HW 蓝队面试题整理（应急响应细节题）

B. 细节题

1.你能大概说一下，比如数据包或者日志，你的分析思路是什么，以及你会用到哪些工具或者那些网站进行查询？

• 用流量监测的安全设备，比如天眼，查看报文，分析报文里和 host 和网站目录路径，查看是否可疑，使用微步查询 host 是否为恶意，使用 wireshark 对数据包深度分析

• 看一下请求的网站路径，源 IP 与目的 IP 地址，host 字段的值以及发包内容等

• 工具有 wireshark，网站的话微步在线等威胁情报中心

2.文件上传和命令执行，有看过相关日志吗

• 文件：可能在系统有上传功能或者有文本编辑器，看一下是否有 base64 加密或者 url 加密，解码验证一下是否有恶意代码

• 系统日志：有没有 web 容器做了一些危险行为，比如 bash 反弹 shell 等

• 网络应用日志：有没有异常的网站文件，类似 webshell 等，就有可能是命令执行

3.windows日志分析工具

Log Parser、LogParser Lizard、Event Log Explorer

4.Linux日志分析技巧命令

• 定位有多少IP在爆破主机的root帐号：

grep "Failed password for root" /var/log/secure | awk '{print $11}' | sort | uniq -c | sort -nr | more

• 定位有哪些IP在爆破：

grep "Failed password" /var/log/secure|grep -E -o "(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)\.(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)\.(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)\.(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)"|uniq -c

• 爆破用户名字典是什么？

grep "Failed password" /var/log/secure|perl -e 'while($_=<>){ /for(.*?) from/; print"$1\n";}'|uniq -c|sort -nr

• 登录成功的IP有哪些

grep "Accepted " /var/log/secure | awk '{print $11}' | sort | uniq -c | sort -nr | more登录成功的日期、用户名、IP：grep "Accepted " /var/log/secure | awk '{print $1,$2,$3,$9,$11}'

• 增加一个用户kali日志：

Jul 10 00:12:15 localhost useradd[2382]: new group: name=kali, GID=1001Jul 10 00:12:15 localhost useradd[2382]: new user: name=kali, UID=1001, GID=1001,home=/home/kali, shell=/bin/bashJul 10 00:12:58 localhost passwd: pam_unix(passwd:chauthtok): password changed for kali#grep "useradd" /var/log/secure

• 删除用户kali日志：

Jul 10 00:14:17 localhost userdel[2393]: delete user 'kali'Jul 10 00:14:17 localhost userdel[2393]: removed group 'kali' owned by 'kali'Jul 10 00:14:17 localhost userdel[2393]: removed shadow group 'kali' owned by 'kali'# grep "userdel" /var/log/secure

• su切换用户：

Jul 10 00:38:13 localhost su: pam_unix(su-l:session): session opened for user good byroot(uid=0)sudo授权执行:sudo -lJul 10 00:43:09 localhost sudo: good : TTY=pts/4 ; PWD=/home/good ; USER=root ;COMMAND=/sbin/shutdown -r now

5.给你一个比较大的日志，应该如何分析

• 攻击规则匹配，通过正则匹配日志中的攻击请求

• 统计方法，统计请求出现次数，次数少于同类请求平均次数则为异常请求

• 白名单模式，为正常请求建立白名单，不在名单范围内则为异常请求

• HMM 模型，类似于白名单，不同点在于可对正常请求自动化建立模型，从而通过正常模型找出不匹配者则为异常请求

• 借助日志分析工具

如 LogForensics 腾讯实验室 https://security.tencent.com/index.php/opensource/detail/15