服务器后门查找排查之情报分析

威胁情报，顾名思义它是威胁的情报，这个情报的产出是什么，是人。也就是说通过很多人或者一些自动采集的设备，形成的一个数据报告，就是威胁情报。那威胁情报有很多的平台，这些平台可以查出域名和IP地址的信誉度，如果咱们发现IP和域名的信誉度非常低，并且存在攻击的行为，那迅速给它封禁。那举个形象点的例子，比如现在小明，那小明欠了别人几千块钱，法院把它列为被执行人，他就变成老赖了。那这个时候你坐地铁或者坐高铁是不是就不行了，IP和域名的信誉度也是一样的，你一旦被标记为攻击IP或者木马反连，这时候对于我们来说，你这个IP就没有信誉度了，我发现你这个地址，我的服务在访问你，就怀疑它是攻击，那看一下有哪些平台，这里有几个，我推荐的是第一个是微步，那看一下，这里可以搜索关键字IP运营，URL希，这里的希是指恶意文件的希，我上传一个恶意文件，把它解压出来，默认密码safehelper。

在备注里因为我之前分析过了，所以它特别快，他有这么多的信息，那咱们在比如互网的时候最关注的什么，他的IP的信息，查到他的IP了，快速检索咱们的网络设备和安全设备，看有没有此IP发送的请求，或者从内部向他发送的请求，搜索一下这个IP地址是什么，那就不能用云砂箱，还在微博在线刚才的搜索栏，这里边是它的一些信誉度，也就和咱们的信用卡一样，你消费过度了，看他执行了CS的木马，被人标记了这时候咱们就百分百确定它是一个攻击IP，那马上将它封禁就可以了。

其他的其实也一样。那看一下，这是给大家特别特别推荐去查木马的一个沙箱，看我把刚才的恶意软件上传到上去，看这里边有相当多的杀毒软件，60%或者70以上都报它为恶意木马或者病毒后门，这时候你就肯定就要把 IP封禁了，就是说通过刚才微博在线就直接封禁了。因为可能在这儿你查出来那个文件，他也访问了这个IP，但你查过一些情报，这个IP是完全没有被消费过的，也就是说它他这块没有任何发现情报，那你就是第一个发现情报的人，你发现它就是木马，那它又反向这个 IP，说明他做了免杀。其他的几个大家去尝试一下，我不一一说了，那大概都是这个样。关于威胁情报的就讲到这里如果遇到服务器中了后门木马无法查杀和排除的话可以向服务器安全服务商SINE安全寻求技术排查。