信安大赛-应急响应

Ubuntu与Windows服务器应急响应要点

原创

已于 2025-04-07 20:44:07 修改 · 1.7k 阅读

12 ·

CC 4.0 BY-SA版权

文章标签：

#网络 #web安全 #安全 #大数据 #运维

于 2025-01-16 21:10:00 首次发布

Ubuntu应急响应

1	提交攻击者的IP地址
2	识别攻击者使用的操作系统
3	找出攻击者资产收集所使用的平台
4	提交攻击者目录扫描所使用的工具名称
5	提交攻击者首次攻击成功的时间，格式：DD /MM/YY:HH:MM:SS
6	找到攻击者写入的恶意后门文件，提交文件名（完整路径）和后门密码
7	找到攻击者隐藏在正常web应用代码中的恶意代码，提交该文件名（完整路径）
8	识别系统中存在的恶意程序进程，提交进程名
9	找到文件系统中的恶意程序文件并提交文件名（完整路径）
10	简要描述该恶意文件的行为

root

1234546

1.提交攻击者的IP地址

一直找日志

是这个

more access.log.1

从192.168.1.5到192.168.1.7就不一样了猜测攻击者是192.168.1.7

192.168.1.5 - - [24/Apr/2022:15:11:48 +0000] "GET /data/captcha/ckstr.php HTTP/1.1" 200 1499 "http://192.168.1.3/message.php" "Mozilla/4.0 (compatible; MSIE 8.0; Windows NT 6.1; WOW64; Trident/4.0; SLCC2; .NET CLR 2.0.50727; .NET CLR 3.5.30729; .NET CLR 3.0.30729; Media Center PC 6.0; .NET4.0C; .NET4.0E)"::1 - - [24/Apr/2022:15:11:55 +0000] "OPTIONS * HTTP/1.0" 200 126 "-" "Apache/2.4.41 (Ubuntu) (internal dummy connection)"
192.168.1.7 - - [24/Apr/2022:15:14:32 +0000] "GET / HTTP/1.1"