正在生成
详细信息:
检测到您已登录华为云国际站账号,为了您更好的体验,建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
该章节为您介绍如何通过TCPView工具查看当前TCP连接状态,排查可疑进程,可疑进程一般用红色标记。 前提条件 推荐下载“TCPView”工具。 操作步骤 打开“TCPView”文件夹,双击“Tcpview.exe”文件,在弹出的对话框中,单击“Agree”。 查看当前TCP连接状态,判断该进程是否为木马程序。
查看网络分析,是否存在异常的IP链接主机。 查询命令:netstat –ano 根据查询结果排除业务连接端口或业务外部地址连接,锁定可疑地址。 使用微步在线确认可疑地址是否属于恶意或非正常业务的海外地址。 通过异常连接的“PID”,通过值(如2240)在步骤 1的查询结果找到进程(如vchost.exe)。
0个长度为800Byte的UDP数据包。 执行以下命令,查看当前的网络连接与进程。 netstat -anpt 分析当前的网络连接与进程是否存在异常,建议利用netstat -anpt命令进行查看;若当前连接与进程已停止或被隐藏,可以利用抓包方式进行分析,需要安装tcpdump抓包工具。
SVN(开放源代码的版本控制系统) TCP:25 SMTP(简单邮件传输协议) TCP:4848 GlassFish(应用服务器) TCP/UDP:53 DNS(域名系统) TCP:5000 Sybase/DB2(数据库) TCP:69 TFTP(简单文件传送协议) TCP:5432 PostgreSQL(数据库)
所示。 图1 端口扫描 查询发现这些IP地址均为境外IP。 案例二: 主机内发现异常进程,如图2所示。 图2 异常进程 查询发现此IP地址连接C&C。 C&C是指command-and-control命令与控制。简单来说就是一种机器与机器之间的通讯方式。 C&C服务器是由攻击者的
Path”列是否存在异常文件(非系统和正常业务部署创建文件)。 如果发现可疑进程,双击该进程名,可直接定位到注册表位置。可以在“Filter”中过滤可疑进程的名字。 图3 打开注册表编辑器 父主题: 方案一:工具溯源排查
您的华为云资源归属、资源使用计费的主体,对其所拥有的资源及云服务具有完全的访问权限。 华为账号是您访问华为各网站的统一“身份标识”,您只需注册华为账号,即可访问所有华为服务。 依次为账号下的所有IAM用户开启登录保护。 选择“统一身份认证服务 > 用户”,单击IAM用户所在行的“安全设置”。