-
排查过程 - 安全技术与应用
查看文件命令:ll -art 查询木马路径:pwd 查询文件中是否存在异常地址:strings +文件名(如config.json)+ |grep xmr 建议重点排查以下目录:/etc为配置文件、/tmp为临时文件、/bin为可执行文件。
-
勒索 - 安全技术与应用
案例 如下为主机被勒索的几个案例: 案例一:Windows主机文件加密,主机内存在勒索信条 案例二:Windows主机文件加密,主机内文件被添加后缀 案例三:Linux主机文件加密,主机文件被添加后缀 父主题: 主机面临的安全问题
-
排查思路 - 安全技术与应用
对用户家目录下的用户名目录进行排查是否存在异常文件,是否存在异常登录或暴力破解。 应用:查看进程所属应用,应用的目录下是否有异常文件。 父主题: 主机安全排查(Linux操作系统)
-
方案二:DOS系统命令排查 - 安全技术与应用
查询命令:dir /s + 文件目录(如C:)+ ; findstr "exe" 查询磁盘中(如C盘)下,"exe"的文件和目录,根据查询结果排除系统文件或应用创建文件,锁定异常文件。
-
步骤4:异常用户分析 - 安全技术与应用
检测主机内的异常用户目录下是否存在异常文件(非系统和业务部署创建的文件)。 对异常文件分析,是否为正常业务部署创建的文件,或者通过杀毒软件对文件进行安全检测。 父主题: 方案一:工具溯源排查
-
步骤2:自启动分析 - 安全技术与应用
操作步骤 打开“Autoruns”文件夹,双击“Autoruns.exe”文件。 图1 打开AutoRuns文件夹 在弹出的对话框中,单击“Agree”。
-
挖矿 - 安全技术与应用
主机内发现异常文件。 对文件进行分析,发现矿池信息。 检测URL为恶意矿池地址。 父主题: 主机面临的安全问题
-
步骤1:进程分析 - 安全技术与应用
操作步骤 打开“ProcessExplorer”文件夹,双击“procexp64.exe”文件。 图1 processExplorer 在弹出的对话框中,单击“Agree”,查看进程信息,在线排查进程。
-
步骤3:网络分析 - 安全技术与应用
操作步骤 打开“TCPView”文件夹,双击“Tcpview.exe”文件,在弹出的对话框中,单击“Agree”。 查看当前TCP连接状态,判断该进程是否为木马程序。 如果发现存在不知名进程,并且存在大量的SYN_SENT状态的连接,该进程疑似为木马程序。
-
排查方法 - 安全技术与应用
图1 UDP对外攻击数据包 执行以下命令,将抓包分析结果暂存至/home文件夹中,文件名为udp.pcap。 nohup tcpdump -nn udp -c 1000000 -w /home/udp.pcap & 执行以下命令,对抓包分析结果进行分析,结果如图2所示。
-
高危端口开放策略的安全最佳实践 - 安全技术与应用
) TCP:5432 PostgreSQL(数据库) TCP:110 POP3(邮局协议版本3) TCP:5900-5902 VNC(虚拟网络控制台,远控) TCP:111、2049 NFS(网络文件系统) TCP:5984 CouchDB(数据库) TCP:137、139、445