网站被入侵后需做的检测
作者:网络转载 发布时间:[ 2013/8/29 15:33:32 ] 推荐标签:
看来分析还是比较准确的.除了dvbbs7.asp有点创意,移动这些文件到其他目录.供以后审计用.
然后是网络部分
TCP过滤未开.IPSEC未指派.
先把NETBIOS关掉.然后TCP内只允许20,21,80,3389
考虑到反向木马的可能性
在IPSEC内打开本机SPORT 20,21,80,3389到外部任意端口.其他从内部往外的一律屏蔽.
系统萃取.把一些无关服务与软件关闭或者卸载.
对系统进行补丁升级.还好补丁还是没有缺.把自动UPDATE设置到自动安装.
后一步是分析日志.看看有没有遗漏的地方,系统本身的日志都被关闭了.看来入侵者还是比较小心.
打开该审计的部分.在关键目录.比如系统目录加上了审计.使得所有对C:WINNT的创建文件的成功与失败都记录在日志内.
由于前面提到SERV-U日志原来并未记录.只能打开IIS日志查找对于找到的4个WEBSHELL的访问情况,找到了访问的IP.回查.来自一个固定IP地址,浏览了一下.得到信息后给对方管理员去邮件通知他们做好安全工作。
其实还有一些部分内容应该做而限于有些条件没有做的.
1.更换系统默认用户用户名
因为兄弟他们对计算机不熟.没有更换.不过要求他们使用更加强壮的密码了
2.对于加密的webshell的查找
上述内容中对于WEBSHELL只查找了一种.并且只针对明文编码的页面程序进行了查找,应该是可以加入对于编码后ASP WEBSHELL的搜索.
还有搜索内容应该由简单的LCX扩展到wscript.shell等更加广泛与匹配的关键词的查找
3.对于木马的查找
由于预估入侵者水平不高.所以这项只依靠杀木马软件进行了搜索.如果有时间的话.还是应该手工进行查找
4.对页面程序进行评估
也有由于时间关系.没时间对原有网站程序进行检查.
5.入侵测试
由于入侵检测很可能被入侵者的思路带着走而忽略了其他薄弱环节.
所以检测完毕应该好进行完全的测试.保证其他路径是同样强壮的.
相关推荐
更新发布
功能测试和接口测试的区别
2023/3/23 14:23:39如何写好测试用例文档
2023/3/22 16:17:39常用的选择回归测试的方式有哪些?
2022/6/14 16:14:27测试流程中需要重点把关几个过程?
2021/10/18 15:37:44性能测试的七种方法
2021/9/17 15:19:29全链路压测优化思路
2021/9/14 15:42:25性能测试流程浅谈
2021/5/28 17:25:47常见的APP性能测试指标
2021/5/8 17:01:11