什么是应急响应 应急响应服务 为了应对各种意外事件的发生所做的准备以及在事件发生后所采取的措施的服务 如：系统被入侵、重要信息被窃取、系统拒绝服务
转载
2021-07-12 23:21:00
545阅读
2评论
应急响应浅谈应急响应及应急响应中心应急响应是安全从业者最常见的工作之一（系统被黑后紧急救火，PDR模型-防护、检测、响应中的三大模块之一）。很多人可能认为应急响应就是发现服务器被黑之后，登录上去查后门的那段过程。 其实应急响应的完整定义为：组织为了应对突发/重大信息安全事件的发生所做的准备，以及在事件发生后所采取的措施。通俗地讲，应急响应不应该只包括救火，还应包括救火前的一系列准备。如果在工作中忽
原创
2021-02-04 20:07:15
833阅读
windows应急响应 查看启动项 windows运行命令打开启动项查看 msconfig 利用注册表查看启动项 计算机\HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run 查看windows日志 #打开日志管理器 eve ...
转载
2021-11-02 09:44:00
326阅读
2评论
目录 1.操作系统信息 2.登录排查 3.启动项排查 4.进程排查 5.计划任务 6.日志 7.文件
转载
2022-09-17 10:11:00
527阅读
0x00 前言ARPbd并不是某一种bd的名称，而是对利用arp协议的漏洞进行传播的一类bd的总称，目前在局域网中较为常见。发作的时候会向全网发送伪造的ARP数据包，严重干扰全网的正常运行，其危害甚至比一些蠕虫bd还要严重得多。0x01 应急场景
某天早上，小伙伴给我发了一个微信，说192.168.64.76 CPU现在负载很高，在日志分析平台查看了一下这台服务器的相关日志，流量在某个时间点暴涨
原创
2023-08-21 17:57:17
149阅读
1 响应流程事件发生
运维监控人员、客服审核人员等发现问题，向上通报。
事件确认
收集事件信息、分析网络活动相关程序，日志和数据，判断事件的严重性，评估出问题的严重等级，是否向
上进行汇报等。
事件响应
各部门通力合作，处理安全问题，具体解决问题，避免存在漏洞未修补、后门未清除等残留问题。
事件关闭
处理完事件之后，需要关闭事件，并写出安全应急处理分析报告，完成整个应急过程。2 事件分类• 后门、
目录概述1）准备阶段2）检测阶段3）抑制阶段4）根除阶段5）恢复阶段6）总结阶段概述PDCERF方法最早于1987年提出，该方法将应急响应流程分成准备阶段、检测阶段、抑制阶段、根除阶段、恢复阶段、总结阶段。根据应急响应总体策略为每个阶段定义适当的目的，明确响应顺序和过程。但是，PDCERF方法不是安全事件应急响应的唯一方法。在实际应急响应过程中，不一定严格存在这6个阶段，也不一定严格按照这6个阶段
http://www.freebuf.com/tools/87400.html
转载
精选
2015-12-04 15:16:44
388阅读
查询特权用户特权用户(uid为0)awkF:'30{print1}'/etc/passwd查找远程可以登录的账户awk'/\1\5\6/{print1}'/etc/shadow1：MD5（长度22个字符）5：SHA256（长度43个字符）6：SHA512（长度86个字符）检查sudo权限cat/etc/sudoersgrepv"^\^"grep"ALL=(ALL"删除或锁定账号通过上面的步骤可以找
原创
精选
2022-05-07 14:03:04
625阅读
点赞
1评论
前言应急响应一般是发现服务器被入侵、个人重要信息被窃取、系统拒绝服务、网络流量异常等各种意外事件。本文主要讲一下linux应急响应中的一下常用方法，仅代表个人观点应急响应日志文件分析系统日志：message、secure、cron、mail等系统日志/var/log/secure，/ar/log/wtmp，var/log/message:jihu**/var/log/secure**：记录登录系统
转载
2023-10-18 17:05:27
83阅读
背景前一段时间我处理了一次应急响应，我还输出了一篇文章 Linux应急响应笔记。这两天又处理了一次病毒入侵，在前一次的基础上，这次应急做了一些自动化脚本，应急响应效率有了一定程度的提升，故另做一份笔记。PS：本文重在分享应急响应经验，文中保留了恶意网址，但是删除了恶意脚本及程序的下载路径。本文仅用于技术讨论与分析，严禁用于任何非法用途，违者后果自负。应急操作笔记查看我上一次 Linux应急响应笔记
转载
2021-05-14 13:09:09
212阅读
目录排查用户相关的信息排查进程端口相关的信息查找恶意程序并杀掉斩草除根
转载
2022-12-20 19:23:03
66阅读
linux服务器webshell查杀、远控、勒索等应急响应
原创
2023-08-17 21:06:29
148阅读
文件分析
• 最近使用文件
– C:\Documents and Settings\Administrator\Recent
– C:\Documents and Settings\Default User\Recent
– %UserProfile%\Recent
• 系统日志分析
– 事件查看器 eventvwr.msc用户分析
• 查看是否有新增用户
• 查看服务器是否有弱口令
• 查看管理
1.用户账号和组审计1)描述：黑客通常对系统进行入侵后会添加后门账号，所以需要审计用户和组是否有被篡改的痕迹。 2)命令：lusrmgr.exe 3)检查方法：查看是否有可疑的用户名被创建，检查是否administrators组里有可疑的账户被授权。2.自启动配置审计1)描述：黑客修改自启动配置通常可以在系统启动之后加载黑客自定义脚本。 2)命令：msconfig.exe 或 wmic start
