網(wǎng)絡(luò)技術(shù)是從1990年代中期發(fā)展起來(lái)的新技術(shù),它把互聯(lián)網(wǎng)上分散的資源融為有機(jī)整體,實(shí)現(xiàn)資源的全面共享和有機(jī)協(xié)作,使人們能夠透明地使用資源的整體能力并按需獲取信息。資源包括高性能計(jì)算機(jī)、存儲(chǔ)資源、數(shù)據(jù)資源、信息資源、知識(shí)資源、專家資源、大型數(shù)據(jù)庫(kù)、網(wǎng)絡(luò)、傳感器等。 當(dāng)前的互聯(lián)網(wǎng)只限于信息共享,網(wǎng)絡(luò)則被認(rèn)為是互聯(lián)網(wǎng)發(fā)展的第三階段。 分析入侵者都做了些什么!記得為了方便在他機(jī)器上裝了RADMIN.登陸了一下.密碼也不對(duì)了.看來(lái)是有人上去了.而且入侵者還拿到了系統(tǒng)管理員權(quán)限 跑到機(jī)房.拿出ERD COMMANDER.改了密碼.重啟,進(jìn)入系統(tǒng)后第一步升級(jí)帳戶.多了一個(gè)hud$的用戶.administrators組.刪除,再看guest用戶雖然禁用狀態(tài),但是說(shuō)明內(nèi)容不對(duì)了.仔細(xì)一看.administrators組.同樣刪除。接著看了下其他用戶.組別都正常.把遠(yuǎn)程連接權(quán)限都去掉后.帳號(hào)方面算是處理完了. 接著看看各個(gè)硬盤(pán)C:\下面有如下文件 sqlhello.exe sqlhello2.exe result.txt 1.bat 2.bat 編輯了下1.bat,里面內(nèi)容都是掃描整個(gè)網(wǎng)段.看來(lái)是有人拿這臺(tái)機(jī)器當(dāng)跳板了.移動(dòng)所有文件到其他目錄. 接著審計(jì)應(yīng)用程序,考慮這臺(tái)機(jī)器的用途和環(huán)境 是WINDOWS2000+IIS+SERV-U 先看SERV-U審計(jì)用戶.看看有沒(méi)有別人加system權(quán)限的FTP用戶.查看下來(lái)沒(méi)有. 執(zhí)行權(quán)限也沒(méi)有.鎖定目錄狀態(tài)都是對(duì)的. 看了下沒(méi)有記錄日志. 然后看了版本. 5.0.0.4...ft了.早讓他升級(jí).就是不升.看來(lái)是被入侵的第一步.先升級(jí)到6.0.0.2 FTP這里應(yīng)該沒(méi)什么問(wèn)題了. IIS方面的分析: 開(kāi)著日志記錄.太好了.等會(huì)兒分析日志 繼續(xù)看.其他都是默認(rèn)配置.先在應(yīng)用程序映射里把所有的文件類型都刪除干凈只保留.ASP和.ASA 審計(jì)文件權(quán)限 設(shè)定各個(gè)分區(qū)和目錄的權(quán)限. 接著審查木馬情況.由于系統(tǒng)不能重裝.所以只能加固原有已經(jīng)被入侵的系統(tǒng),考慮到這個(gè)入侵者添加的用戶的情況以及在C根目錄放文件還有日志都是開(kāi)放等等情況,估計(jì)水平不會(huì)很高.也不會(huì)植入自己編寫(xiě)的木馬. 使用了朋友thrkdev編的ATE來(lái)查了一遍.看來(lái)沒(méi)有已知木馬. 接著查找WEBSHELL,考慮到入侵者水平.最多也就用用海陽(yáng).而且最多也就把部分版權(quán)信息去掉,搜索所有內(nèi)容包含lcx的.ASP文件. 果然.4個(gè)文件. 2005.asp ok.asp dvbbs7.asp aki.asp 看來(lái)分析還是比較準(zhǔn)確的.除了dvbbs7.asp有點(diǎn)創(chuàng)意,移動(dòng)這些文件到其他目錄.供以后審計(jì)用. 網(wǎng)絡(luò)的神奇作用吸引著越來(lái)越多的用戶加入其中,正因如此,網(wǎng)絡(luò)的承受能力也面臨著越來(lái)越嚴(yán)峻的考驗(yàn)―從硬件上、軟件上、所用標(biāo)準(zhǔn)上......,各項(xiàng)技術(shù)都需要適時(shí)應(yīng)勢(shì),對(duì)應(yīng)發(fā)展,這正是網(wǎng)絡(luò)迅速走向進(jìn)步的催化劑。 |
溫馨提示:喜歡本站的話,請(qǐng)收藏一下本站!