeia.com.br/pub/seg/pac/chkrootkit.tar.gz
2
tar zxvf chkrootkit.tar.gz
3
cd chkrootkit-0.52
4
make sense
5
./chkrootkit

rkhunter：

1
wget https://nchc.dl.sourceforge.net/project/rkhunter/rkhunter/1.4.4/rkhunter-1.4.4.tar.gz
2
tar -zxvf rkhunter-1.4.4.tar.gz
3
cd rkhunter-1.4.4
4
./installer.sh --install
5
rkhunter -c

3.11 病毒查杀#

ClamAV：

1
# 更新病毒库
2
freshclam
3

4
# 扫描目录
5
clamscan -r /etc --max-dir-recursion=5 -l /root/etcclamav.log
6
clamscan -r /bin -l /root/binclamav.log
7

8
# 扫描并清除
9
clamscan -r --remove /usr/bin/bsd-port

3.12 Linux 安全检查脚本#

项目	地址
GSCan	https://github.com/graydda/GSCan
linux安全检查脚本	https://github.com/T0xst/linux

四、Webshell 查杀#

工具	地址
D盾_Web查杀	http://www.d99net.net
河马 webshell 查杀	http://www.shellpub.com
VirusTotal	https://www.virustotal.com

无工具手工排查#

1
# Linux：使用 diff 对比
2
diff -r 正常目录 可疑目录
3

4
# Windows：使用文件搜索功能（F3）
5
# 查找最近修改的文件
6
# 查找 .php/.asp/.jsp 等脚本文件中的可疑代码

📌 快速命令卡片#

1
# Linux 快速排查
2
awk -F: '($3==0){print $1}' /etc/passwd              # 特权用户
3
awk -F: '($2==""){print $1}' /etc/shadow             # 空密码用户
4
grep "Failed password" /var/log/auth.log | wc -l     # 爆破次数
5
grep "Accepted" /var/log/auth.log                    # 登录成功
6
netstat -antlp | grep ESTABLISHED                    # 异常连接
7
ps aux --sort=-%cpu | head -20                       # CPU占用前20
8
crontab -l                                          # 定时任务
9
ls -la /tmp                                          # 临时目录
10
find / -newermt "2024-01-01" ! -newermt "2024-01-02" # 指定时间文件
11
# Windows 快速排查
12
lusrmgr.msc
13
eventvwr.msc
14
netstat -ano
15
tasklist | findstr "PID"
16
msinfo32
17
regedit
18
msconfig
19
services.msc

音乐