网络安全从入门到精通（特别篇I）：Linux安全事件应急响应之Linux应急响应基础必备技能

网络安全应急响应

• 1.Linux应急响应
• • 1.1 询问攻击情况范围
  • 1.2 应急排查思路
  • 1.3 判断事件类型
  • 1.4 信息收集：
  • 1.5 备份所有信息
  • 1.6 断开网络
  • • 1.6.1 重启/禁用网卡
    • • 1.6.1.1 Centos6重启所有网卡
      • 1.6.1.2 Centos7重启所有网卡
    • 1.6.2 重启单个eth0网卡
    • • 1.6.2.1 禁用单个eth0网卡
      • 1.6.2.2 重启/禁用网卡
      • 1.6.2.3 长期禁用一块网卡
    • 1.6.3 云上阻断异常网络通信
  • 1.7 上机排查流程
  • • 1.7.1 使用top定位可疑进程
    • • 1.7.1.1 top命令参数
    • 1.7.2 使用netstat查看网络连接
    • • 1.7.2.1 netstat命令参数
      • 1.7.2.2 whois 查询注册信息
      • 1.7.2.3 监控与目标IP通信的进程
    • 1.7.3 使用PS排查进程
    • • 1.7.3.1 恶意进程判断依据
      • 1.7.3.2 PS排查命令
      • • 1.7.3.2.1 根据进程名字或部分字符串获取pid
        • 1.7.3.2.2 查看cpu使用情况
        • 1.7.3.2.3 查看进程启动时间
        • 1.7.3.2.4 查看进程归属用户
        • 1.7.3.2.5 查看有没有奇怪进程(ps)
        • 1.7.3.2.6 查看隐藏进程
        • 1.7.3.2.6 lsof 查看指定端口对应的程序
        • 1.7.3.2.7 检查是否存在病毒守护进程
        • 1.7.3.2.8 利用strace追踪病毒进程
        • 1.7.3.2.9 查看进程的父进程
        • 1.7.3.2.10 定位病毒文件位置
        • 1.7.3.2.11 恶意进程文件被删怎么办？
    • 1.7.4 排查恶意文件路径
    • • 1.7.4.1 敏感目录
      • • 1.7.4.2.1 resolv.conf
        • 1.7.4.2.2 文件检查---系统关键目录
        • 1.7.4.2.3 恶意脚本常见目录
        • 1.7.4.2.4 系统命令检查有没有被替换
        • 1.7.4.2.5 查找隐藏的目录和文件
        • 1.7.4.2.6 需要检查的文件
      • 1.7.4.2 按照文件名字查找
      • 1.7.4.3 按照文件类型查找
      • 1.7.4.4 按照时间点查找
      • 1.7.4.5 按照文件大小
      • 1.7.4.6 按照文件权限查找
      • 1.7.4.7 按照文件内容查找
      • 1.7.4.8 查找并删除文件
      • 1.7.4.9 基于所有者和组搜索文件
      • 1.7.4.10 排查SUID程序
      • 1.7.4.11 后门排查工具
      • • 1.7.4.11.1 安装chkrootkit 进行扫描
        • 1.7.4.11.2 安装rkhunter 进行扫描
        • 1.7.4.11.3 Linux安全检查脚本
        • 1.7.4.11.4 rootkit自动化查杀
        • 1.7.4.11.5 webshell 查杀
    • 1.7.5 history痕迹查找
    • • 1.7.5.1 查看历史命令常用命令
      • 1.7.5.2 添加命令审计
    • 1.7.6 使用在线沙箱分析
    • • 1.7.6.1 样本传输方式
      • • 1.7.6.1.1 XSEHLL
        • 1.7.6.1.2 scp传输命令
        • 1.7.6.1.3 python或者php 启http服务
        • 1.7.6.1.4 nc或ftp
        • 1.7.6.1.5 在线样本分析网站
    • 1.7.7 使用kill杀死进程
    • • 1.7.7.1 清除可疑进程的进程链
      • 1.7.7.2 批量杀死不同pid的恶意进程
      • 1.7.7.3 进程查杀
      • 1.7.7.4 线程查杀
      • 1.7.7.5 守护进程
    • 1.7.8 rm删除恶意文件
    • • 1.7.8.1 查看恶意文件占用
      • 1.7.8.2 目录挂载导致无法删除
      • 1.7.8.3 奇怪文件名导致无法删除
    • 1.7.9 系统基本信息
    • • 1.7.9.1 CPU信息
      • 1.7.9.2 操作系统信息
      • 1.7.9.3 模块信息
    • 1.7.10 用户信息
    • • 1.7.10.1 用户/密码文件格式
      • 1.7.10.2 用户登录情况查看
      • 1.7.10.3 用户排查命令
      • 1.7.10.4 禁用账号
    • 1.7.11 启动项
    • • 1.7.11.1 查看启动项命令
      • 1.7.11.2 查看启动项目录
      • 1.7.11.3 启动项涉及的目录
      • 1.7.11.4 启动项添加方式说明
      • 1.7.11.5 启动项怎么写
    • 1.7.12 任务计划
    • • 1.7.12.1 查看计划任务命令
      • 1.7.12.2 计划任务服务状态查看
      • 1.7.12.3 计划任务文排查目录
      • 1.7.12.4 利用 anacron 命令实现异步定时任务调度
      • 1.7.12.5 排查/var/spool/下所有目录
      • 1.7.12.6 根据定时任务查看对应文件或者程序的
      • 1.7.12.7 crontab隐藏后门
      • 1.7.12.8 计划任务怎么写
    • 1.7.13 清除预加载so
    • 1.7.14 清除SSH公钥
    • 1.7.15 防火墙配置
    • • 1.7.15.1 关闭防火墙
      • 1.7.15.2 打开防火墙
      • 1.7.15.3 查看防火墙
      • 1.7.15.4 直接停止防火墙开机启动
      • 1.7.15.5 查看iptables规则
      • 1.7.15.6 清除iptables规则
      • 1.7.15.7 增加/删除一条规则
      • 1.7.15.8 查看iptables的规则
      • 1.7.15.9 firewalld
    • 1.7.16 服务排查
    • • 1.7.16.1 Centos6 服务排查命令
      • • 1.7.16.1.1 启动服务
        • 1.7.16.1.2 重启服务
        • 1.7.16.1.3 查看服务状态
        • 1.7.16.1.4 停止服务
        • 1.7.16.1.5 重新加载服务配置文件
        • 1.7.16.1.6 强制重新加载服务配置文件
        • 1.7.16.1.7 显示所有服务的状态
      • 1.7.16.2 Centos7 服务排查命令
      • • 1.7.16.2.1 列出系统所有服务
        • 1.7.16.2.2 查看服务列表
        • 1.7.16.2.3 列出运行中的服务
        • 1.7.16.2.4 列出所有失败的服务
        • 1.7.16.2.5 检查单个服务是否启用
        • 1.7.16.2.6 查看单个服务的状态
        • 1.7.16.2.7 启动、重启、停止、重载某个服务
        • 1.7.16.2.8 激活/禁止自动重启
        • 1.7.16.2.9 启动防火墙
        • 1.7.16.2.10 停止防火墙
        • 1.7.16.2.11 查看firewalld防火墙状态
        • 1.7.16.2.12 禁止防火墙开机启动
        • 1.7.16.2.13列出正在运行的服务状态
      • 1.7.16.3 chkconfig --list
      • 1.7.16.4 检查开机自启的服务
    • 1.7.17 扫描是否存在恶意驱动模块
    • • 1.7.17.1 有可疑模块使用modinfo查看详细模块信息
      • 1.7.17.2 确认是异常模块可以尝试卸载
    • 1.7.18 辅助命令排查
    • • 1.7.18.1 host主机域名绑定
      • 1.7.18.2 md5sum值
      • 1.7.18.3 diff文件内同对比
    • 1.7.19 排查环境变量
    • 1.7.20 命令被替换
    • • 1.7.20.1 检查命令文件是否被替换
      • 1.7.20.2 alias 别名替换
      • • 准备busysbox
    • 1.7.21 后门排查
    • • • 查看是否有 ssh 软链接后门
        • 检测动态库劫持
        • 动态链接库劫持原理
        • 目前主流的劫持技术主要有三种:
        • 3.1 LD_PRELOAD劫持
        • 3.2 /etc/ld.so.preload劫持
        • 3.3遇到的Linux库文件劫持案例
        • 查看是否有增加超级用户帐号
        • 查看是否有perl脚本SSH后门
    • 1.7.22 日志分析
    • • 1.7.22.1 Linux日志文件说明
      • 1.7.22.2 Linux日志分析语句
      • 1.7.22.3 SSH暴力破解日志分析
      • 1.7.22.4 Mysql暴力破解
      • 1.7.22.5 FTP暴力破解
      • 1.7.22.6 Redis未授权访问
      • 1.7.22.7非持续性事件
      • • 日志中的敏感特征
        • 攻击溯源思路
    • 1.7.23 Web日志分析
    • • 1.7.23.1 Apache
      • 1.7.23.2 Nginx
      • 1.7.23.3 iis
      • 1.7.23.3 weblogic
      • 1.7.23.4 tomcat
    • 1.7.24 数据库日志
    • • 1.7.24.1 mysql
      • 1.7.24.2 sqlserver
      • 1.7.24.3 oracle
    • 日志分析工具
    • Linux安全加固
    • 重启服务器
    • 内存分析
    • 流量分析
    • 威胁情报
    • • 在线沙箱
    • 挖矿木马排查流程
    • • 隔离被感染的服务器和主机
      • 确认挖矿程序
      • • 定位挖矿木马
      • 清除挖矿木马
      • • 检查历史命令
        • 清除定时任务
        • 清除启动项
        • 清除公钥文件
        • 检查账户
        • 检查后门
        • 再次kill挖矿进程
      • 溯源攻击
      • • 查看挖矿进程所属用户
        • 查看用户进程
        • 确定原因