鹿鸣天涯

logs/catalina.xx.log logs/host-manager.xx.log logs/localhost.xx.log logs/manager.xx.log 主要记录系统启、关闭日志、管理日志和异常信息。1）收集信息：操作系统版本，补丁，数据库版本，中间件/服务器，网络拓扑，受害范围，处置情况，提取日志（主机，安全设备，数据库等）1、web入侵：挂马、网页篡改（博彩/黑帽SEO等）、植入webshell，黑页，暗链等。入侵现象：如cpu过高，勒索界面，异常网络链接，安全设备告警等。

通过制定结构完善的事件响应计划，其中包括清晰的行动手册、合适的安全工具、业务连续性策略和有效的沟通框架，组织可以更高效地应对事件，并减少中断。事件响应，也称为网络安全事件响应，是组织用来检测、调查和响应网络安全事件（例如数据泄露、恶意软件感染或未经授权的访问）的结构化流程。它涉及协调一致的努力来管理和减轻事件的影响，确保组织的运营受到保护并消除威胁。这不仅仅是对事件做出反应，更是提前做好准备，以便您的组织确切地知道如何应对、如何恢复正常运营，并从事件中吸取教训，从而预防未来再次发生类似事件。

AWD比赛常规套路

Linux系统拥有非常灵活和强大的日志功能，可以保存几乎所有的操作记录，并可以从中检索出我们需要的信息。本文简介一下Linux系统日志及日志分析技巧。日志默认存放位置：/var/log/查看日志配置情况：more /etc/rsyslog.conf日志文件说明记录了系统定时任务相关的日志记录打印信息的日志记录了系统在开机时内核自检的信息，也可以使用dmesg命令直接查看内核自检信息记录邮件信息记录系统重要信息的日志。

靶机地址：https://pan.quark.cn/s/4b6dffd0c51a#/list/share蓝队工具箱：https://github.com/ChinaRan0/BlueTeamTools前景需要：小苕在省护值守中，在灵机一动情况下把设备停掉了，甲方问：为什么要停设备？小苕说：我第六感告诉我，这机器可能被黑了。这是他的服务器，请你找出以下内容作为通关条件：攻击者的两个IP地址隐藏用户名称黑客遗留下的flag【3个】关于靶机启动。

攻击者在获取服务器权限后，通常会用一些后门来维持权限，如果你想让你的后门保持的更久些，那么请隐藏好它，使之不易被管理员发现。

利用COM劫持技术，最为关键的是dll的实现以及CLSID的选择，通过修改CLSID下的注册表键值，实现对CAccPropServicesClass和MMDeviceEnumerator劫持，而系统很多正常程序启动时需要调用这两个实例。如果攻击者能够控制其中的某一 个目录，并且放一个恶意的DLL文件到这个目录下，这个恶意的DLL便会被进程所加载，从而造成代码执行。管理员在平时运维过程应当保持警惕，掌握一定的入侵排查技巧，及时进行系统补丁更新，定期对服务器安全检查，才能有效地预防后门。

AWD比赛入门攻略总结

网络安全应急响应实战笔记GitHub 地址：https://github.com/Bypass007/Emergency-Response-NotesGitBook 地址：前言 · 应急响应实战笔记

靶机地址：https://pan.quark.cn/s/4b6dffd0c51a#/list/share蓝队工具箱：https://github.com/ChinaRan0/BlueTeamTools。

关于Awd的小结

当企业发生黑客入侵、系统崩溃或其它影响业务正常运行的安全事件时，急需第一时间进行处理，使企业的网络信息系统在最短时间内恢复正常工作，进一步查找入侵来源，还原入侵事故过程，同时给出解决方案与防范措施，为企业挽回或减少经济损失。常见的应急响应事件分类：web入侵：网页挂马、主页篡改、Webshell系统入侵：病毒木马、勒索软件、远控后门网络攻击：DDOS攻击、DNS劫持、ARP欺骗针对常见的攻击事件，结合工作中应急响应事件分析和解决的方法，总结了一些Window服务器入侵排查的思路。

Windows系统日志是记录系统中硬件、软件和系统问题的信息，同时还可以监视系统中发生的事件。用户可以通过它来检查错误发生的原因，或者寻找受到攻击时攻击者留下的痕迹。Windows主要有以下三类日志记录系统事件：应用程序日志、系统日志和安全日志。系统日志记录操作系统组件产生的事件，主要包括驱动程序、系统组件和应用软件的崩溃以及数据丢失错误等。系统日志中记录的时间类型由Windows NT/2000操作系统预先定义。

当企业发生黑客入侵、系统崩溃或其它影响业务正常运行的安全事件时，急需第一时间进行处理，使企业的网络信息系统在最短时间内恢复正常工作，进一步查找入侵来源，还原入侵事故过程，同时给出解决方案与防范措施，为企业挽回或减少经济损失。针对常见的攻击事件，结合工作中应急响应事件分析和解决的方法，总结了一些Linux服务器入侵排查的思路。

AWD：Attack With Defence，即攻防对抗，比赛中每个队伍维护多台服务器（一般两三台，视小组参赛人数而定），服务器中存在多个漏洞（web层、系统层、中间件层等），利用漏洞攻击其他队伍可以进行得分，加固时间段可自行发现漏洞对服务器进行加固，避免被其他队伍攻击失分。

靶机地址：https://pan.quark.cn/s/4b6dffd0c51a#/list/share蓝队工具箱：https://github.com/ChinaRan0/BlueTeamTools。