服務(wù)器被攻擊 如何查看異常進(jìn)程以及網(wǎng)站木馬檢查

時間：2020-01-05作者：青島四海通達(dá)電子科技有限公司瀏覽：1759

目前越來越多的服務(wù)器被入侵，以及攻擊事件頻頻的發(fā)生，像數(shù)據(jù)被竊取，數(shù)據(jù)庫被篡改，用戶數(shù)據(jù)被脫褲，網(wǎng)站被強制跳轉(zhuǎn)到惡意網(wǎng)站上，網(wǎng)站在百度的快照被劫持，等等的攻擊癥狀層出不窮，當(dāng)我們的服務(wù)器被攻擊，被黑的時候我們**時間該怎么去處理解決呢?

如何排查服務(wù)器被入侵攻擊的痕跡呢?是否有應(yīng)急處理方案，在不影響網(wǎng)站訪問的情況下，很多客戶出現(xiàn)以上攻擊情況的時候，找到我們SINE安全來處理解決服務(wù)器被攻擊問題，我們sine安全工程師總結(jié)了一套自有的辦法，分享給大家，希望大家能在**時間解決掉服務(wù)器被黑的問題。有些客戶遇到這種情況，**時間想到的就是先把服務(wù)器關(guān)機，通知機房拔掉電源，有的是直接先關(guān)閉網(wǎng)站，這些措施只能先解決目前的問題，解決不了問題的根源，所以遇到服務(wù)器被攻擊的情況，我們應(yīng)該詳細(xì)的檢查日志，以及入侵痕跡，溯源，查找漏洞，到底是哪里導(dǎo)致的服務(wù)器被入侵攻擊。



首先我們應(yīng)該從以下方面入手：

檢查服務(wù)器的進(jìn)程是不是有惡意的進(jìn)程，以及管理員賬號是否被惡意增加，對服務(wù)器的端口進(jìn)行查看，有沒有開啟多余的端口，再一個對服務(wù)器的登陸日志進(jìn)行檢查，服務(wù)器的默認(rèn)開啟啟動項，服務(wù)以及計劃任務(wù)，檢查網(wǎng)站是否存在木馬后門，以及服務(wù)器系統(tǒng)是否中病毒。如何查看進(jìn)程?打開服務(wù)器，在cmd命令下輸入tasklis，或者是右鍵任務(wù)管理器來進(jìn)行查看進(jìn)程，點顯示所有用戶的進(jìn)程就可以，我們綜合的分析，根據(jù)這個內(nèi)存使用較大，CPU占用較多來初步的看下，哪些進(jìn)程在不停的使用，就能大概判斷出有沒有異常的進(jìn)程，一般來說加載到進(jìn)程的都是系統(tǒng)后門，查看到進(jìn)程詳細(xì)信息使用PID來查看，再用命令findstr來查找進(jìn)程調(diào)用的文件存放在哪里。

接下來就是查看系統(tǒng)是否存在其他惡意的管理員賬號,cmd命令下輸入net user就會列出當(dāng)前服務(wù)器里的所有賬號，也可以通過注冊表去查看管理員賬號是否被增加，注冊表這里是需要在命令中輸入regedit來打開注冊表，找到HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\Names可以看到所有的賬號名字。

端口方面的檢查，比如一些客戶服務(wù)器經(jīng)常遭受攻擊像3306數(shù)據(jù)庫端口，21FTP端口，135,445端口，1433sql數(shù)據(jù)庫端口，3389遠(yuǎn)程桌面端口，是否是對外開放，如果這些端口對外開放，很有可能利用漏洞進(jìn)行攻擊，入侵，還有弱口令賬號密碼，有些數(shù)據(jù)庫的root賬號密碼為空，以及FTP可以匿名連接，都可以導(dǎo)致服務(wù)器被入侵。有些密碼還是123456,111111等等。遠(yuǎn)程桌面的端口要修改掉，盡可能的防止攻擊者利用暴力破解的手段對服務(wù)器進(jìn)行登陸?？梢詫h(yuǎn)程登陸這里做安全驗證，限制IP，以及MAC，以及計算機名，這樣大大的加強了服務(wù)器的安全。還要對服務(wù)器的登陸日志進(jìn)行檢查，看下日志是否有被清空的痕跡，跟服務(wù)器被惡意登陸的日志記錄，一般來說很多攻擊者都會登陸到服務(wù)器，肯定會留下登陸日志，檢查事件682就可以查得到。

接下來要對服務(wù)器的啟動項，服務(wù)以及計劃任務(wù)進(jìn)行檢查，一般攻擊者提權(quán)入侵服務(wù)器后，都會在服務(wù)器里植入木馬后門，都會插入到啟動項跟計劃任務(wù)，或者服務(wù)當(dāng)中去，混淆成系統(tǒng)服務(wù)，讓管理員無法察覺，使用msconfig命令對服務(wù)器進(jìn)行查看。

注冊表這里要檢查這幾項：

HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices\HKLM\Software\Microsoft\Windows\CurrentVersion\Run\ HKEY_CLASSES_ROOT\exefile\shell\open\commandHKLM\Software\Microsoft\Windows\CurrentVersion\RunOnce\

較重要的是對服務(wù)里的網(wǎng)站代碼進(jìn)行安全檢測，對比之前網(wǎng)站的備份文件，看下有沒有多出一些可疑的代碼文件，圖片格式的可以忽略，主要是一些asp，aspx，php，jsp等腳本執(zhí)行文件，對代碼查看是否含有eval等特殊字符的一句話木馬webshell,還有些base64加密的文件，都有可能是網(wǎng)站木馬文件，網(wǎng)站的首頁代碼，標(biāo)題描述，是否被加密，一些你看不懂的字符，這一般是網(wǎng)站被入侵了，一步一步導(dǎo)致的服務(wù)器被攻擊。

整體上的服務(wù)器被入侵攻擊排查就是上面講到的，還有一些是服務(wù)器安裝的軟件，以及環(huán)境，像apache,strust2，IIS環(huán)境漏洞，都會導(dǎo)致服務(wù)器被入侵，如果網(wǎng)站被篡改，一定要檢查網(wǎng)站存在的漏洞，是否存在sql注入漏洞，文件上傳漏洞，XSS跨站漏洞，遠(yuǎn)程代碼執(zhí)行漏洞，從多個方向去排查服務(wù)器被入侵攻擊的問題。如果對服務(wù)器不是太懂，可以找專業(yè)的網(wǎng)絡(luò)安全公司去處理，國內(nèi)sinesafe,啟**辰，綠盟，都是比較不錯的，以上就是我們?nèi)粘Ｌ幚砜蛻舴?wù)器總結(jié)的一套自有的方法去排查，找問題，溯源追蹤，徹底的防止服務(wù)器繼續(xù)被黑，將損失降到較低。每個客戶的服務(wù)器安裝的環(huán)境不一樣，以及代碼如何編寫的，根據(jù)實際情況來排查解決問題。





青島四海通達(dá)電子科技有限公司專注于服務(wù)器安全,網(wǎng)絡(luò)安全公司,網(wǎng)站安全防護(hù),網(wǎng)站漏洞檢測,滲透測試,網(wǎng)站安全,網(wǎng)站漏洞掃描,網(wǎng)站安全檢測等, 歡迎致電 13280888826

• 詞條

  詞條說明

• 網(wǎng)站存在漏洞被攻擊 該如何防止網(wǎng)站被入侵

  在眾多網(wǎng)站上線后出現(xiàn)的安全漏洞問題非常明顯,作為網(wǎng)站安全公司的主管我想給大家分享下在日常網(wǎng)站維護(hù)中碰到的一些防護(hù)黑客攻擊的建議，希望大家的網(wǎng)站都能正常穩(wěn)定運行免遭黑客攻擊。1.對上傳文件的目錄設(shè)定為腳本不能執(zhí)行的權(quán)限要是Web服務(wù)器沒法解析該文件目錄下的腳本文檔，即便黑客攻擊發(fā)送了腳本制作文檔，網(wǎng)站服務(wù)器自身也不容易受到損害。許多商業(yè)網(wǎng)站的發(fā)送運用，上傳文件之后放進(jìn)單獨的儲存上，做靜態(tài)數(shù)據(jù)文檔解決

• 網(wǎng)站被黑客攻擊 該如何查殺網(wǎng)站木馬文件webshell？

  在快速發(fā)展的移動互聯(lián)網(wǎng)今天，受疫情的影響，大部分人都在家遠(yuǎn)程辦公，依靠于移動互聯(lián)網(wǎng)，許多的公司較不樂意見到的便是自個耗費精力設(shè)計的企業(yè)官網(wǎng)，在都還沒有為公司賺的相應(yīng)的收益的情況下，就已經(jīng)被掛黑客攻擊導(dǎo)致網(wǎng)站被掛木馬，而且據(jù)SINE安全統(tǒng)計發(fā)現(xiàn)，現(xiàn)階段許多的公司針對網(wǎng)站開發(fā)并不是很了解，不明白怎樣監(jiān)控和防止企業(yè)網(wǎng)站被攻擊，被掛馬的發(fā)生，因此，SINE安全工程師今日刻意為各位小結(jié)一點有關(guān)于網(wǎng)站安全監(jiān)測

• 為什么要做網(wǎng)站漏洞檢測

  網(wǎng)站漏洞檢測對于**網(wǎng)站的安全性和穩(wěn)定性非常重要，主要有以下幾個方面的原因：預(yù)防攻擊：網(wǎng)站漏洞是攻擊的入口，一旦發(fā)現(xiàn)網(wǎng)站的漏洞，就可以利用漏洞進(jìn)行攻擊，導(dǎo)致網(wǎng)站被篡改、癱瘓甚至被重要信息。因此，定期進(jìn)行網(wǎng)站漏洞檢測可以及早發(fā)現(xiàn)漏洞并加以修復(fù)，預(yù)防攻擊。提高網(wǎng)站安全性：網(wǎng)站漏洞修復(fù)可以提高網(wǎng)站的安全性，避免網(wǎng)站被攻擊或軟件感染，保護(hù)用戶的隱私和數(shù)據(jù)安全。提高用戶信任度：網(wǎng)站漏洞檢測和修復(fù)可以提高用戶

• 淺談滲透與漏洞掃描

  ? ? ? ? ? ? ? ? ? ?上半年的網(wǎng)絡(luò)安全事件已經(jīng)結(jié)束，下半年將重新開始遠(yuǎn)程。較近，有趣的是，幾天前我的一個朋友去面試時，他被一個簡單的問題直接刷掉了。滲透和漏洞掃描有什么區(qū)別？ ，當(dāng)時我有點困惑。說實話，對于一個剛開始的小白來說，兩者之間的區(qū)別可能是一、二、三。當(dāng)時，我會告訴面試官兩