安全专家：真实的网络攻击取证纪实(2)

作者: 子明 出处:51CTO.com　2008-03-14 11:06　   砖    好    评论  条 　进入论坛

阅读提示：随着司法机关的介入，我相信在不久的将来，网络攻击调查取证也会成为立法机构必须要考虑设立的一门新的学科，目前来说开设这个的课程多在网络警察和一些特殊机关，现在我来给大家讲下我亲身经历并参与完成的一次取证过程，用事实来讲述.....

三、 利用专用防火墙检查工具去查看网络连接情况
目的是通过抓数据包来找出问题。如果对方安装的有远程控制终端，他肯定需要让保存在服务器上的后门和控制终端进行通话，会有一个会话连接。通过防火墙的拦截功能而去寻找出控制的源头。这个上面没有发现存在反弹木马，所以没有看到入侵的源头。

四、检查系统日志
作用：检查系统日志是否被入侵者清除，如果日志被入侵者删除，需要用数据恢复软件恢复操作系统日志
检查内容：主要包括IIS日志，安全性日志，系统日志。

更近一步深入检查：
找到日志后，仔细分析网站是否有入侵者留下的webshell,尤其是一句话后门
根据Webshell的名字， 在IIS 访问日志里搜索相关的名字，找到入侵者常用的ip地址，分析ip地址
还可以根据此IP地址检索IIS日志中，此入侵者都进行过什么样的操作
技术点滴：如果你比较熟悉Webshell，通过Get操作可以知道入侵者都进行过何种操作。因为Get操作是被系统记录的。

如果入侵者装有系统级的后门，用常用工具比如冰刃(IceSword),System Repair Engineer (SREng)等分析出可疑文件，用其他调试工具分析找到入侵者控制端IP地址。

通过服务器日志查出隐藏在后面的幕后黑客
通过iis的log访问日志，排查出三个可疑目标，其中一个手法相对于后两个入侵者更熟练一些，他在今年5月份左右或者更早就拿到了该服务器权限，上来之后到是没有做任何的添加和修改，从技术上来看，他是通过寻找网站的注入点进来的，然后在上面放了不少的后门，还放了一个mm.exe的文件，但是因为技术问题，没有把这个马运行起来，从外部访问只是在主页上显示为mm.jpeg，伪装成了图片。但是打开以后，什么都没有。经过我们分析以后，它是一张裸女的jpeg文件。如果他这个mm.exe成功，完全有可能将该主站页面换成一张黄色图片。危害还是有的。另外该站点权限给的过高，在访问新闻频道的时候，直接就是sa权限。这个是最高系统级和Admin是一个级别的。

由于服务器被网管人员重新装过，初步怀疑是用的ghost安装的，造成了原珍贵日志数据无法找回，我们只能分析出7月份-12月份这段时间的日志，通过这些日志我们又发现了针对此站点的入侵记录。

入侵者操作再现：（黑客入侵操作过程分析）

2007-07-15 14:51:53 61.184.107.206 添加管理用户 net localgroup administrator Cao$ /add
2007-07-15 15:08:56 61.184.107.206 写下载exe的vbs脚本 c:\admin.vbs 试图下载exe地址为：http://www.dianqiji.com/pic/2007/0428/admin.exe 

2007-08-12 09:48:45 218.205.238.6 写入webshell小马:d:\ybcenter\gg3.asp shell里留的QQ:183037，之后此人频繁用此后门登陆服务器

2007-08-25 08:03:15 218.28.24.118 曾访问他以前留下的操作数据库的webshell /system/unit/main.asp 此后门可以浏览到敏感数据库的信息
2007-08-25 08:12:45 218.28.24.118 写入另一个webshell D:\ybcenter\ggsm.asp
之后，218.28.24.118用以前留下的功能比较全的webshell /Cnnsc.asp和/system/unit/Cnnsc.asp频繁操作服务器上文件
2007-11-11 14:23:23 218.28.24.118 用他曾经留下的操作数据库的后门/service/asp.asp访问敏感数据库的信息
2007-08-25 08:27:57 218.28.24.118  用他曾经留下的操作数据库的后门/system/unit/sql.asp访问敏感数据库的信息
2007-11-11 11:02:55 218.28.24.118 试图访问他曾经留下的操作数据库的后门/yb/in_main3.asp访问敏感数据库

2007-08-06 12:42:41 218.19.22.152 写下载脚本C:\down.vbs 下载的exe为http://ray8701.3322.org/1.exe

2007-08-09 11:57:16 218.19.98.147 写ftp下载exe的脚本c:\zxq.txt ftp服务器203.253.31.244 用户名kick1000 密码84460965 下载1.exe
2007-08-26 07:43:47 123.5.57.117 试图攻击服务器
2007-08-26 07:43:47 123.5.57.117 写ftp下载exe的脚本c:\zxq.txt ftp服务器203.253.31.244 用户名kick1000 密码84460965 下载1.exe

2007-12-10 12:41:34 123.52.18.141 检测注入

五、查看登陆信息  查看是否存在有克隆帐户。
方法：检查注册表里面的sam文件有没有相同的fv，在这里检查过程中没有发现存在有克隆帐号。

六、查看系统安装日志，在这里并未发现问题。

共3页: 上一页 [1] 2 [3] 下一页

【内容导航】  第 1 页：习惯的检查步骤操作  第 2 页：A服务器检查处理过程  第 3 页：B服务器检查取证分析