用户登录  |  傲看软件园 用户注册
文章中心广告代码ASP源码PHP源码JSP源码.NET源码源码相关傲看留言板繁體中文
当前位置:傲看软件园文章中心电脑安全安防业界

网站被入侵后需做的检测(1)

减小字体 增大字体 作者:风未起时  来源:中国站长学院  发布时间:2008-10-20 20:06:01
分析入侵者都做了些什么!

  记得为了方便在他机器上装了RADMIN.登陆了一下.密码也不对了.看来是有人上去了.而且入侵者还拿到了系统管理员权限

  跑到机房.拿出ERD COMMANDER.改了密码.重启,进入系统后第一步升级帐户.多了一个hud$的用户.administrators组.删除,再看guest用户虽然禁用状态,但是说明内容不对了.仔细一看.administrators组.同样删除。接着看了下其他用户.组别都正常.把远程连接权限都去掉后.帐号方面算是处理完了.

  接着看看各个硬盘C:\下面有如下文件

  sqlhello.exe
  sqlhello2.exe
  result.txt
  1.bat
  2.bat

  编辑了下1.bat,里面内容都是扫描整个网段.看来是有人拿这台机器当跳板了.移动所有文件到其他目录.

  接着审计应用程序,考虑这台机器的用途和环境
  是WINDOWS2000+IIS+SERV-U

  先看SERV-U审计用户.看看有没有别人加system权限的FTP用户.查看下来没有.
  执行权限也没有.锁定目录状态都是对的.

  看了下没有记录日志.
  然后看了版本.
  5.0.0.4...ft了.早让他升级.就是不升.看来是被入侵的第一步.先升级到6.0.0.2
  FTP这里应该没什么问题了.

  IIS方面的分析:

  开着日志记录.太好了.等会儿分析日志
  继续看.其他都是默认配置.先在应用程序映射里把所有的文件类型都删除干净只保留.ASP和.ASA

  审计文件权限

  设定各个分区和目录的权限.

  接着审查木马情况.由于系统不能重装.所以只能加固原有已经被入侵的系统,考虑到这个入侵者添加的用户的情况以及在C根目录放文件还有日志都是开放等等情况,估计水平不会很高.也不会植入自己编写的木马.
  使用了朋友thrkdev编的ATE来查了一遍.看来没有已知木马.
  接着查找WEBSHELL,考虑到入侵者水平.最多也就用用海阳.而且最多也就把部分版权信息去掉,搜索所有内容包含lcx的.ASP文件.

  果然.4个文件.
  2005.asp
  ok.asp
  dvbbs7.asp
  aki.asp

  看来分析还是比较准确的.除了dvbbs7.asp有点创意,移动这些文件到其他目录.供以后审计用.


Tags:

作者:风未起时

文章评论评论内容只代表网友观点,与本站立场无关!

   评论摘要(共 0 条,得分 0 分,平均 0 分) 查看完整评论

精品栏目导航

关于本站 | 网站帮助 | 广告合作 | 下载声明 | 友情连接 | 网站地图
冀ICP备08004437号 | 客服Q:354766721 | 交流群83228313
傲看软件园 - 绿色软件,破解软件下载站! 源码网 源码之家 绿软之家
Copyright © 2003-2010 OkHan.Net. All Rights Reserved .
页面执行时间:23,343.75000 毫秒
Powered by:OkHan CMS Version 4.0.0 SP2