网站被入侵后需做的检测.docVIP

网站被入侵后需做的检测网站被入侵后需做的检测　　分析入侵者都做了些什么！ 　　记得为了方便在他机器上装了RADMIN.登陆了一下.密码也不对了.看来是有人上去了.而且入侵者还拿到了系统管理员权限 　　跑到机房.拿出ERD COMMANDER.改了密码.重启，进入系统后第一步升级帐户.多了一个hud$的用户.administrators组.删除，再看guest用户虽然禁用状态,但是说明内容不对了.仔细一看.administrators组.同样删除。接着看了下其他用户.组别都正常.把远程连接权限都去掉后.帐号方面算是处理完了. 　　接着看看各个硬盘C:下面有如下文件 　　sqlhello.exe 　　sqlhello2.exe 　　result.txt 　　1.bat 　　2.bat 　　编辑了下1.bat,里面内容都是扫描整个网段.看来是有人拿这台机器当跳板了.移动所有文件到其他目录. 　　接着审计应用程序，考虑这台机器的用途和环境 　　是WINDOWS2000+IIS+SERV-U 　　先看SERV-U审计用户.看看有没有别人加system权限的FTP用户.查看下来没有. 　　执行权限也没有.锁定目录状态都是对的. 　　看了下没有记录日志. 　　然后看了版本. 　　...ft了.早让他升级.就是不升.看来是被入侵的第一步.先升级到 　　FTP这里应该没什么问题了. 　　IIS方面的分析： 　　开着日志记录.太好了.等会儿分析日志 　　继续看.其他都是默认配置.先在应用程序映射里把所有的文件类型都删除干净只保留.ASP和.ASA 　　审计文件权限 　　设定各个分区和目录的权限. 　　接着审查木马情况.由于系统不能重装.所以只能加固原有已经被入侵的系统，考虑到这个入侵者添加的用户的情况以及在C根目录放文件还有日志都是开放等等情况，估计水平不会很高.也不会植入自己编写的木马. 　　使用了朋友thrkdev编的ATE来查了一遍.看来没有已知木马. 　　接着查找WEBSHELL，考虑到入侵者水平.最多也就用用海阳.而且最多也就把部分版权信息去掉，搜索所有内容包含lcx的.ASP文件. 　　果然.4个文件. 　　　　2005.asp 　　　　ok.asp 　　　　dvbbs7.asp 　　　　aki.asp 　　看来分析还是比较准确的.除了dvbbs7.asp有点创意，移动这些文件到其他目录.供以后审计用.　　 　　然后是网络部分 　　TCP过滤未开.IPSEC未指派. 　　先把NETBIOS关掉.然后TCP内只允许20,21,80,3389 　　考虑到反向木马的可能性 　　在IPSEC内打开本机SPORT 20,21,80,3389到外部任意端口.其他从内部往外的一律屏蔽. 　　系统萃取.把一些无关服务与软件关闭或者卸载. 　　对系统进行补丁升级.还好补丁还是没有缺.把自动UPDATE设置到自动安装. 　　最后一步是分析日志.看看有没有遗漏的地方，系统本身的日志都被关闭了.看来入侵者还是比较小心. 　　打开该审计的部分.在关键目录.比如系统目录加上了审计.使得所有对C:WINNT的创建文件的成功与失败都记录在日志内. 　　由于前面提到SERV-U日志原来并未记录.只能打开IIS日志查找对于找到的4个WEBSHELL的访问情况，找到了访问的IP.回查.来自一个固定IP地址，浏览了一下.得到信息后给对方管理员去邮件通知他们做好安全工作。 　　其实还有一些部分内容应该做而限于有些条件没有做的. 　　1.更换系统默认用户用户名 　　因为兄弟他们对计算机不熟.就没有更换.不过要求他们使用更加强壮的密码了 　　2.对于加密的webshell的查找 　　上述内容中对于WEBSHELL只查找了一种.并且只针对明文编码的页面程序进行了查找,应该是可以加入对于编码后ASP WEBSHELL的搜索. 　　还有搜索内容应该由简单的LCX扩展到wscript.shell等更加广泛与匹配的关键词的查找 　　3.对于木马的查找 　　由于预估入侵者水平不高.所以这项只依靠杀木马软件进行了搜索.如果有时间的话.还是应该手工进行查找 　　4.对页面程序进行评估 　　也有由于时间关系.没时间对原有网站程序进行检查. 　　5.入侵测试 　　由于入侵检测很可能被入侵者的思路带着走而忽略了其他薄弱环节. 　　所以检测完毕应该最好进行完全的测试.保证其他路径是同样强壮的.