windows-server-2003 – 如何对服务器黑客进行验尸
|
我有一台安装了IIS6,SQL Server 2005,MySQL 5和
PHP 4.3的Windows Server 2003 SP2计算机.这不是生产机器,而是通过域名向世界公开.计算机上启用了远程桌面,并且有两个管理帐户处于活动状态.
今天早上我发现该机器已经以登录文本框中的未知用户名注销.经过进一步调查,我发现已经创建了两个Windows用户,已经卸载了防病毒软件,并且已经将少量.exe文件放入C：驱动器中. 我想知道的是,我应该采取什么措施来确保不再发生这种情况,我应该集中精力确定进入的途径.我已经检查了netstat -a以查看哪些端口是打开的,并且没有什么看起来很奇怪.我确实在MySQL的数据文件夹中找到了未知文件,我认为这可能是切入点,但我不确定. 我非常感谢对服务器黑客进行良好验尸的步骤,以便将来可以避免这种情况. 调查后审查 经过一番调查后,我想我发现了发生的事情.首先,机器在08年8月到2009年10月期间没有上线.在此期间发现了一个安全漏洞,MS08-067 Vulnerability.“这是一个远程执行代码漏洞.成功利用此漏洞的攻击者可以远程完全控制受影响的系统.基于Microsoft Windows 2000,基于Windows XP以及基于Windows Server 2003的系统,攻击者可以通过RPC利用此漏洞而无需身份验证,并且可以运行任意代码.“使用KB958644安全更新修复了这种可用性,该更新于2008年10月发布. 由于该机器当时处于脱机状态并错过了此次更新,我相信这台漏洞在2009年10月机器重新上线后很快就被利用了.我发现了对bycnboy.exe程序的引用,该程序已经被described as a backdoor program在受感染的系统上造成了很大的破坏.机器上线后不久,自动更新安装了补丁,关闭了远程控制系统的能力.由于后门现已关闭,我相信攻击者随后在机器上创建了物理帐户,并且能够再利用机器一周,直到我发现发生了什么. 在积极追求恶意代码,.exes和.dll,删除自托管网站和用户帐户后,该机器现在再次处于工作状态.在不久的将来,我将监视系统并查看服务器日志,以确定是否发生了重复事件. 感谢您提供的信息和步骤.
进行验尸本身就是一种黑色艺术.每次都有点不同,因为真的没有两个闯入是相同的.考虑到这一点,下面是我推荐过程的基本概述,并针对您的情况提供了一些具体说明：
>物理断开机器与网络的连接. (真的.现在就做.) >可选择复制您找到的任何“黑客工具” >开始实际的验尸.在你的情况下： >记下任何新的或缺少的用户帐户.看看他们的主文件夹是否有任何“有趣”的内容. >当您找到问题的原因时,请注意如何防止问题再次发生. 如果您要参与执法,通常会执行第2步.执行步骤3,以便在重建服务器后查看信息,而无需阅读在步骤2中创建的映像副本. 第4步的详细程度取决于你的目标：只是插入漏洞是一种不同的调查,而不是追踪谁窃取了一些有价值的数据:) 第6步是恕我直言.您没有“修复”受感染的主机：您擦除它并从已知良好状态重新开始.这可以确保你不会错过一些令人讨厌的盒子作为定时炸弹. 这绝不是一个完整的验尸大纲.我将此标记为社区维基,因为我一直在寻找对流程的改进 – 我不经常使用它:-) （编辑：李大同） 【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容! |