简述一次操作系统被入侵之后的修复过程_网络冲浪

  前言:由于工作的特殊性,接触到这些东西。这篇文章仅仅对一简单入侵作分析,不具有rootki之类内核级木马!高手见笑,仅供参考

  正文:刚刚当上学校某站的系统管理员,负责3台主机,先检查一下,发现一台主机skin目录下有可疑文件存在。呵呵,刚上岗就发现问题,嘻嘻,好好表现。

  可以肯定,此主机被入侵。

  操作:

  1 系统采用2003+iis6.0 ,NTFS分区格式,权限设置正常。Pcanywhere10.0远程管理。页面采用动力文章系统,版本3.51修改。 挂接另一网站,采用动网修改版。

  2 测试发现,前管理员未注意web安全。动力文章有严重上传漏洞,而未修补。动网版本7.00sp2 ,但不排除已被入侵。随即,彻底检查系统,未发现木马。确定主机系统安全。但在web里发现大量webshell,待清除。Iis6.0 无日志记录!(晕) 

  3 检查修复 ( 备份当前web系统。)

  A 时间查找法:根据上述文件的最早创建时间,搜索此时间以后创建和修改的所有文件。又发现许多未知gif,jpg,asp,cer等格式文件。用记事本打开发现,俱为asp木马。备份,删除。

  B 工具查找法:在手动查找之后,安装杀毒软件,全面杀毒,除杀出少部分asp木马,未有其他发现。检查用户,无异常。检查C盘,无不明文件。说明,入侵者在获得web权限后未进一步提升权限,但不排除安装更隐蔽的木马。待查。

  C 根据时间查找法,发现正常asp文件有些已被修改。其中,动力文章系统管理页面被插入代码,将管理员密码明文保存。代码与动网论坛明文获取密码代码类似。

  在其他被修改的asp文件中,发现有动鲨网页木马,icefox的一句话木马,海洋木马等,均加密处理。

  D 修复;备份此web系统,提取数据库。删除!还原数月前备份之系统,检查,无木马!导入现在的数据库。删除动力文章上传软件的asp文件,加入防注入代码。修改所有web管理员密码,修改所有系统管理员密码. 升级pcanywhere 到11.0 修改pcanywhere 的密码并限制ip。打开iis6.0日志记录。由于挂接的网站,长期未更新,web管理员无法联络,更改路径,去除连接,备用!

  分析:由于主机权限设置问题,入侵者可能无法提升权限。(可能已经获得pcanywhere 密码,但主机长期保持锁定状态。据估计是入侵者技术尚浅。)由他所留文件分析。在获得webshell的情况下,他上传cmd文件,但权限设置较好,估计为能获取的太多信息。上传2003.bat xp3389.exe 等文件,想开服务器3389端口。但还是由于权限问题,无法提升。Ps:一台主机如果安装pcanywhere ,将无法开启3389服务,其主要文件被pcanywhere替换。开启不了。其他文件为察看进程,安装服务等工具,估计在未获得更高权限的情况下,得到的信息不足以获取管理员权限。唯一注意的是,pcanywhere的密码文件,是everyone可以察看的,在*:\Documents and Settings\All Users\Application Data\Symantec ,此目录为everyone可见,其中有pcanywhere的密码文件*.cif ,网上有密码察看器,但11.0版本无法察看。呵呵,升级一下吧。

时间: 2024-09-22 08:55:13

简述一次操作系统被入侵之后的修复过程_网络冲浪的相关文章

操作系统被入侵后的修复过程_Windows2003

    前言:由于工作的特殊性,接触到这些东西.这篇文章仅仅对一简单入侵作分析,不具有rootki之类内核级木马!高手见笑,仅供参考 正文:刚刚当上学校某站的系统管理员,负责3台主机,先检查一下,发现一台主机skin目录下有可疑文件存在.呵呵,刚上岗就发现问题,嘻嘻,好好表现. 可以肯定,此主机被入侵. 操作: 1 系统采用2003+iis6.0 ,NTFS分区格式,权限设置正常.Pcanywhere10.0远程管理.页面采用动力文章系统,版本3.51修改. 挂接另一网站,采用动网修改版. 2

教你如何:入侵UNIX和Linux服务器入门_网络冲浪

    在讨论这部分知识前,读者需要知道--入侵网站是非法的:但是在网络上找到网站的入侵漏洞并通知该网站是受到欢迎的.为什么要这样寻找入侵漏洞或入侵哪,著名的黑客H ackalot说过"入侵网站是利用所学的知识来学习新的知识的一种办法",这也就是中国人所常说的"温故而知新". 尽管为服务器设计软件的软件工程师们想方设法提高系统的安全性,然而由于系统管理员的水平参差不齐或安全意识底下,往往给黑客提供了入侵的机会. 其实每一个黑客都有自己独到的方法.笔者对于入侵网站服务

剖析网站遭遇的三次入侵 分析黑客入侵方法_网络冲浪

随着教育信息化进程的推进,各类教育网站大量涌现.由于教育网站大多是学校计算机教师自己开发管理的小型网站,普通存在着设备.技术.专业人员不足的问题,网站自身存在漏洞,常常成为黑客攻击的目标,严重影响了正常业务的开展.这里,笔者希望通过对教育网站所遭遇的三次黑客入侵的剖析,来分析黑客常用的入侵方法和手段. 第一次遭遇入侵 1. 入侵现象:2004年春节,网站的公告栏上突然出现"此论坛有漏洞,请管理员修复"的内容,并被粘贴了一张图片. 2. 处理问题的过程:首先想到的是以为存在某个Windo

怎样防止别人用ipc$和默认共享入侵_网络冲浪

    空连接和ipc$(internet process connection)是不同的概念.空连接是在没有信任的情况下与服务器建立的会话,换句话说,它是一个到服务器的匿名访问.ipc$是为了让进程间通信而开放的命名管道,可以通过验证用户名和密码获得相应的权限.有许多的工具必须用到ipc$.默认共享是为了方便远程管理而开放的共享,包含了所有的逻辑盘(c$,d$,e$......)和系统目录winnt或windows(admin$). A.一种办法是把ipc$和默认共享都删除了.但重起后还会有.

高手进阶 巧改设置强化3389入侵_网络冲浪

作者:九剑 出处:电脑报 很多朋友利用输入法漏洞通过3389端口入侵别人的服务器时,会发现在连接对方机器后,无法像内网计算机那样可以互传文件,这在很大程度上使入侵后的攻击大打折扣,其实打上微软自家的"补丁"就可以解决这个问题. 在此,笔者就要为大家介绍一下服务器端和客户端的配置方法,让大家能够通过3389终端服务,实现终端机器与本地机器的文件互传. 服务器端(被攻击方) 首先,在http://www.sixvee.com/520yy/cpcw/rdp.rar下载补丁包,其中包含rdpc

WIN2000的输入法入侵_网络冲浪

这是一种入侵简单,但造成用户损失后果最严重的一种入侵方法,严禁入侵国内主机!请慎用之!!! (使用系统:WIN98/ME/2000/NT)这个方法对简体WIN2000有效.所以练习可以,但不要破坏.如果懂NET和IPC管道入侵的学者更容易学. 一 准备工具:WIN2000终端服务客户端程序,SQLEXEC程序,SUPERSCAN扫描器. 二 我们先运行SUPERSCAN扫描器,扫描器设置如图: SUPERSCAN设置 注意:主要是改二个地方:一个IP地址,另一个端口改成3389. 三 我们扫出有

黑客入侵攻击方式的 四种最新趋势_网络冲浪

从1988年开始,位于美国卡内基梅隆大学的CERT CC(计算机紧急响应小组协调中心)就开始调查入侵者的活动.CERT CC给出一些关于最新入侵者攻击方式的趋势. 趋势一:攻击过程的自动化与攻击工具的快速更新 攻击工具的自动化程度继续不断增强.自动化攻击涉及到的四个阶段都发生了变化. 1. 扫描潜在的受害者.从1997年起开始出现大量的扫描活动.目前,新的扫描工具利用更先进的扫描技术,变得更加有威力,并且提高了速度. 2. 入侵具有漏洞的系统.以前,对具有漏洞的系统的攻击是发生在大范围的扫描之后

入侵检测及网络安全发展技术探讨_网络冲浪

随着网络安全风险系数不断提高,曾经作为最主要的安全防范手段的防火墙,已经不能满足人们对网络安全的需求.作为对防火墙及其有益的补充,IDS(入侵检测系统)能够帮助网络系统快速发现攻击的发生,它扩展了系统管理员的安全管理能力(包括安全审计.监视.进攻识别和响应),提高了信息安全基础结构的完整性. 一.入侵检测系统(IDS)诠释 IDS是一种网络安全系统,当有敌人或者恶意用户试图通过Internet进入网络甚至计算机系统时,IDS能够检测出来,并进行报警,通知网络该采取措施进行响应. 在本质上,入侵检

堵住黑客非法入侵的11点原则_网络冲浪

目前,市场上的入侵检测产品大大小小有上百家,如何选择适合自己的产品,是一件摆在广大安全管理员和企业技术决策者面前很头痛的事.下面我们就根据产品的综合性能,谈谈采购过程中的基本原则. 1.产品的攻击检测数量为多少?是否支持升级? IDS的主要指标是它能发现的入侵方式的数量,几乎每个星期都有新的漏洞和攻击方法出现,产品的升级方式是否灵活直接影响到它功能的发挥.一个好的实时检测产品应该能经常性升级,并可通过互联网或下载升级包在本地升级. 2.对于网络入侵检测系统,最大可处理流量(PPS)是多少? 首先