应急响应场景及排查思路

本文结合多个实际应急案例经验进行总结，整理 Linux 操作系统应急过程中的排查项以及各项的关注内容，结尾提供辅助工具。

1.通信端口

1.1. 推荐命令

（1）netstat -napt

1.2. 端口通信状态查看

重点关注本地端口、远程通信 IP 及端口、PID、进程名称，同时可通过连接状态来判断是临时连接还是长时间连接。

通常来讲，反弹 shell 的链接是长时间的连接，可以每间隔 60 秒查看一次，如果连续 2-3 次查看后依旧保持连接状态，则可判定为长期连接，需要重点关注。

1.3. 端口开放情况查看

这里我们需要关注端口开放情况以及本地端口与远程端口通信端口差异

   查看端口开放情况是最基本的操作，排查是否有异常开放端口。

   通信端口差异的排查原因是基于服务器与攻击者而控制端的连接方式，达到命令控制一般分为两种连接方式，正向连接与反向连接。

   正向连接即为本地监听端口，这种情况下多数为 4 位数或以下的端口号，且因为监听端口号是人为设定所以端口号有序，例如 1234、 5555、888、666、6666、7788、99、123 等。

反向连接端口特征是 5 位数且端口号随机无规律可循，而远端通信端口号则是人为设定，有一定特征。