应急响应练习1

目录

1. 提交攻击者的IP地址

2. 识别攻击者使用的操作系统

3. 找出攻击者资产收集所使用的平台

4. 提交攻击者目录扫描所使用的工具名称

5. 提交攻击者首次攻击成功的时间，格式：DD /MM/YY:HH:MM:SS

6. 找到攻击者写入的恶意后门文件，提交文件名（完整路径）和后门密码

7. 找到攻击者隐藏在正常web应用代码中的恶意代码，提交该文件名（完整路径）

8. 识别系统中存在的恶意程序进程，提交进程名

9. 找到文件系统中的恶意程序文件并提交文件名（完整路径）

10. 请分析攻击者的入侵行为与过程

环境：Linux webserver 5.4.0-109-generic

1. 提交攻击者的IP地址

linux应急响应需要知道的，黑客要想进服务器或者说是内网，那一定先是从web端外网下手

所以这里我先查看web日志查看黑客进行了什么操作

网站日志一般在/var/log/apache2/access.log

这里有access.log和access.log1一个一个看

access.log没有数据access.log1有数据

数据很杂这样可读性太低了,  筛选出所需的来看

这里筛选出GET传参的数据

cat /var/log/apache2/access.log.1 | grep 'GET'

这里能看到黑客对网站的目录扫描

黑客ip:  192.168.1.7

2. 识别攻击者使用的操作系统

这里继续分析web日志

单独筛选出黑客ip

cat /var/log/apache2/access.log.1 | grep '192.168.1.7'

黑客使用的操作系统:  Linux x86_64

3. 找出攻击者资产收集所使用的平台

这里要靠经验,  要是没有进行过web渗透可能不知道什么是资产收集

一般资产收集平台(shodan   fofa)

这里还把目录扫描过滤掉了,  因为太多了会把黑恶的正常攻击挤上去

cat /var/log/apache2/access.log.1 | grep '192.168.1.7' | grep 'Mozilla/5.0'

因为目录扫描使用的是大量的head请求,  所以没有user-agent,  我们只要过滤出有user-agent的数据就行

资产收集平台:  shodan