<?xml version="1.0" encoding="utf-8" ?><rss version="2.0"><channel><title><![CDATA[Neolock的博客]]></title><description><![CDATA[]]></description><link>https://blog.youkuaiyun.com/Dalock</link><language>zh-cn</language><generator>https://blog.youkuaiyun.com/</generator><copyright><![CDATA[Copyright &copy; Dalock]]></copyright><item><title><![CDATA[真实应急响应案例记录]]></title><link>https://blog.youkuaiyun.com/Dalock/article/details/150790680</link><guid>https://blog.youkuaiyun.com/Dalock/article/details/150790680</guid><author>Dalock</author><pubDate>Mon, 25 Aug 2025 22:41:59 +0800</pubDate><description><![CDATA[真实应急响应案例记录]]></description><category></category></item><item><title><![CDATA[Linux应急响应一般思路（三）]]></title><link>https://blog.youkuaiyun.com/Dalock/article/details/150790015</link><guid>https://blog.youkuaiyun.com/Dalock/article/details/150790015</guid><author>Dalock</author><pubDate>Mon, 25 Aug 2025 22:34:20 +0800</pubDate><description><![CDATA[Linux日志分为内核/系统日志、用户日志和应用日志三类，分别记录系统运行信息、用户登录信息和应用事件。Web日志分析重点关注Apache/Nginx访问日志，可通过NCSA扩展格式查看请求信息。分析时需关注恶意函数（如PHP的eval()）、异常IP访问频率和敏感URL请求]]></description><category></category></item><item><title><![CDATA[Linux应急响应一般思路（二）]]></title><link>https://blog.youkuaiyun.com/Dalock/article/details/150718011</link><guid>https://blog.youkuaiyun.com/Dalock/article/details/150718011</guid><author>Dalock</author><pubDate>Sun, 24 Aug 2025 21:16:23 +0800</pubDate><description><![CDATA[本文介绍了Linux系统进程与服务排查方法及文件痕迹分析]]></description><category></category></item><item><title><![CDATA[Linux应急响应一般思路（一）]]></title><link>https://blog.youkuaiyun.com/Dalock/article/details/150717686</link><guid>https://blog.youkuaiyun.com/Dalock/article/details/150717686</guid><author>Dalock</author><pubDate>Sun, 24 Aug 2025 21:13:56 +0800</pubDate><description><![CDATA[服务器入侵后账户排查指南 服务器被入侵后，攻击者常通过创建或激活账户维持权限，包括：新建账户、激活默认账户、建立隐藏账户（如Windows账户名后加$），并提权至管理员权限]]></description><category></category></item><item><title><![CDATA[Windows应急响应一般思路（四）]]></title><link>https://blog.youkuaiyun.com/Dalock/article/details/150653626</link><guid>https://blog.youkuaiyun.com/Dalock/article/details/150653626</guid><author>Dalock</author><pubDate>Sat, 23 Aug 2025 21:37:28 +0800</pubDate><description><![CDATA[Windows系统日志分析是安全运维的重要工作，主要涉及系统日志、安全日志和应用程序日志三类。日志文件在XP/2003系统中以.evt后缀存储在System32\config目录下，而Win7/2008及以上版本以.evtx后缀存储在System32\Winevt\Logs目录。重点分析的事件ID包括：登录相关（4624/4625/4672）、系统启动（12/13）、日志清除（104/1102）等。其中登录类型编号（如2-本地交互、3-网络登录）对追踪异常登录行为特别重要]]></description><category></category></item><item><title><![CDATA[Windows应急响应一般思路（三）]]></title><link>https://blog.youkuaiyun.com/Dalock/article/details/150653566</link><guid>https://blog.youkuaiyun.com/Dalock/article/details/150653566</guid><author>Dalock</author><pubDate>Sat, 23 Aug 2025 21:35:09 +0800</pubDate><description><![CDATA[本文介绍了Windows系统文件痕迹排查的关键方法。主要内容包括：1）检查恶意软件常驻的敏感目录（如temp、Windows、Appdata等）；2）分析下载记录、Recent文件和预读取文件夹；3）通过时间点查找（创建/修改/访问时间）定位可疑文件；4）排查隐藏文件及敏感内容。文章还推荐使用Everything、forfiles等工具辅助排查，并指出需警惕攻击者修改文件时间的行为]]></description><category></category></item><item><title><![CDATA[Windows应急响应一般思路（二）]]></title><link>https://blog.youkuaiyun.com/Dalock/article/details/150620812</link><guid>https://blog.youkuaiyun.com/Dalock/article/details/150620812</guid><author>Dalock</author><pubDate>Fri, 22 Aug 2025 23:54:34 +0800</pubDate><description><![CDATA[本文介绍了Windows和Linux系统中进程排查的方法，重点讲解了Windows系统下通过任务管理器、tasklist、netstat、wmic等命令工具进行恶意进程识别和分析的技术。内容涵盖PID查找、父进程追踪、DLL加载检查、网络连接状态分析以及服务排查等关键步骤，为系统安全应急响应提供了实用的排查思路和操作指南]]></description><category></category></item><item><title><![CDATA[Windows应急响应一般思路（一）]]></title><link>https://blog.youkuaiyun.com/Dalock/article/details/150620765</link><guid>https://blog.youkuaiyun.com/Dalock/article/details/150620765</guid><author>Dalock</author><pubDate>Fri, 22 Aug 2025 23:52:36 +0800</pubDate><description><![CDATA[服务器被入侵后，攻击者常通过创建新账户、激活默认账户或建立隐藏账户（如Windows账户名后加$）获取控制权。排查方法包括：1）使用net命令查看用户列表和管理员组；2）wmic命令检测隐藏/克隆用户；3）通过本地用户和组、注册表SAM项核查异常账户；4）检查计划任务（schtasks）和启动项（msconfig、注册表Run键值）中的可疑项。重点关注账户提权痕迹和非常规启动程序，及时清除恶意驻留项]]></description><category></category></item><item><title><![CDATA[天眼应急案例（二）]]></title><link>https://blog.youkuaiyun.com/Dalock/article/details/150588815</link><guid>https://blog.youkuaiyun.com/Dalock/article/details/150588815</guid><author>Dalock</author><pubDate>Thu, 21 Aug 2025 18:18:15 +0800</pubDate><description><![CDATA[攻击者通过入侵DMZ区Web服务器建立Socks5代理，横向渗透至办公网络并构建多层代理链，最终利用核心系统WebLogic反序列化漏洞入侵OA系统。攻击路径包括：1）在Web服务器上传webshell并建立代理隧道；2）通过扫描发现办公网存活主机；3）配置双层代理链突破核心网；4）利用漏洞扫描工具发现并利用反序列化漏洞实现任意命令执行。过程中天眼告警显示的IP为跳板机地址，需注意真实受害IP识别。整个攻击过程呈现典型的横向移动特征，突显内网隔离不足和漏洞修复滞后问题]]></description><category></category></item><item><title><![CDATA[天眼应急案例（一）]]></title><link>https://blog.youkuaiyun.com/Dalock/article/details/150588622</link><guid>https://blog.youkuaiyun.com/Dalock/article/details/150588622</guid><author>Dalock</author><pubDate>Thu, 21 Aug 2025 18:13:53 +0800</pubDate><description><![CDATA[黑客通过入侵WEB服务器获取邮件系统权限，进而渗透内网窃取机密文件。攻击过程分为四个阶段：1）信息收集阶段利用扫描探测敏感目录和漏洞；2）漏洞利用阶段上传webshell并获取用户凭证；3）横向渗透阶段通过RDP暴力破解和MSF木马控制多台主机；4）内网入侵阶段利用永恒之蓝漏洞横向移动，最终获取目标文件。应急响应中发现攻击者采用多种隐蔽技术，包括进程迁移、隐藏账号和ADS文件隐藏，并通过双网卡主机作为跳板实施内网渗透]]></description><category></category></item><item><title><![CDATA[从一开始的网络攻防（十三）：WAF入门到上手]]></title><link>https://blog.youkuaiyun.com/Dalock/article/details/149788537</link><guid>https://blog.youkuaiyun.com/Dalock/article/details/149788537</guid><author>Dalock</author><pubDate>Wed, 30 Jul 2025 22:31:12 +0800</pubDate><description><![CDATA[从一开始认识WAF]]></description><category></category></item><item><title><![CDATA[从一开始的网络攻防（十四）：WAF绕过]]></title><link>https://blog.youkuaiyun.com/Dalock/article/details/149788389</link><guid>https://blog.youkuaiyun.com/Dalock/article/details/149788389</guid><author>Dalock</author><pubDate>Wed, 30 Jul 2025 22:26:18 +0800</pubDate><description><![CDATA[BYPASSWAF技术是通过分析WAF设备与后端应用处理差异实现的防护绕过方法。文章详细解析了WAF的四种部署模式（云WAF、主机防护软件、硬件设备、软WAF）及其工作流程，重点阐述五层绕过技术：1）Web架构层（真实IP获取、畸形数据包）；2）Web服务器层（Apache/IIS特性利用）；3）应用层（参数污染、编码转换）；4）数据库层（SQL语法特性）；5）WAF层（性能负载攻击、模糊测试）]]></description><category></category></item><item><title><![CDATA[Windows安全基线检查与加固]]></title><link>https://blog.youkuaiyun.com/Dalock/article/details/149756662</link><guid>https://blog.youkuaiyun.com/Dalock/article/details/149756662</guid><author>Dalock</author><pubDate>Tue, 29 Jul 2025 21:46:34 +0800</pubDate><description><![CDATA[本文介绍了Windows系统安全加固的关键措施，主要包括账户管理、权限配置、日志审核等方面。在账户管理上，要求重命名默认管理员账户、禁用Guest账户，并设置强密码策略（长度≥8位，包含大小写字母、数字和符号）。权限配置方面，应限制远程关机和网络访问权限仅授予管理员组，关闭默认共享。同时需启用完整审核策略（9项事件记录），日志大小设置为≥100MB，配置15分钟远程登录超时。其他安全措施包括：启用屏幕保护密码（5分钟锁定）、关闭自动播放功能、开启防火墙等]]></description><category></category></item><item><title><![CDATA[Linux安全基线检查与加固]]></title><link>https://blog.youkuaiyun.com/Dalock/article/details/149756555</link><guid>https://blog.youkuaiyun.com/Dalock/article/details/149756555</guid><author>Dalock</author><pubDate>Tue, 29 Jul 2025 21:43:13 +0800</pubDate><description><![CDATA[本文介绍了Linux系统安全基线检查与加固的配置方法，主要内容包括：账户管理方面，设置口令锁定策略、口令生存期、复杂度要求及密码重用限制；服务管理方面，配置SSH禁止空密码登录、多次失败锁定、限制root远程登录及修改默认端口；权限管理方面，调整默认umask值、检查重要文件权限及限制可su为root的用户组；日志管理方面，启用rsyslog服务记录登录事件和定时任务，设置SSH日志级别为INFO，并将系统日志文件设为只可追加模式。通过执行文中提供的命令和配置文件修改方案，可有效提升Linux系统的安全性。]]></description><category></category></item><item><title><![CDATA[应急响应案例处置(下)]]></title><link>https://blog.youkuaiyun.com/Dalock/article/details/149727961</link><guid>https://blog.youkuaiyun.com/Dalock/article/details/149727961</guid><author>Dalock</author><pubDate>Mon, 28 Jul 2025 23:37:34 +0800</pubDate><description><![CDATA[恶意挖矿程序、勒索病毒和APT攻击是当前主要网络安全威胁。恶意挖矿程序通过CPU资源占用影响系统运行，常见传播方式包括永恒之蓝漏洞和弱口令攻击；勒索病毒会加密文件并勒索赎金，主要通过漏洞利用和人工投放传播；APT攻击具有隐蔽性强、持续时间长的特点，需通过IOC告警和流量分析识别。应对措施包括修复漏洞、强化口令、安装补丁及系统日志分析。案例显示，建立时间基准线进行系统排查是有效的应急响应方法]]></description><category></category></item><item><title><![CDATA[应急响应处置案例(上)]]></title><link>https://blog.youkuaiyun.com/Dalock/article/details/149727910</link><guid>https://blog.youkuaiyun.com/Dalock/article/details/149727910</guid><author>Dalock</author><pubDate>Mon, 28 Jul 2025 23:27:29 +0800</pubDate><description><![CDATA[Web安全事件应急响应案例]]></description><category></category></item><item><title><![CDATA[从一开始的网络攻防（十一）：逆向工程基础]]></title><link>https://blog.youkuaiyun.com/Dalock/article/details/149664375</link><guid>https://blog.youkuaiyun.com/Dalock/article/details/149664375</guid><author>Dalock</author><pubDate>Sat, 26 Jul 2025 11:57:52 +0800</pubDate><description><![CDATA[逆向工程是一种通过分析目标产品来推导其设计原理的技术，广泛应用于软件破解、漏洞挖掘等领域。该技术需要掌握汇编语言基础，并使用PEID、DIE、OllyDbg等工具进行脱壳、反汇编和动态调试分析。逆向分析的主要作用包括：1)破解软件授权限制；2)分析恶意代码；3)研究内部算法；4)进行二次开发。其中关键步骤包括识别加壳方式、定位验证机制、修改关键跳转等。通过静态分析与动态调试相结合的方法，可以深入理解程序逻辑，实现功能扩展或安全检测。]]></description><category></category></item><item><title><![CDATA[基于银狐的后门持久化姿势分析总结]]></title><link>https://blog.youkuaiyun.com/Dalock/article/details/149660272</link><guid>https://blog.youkuaiyun.com/Dalock/article/details/149660272</guid><author>Dalock</author><pubDate>Sat, 26 Jul 2025 11:40:32 +0800</pubDate><description><![CDATA[银狐攻击团伙利用多种Windows持久化技术实现隐蔽攻击，包括服务修改、启动目录植入、注册表启动项和计划任务等基础方式，以及创新的&quot;文件关联+设备映射+PendingFileRenameOperations&quot;组合技。该团伙通过篡改文件关联、创建虚拟设备映射、利用系统启动前文件操作机制，实现绕过安全软件的无痕启动。攻击过程涉及三个关键步骤：1)创建随机后缀文件关联木马程序；2)虚拟映射启动目录；3)利用PendingFileRenameOperations机制在系统启动前完成文件写]]></description><category></category></item><item><title><![CDATA[从一开始的网络攻防（十）：DoS]]></title><link>https://blog.youkuaiyun.com/Dalock/article/details/149640325</link><guid>https://blog.youkuaiyun.com/Dalock/article/details/149640325</guid><author>Dalock</author><pubDate>Fri, 25 Jul 2025 15:41:59 +0800</pubDate><description><![CDATA[DoS/DDoS攻击是典型的资源耗尽型网络攻击。DoS利用程序漏洞一对一耗尽资源，而DDoS通过多对一放大攻击效果。主要攻击类型包括带宽攻击和连通性攻击，如SYN Flood耗尽TCP连接数，SockStress则通过建立完整TCP连接后设置窗口为0来消耗服务器资源。防御DoS攻击的核心是资源对抗，需部署抗D设备或设置流量限制规则（如iptables限制IP连接数）。随着攻击方式专业化，防范需要结合技术手段和安全管理策略。]]></description><category></category></item><item><title><![CDATA[从一开始的网络攻防（九）：XXE]]></title><link>https://blog.youkuaiyun.com/Dalock/article/details/149639518</link><guid>https://blog.youkuaiyun.com/Dalock/article/details/149639518</guid><author>Dalock</author><pubDate>Fri, 25 Jul 2025 15:29:34 +0800</pubDate><description><![CDATA[XML是一种可扩展标记语言，用于数据传输，具有自定义标签、层级结构和自我描述性特点。XML文档由声明、元素/节点、属性和注释组成。DTD（文档类型定义）用于定义合法XML文档结构，分为内部和外部DTD。DTD实体包括内部、外部和参数实体，用于定义快捷引用。XXE（XML外部实体注入）漏洞是由于服务器未严格限制XML数据解析，导致攻击者注入恶意实体。通过探测响应和构造payload（如file://或php://协议），可利用XXE漏洞读取服务器文件]]></description><category></category></item></channel></rss>