实例讲解网站被入侵后需做的检测

先分析入侵者都做了些什么！

　　记得为了方便在他机器上装了RADMIN，登录了一下，密码也不对了，看来是有人上去了，而且入侵者还拿到了系统管理员权限。

　　跑到机房，拿出ERD COMMANDER，改了密码，重启，进入系统后第一步升级帐户，多了一个hud$的用户，administrators组，删除，再看guest用户虽然禁用状态，但是说明内容不对了。仔细一看，administrators组，同样删除。接着看了下其他用户，组别都正常，把远程连接权限都去掉后，帐号方面算是处理完了。

　　接着看看各个硬盘C:\下面有如下文件

　　sqlhello.exe

　　sqlhello2.exe


　　result.txt

　　1.bat

　　2.bat

　　编辑了下1.bat，里面内容都是扫描整个网段。看来是有人拿这台机器当跳板了，移动所有文件到其他目录。

　　接着审计应用程序，考虑这台机器的用途和环境。

　　是WINDOWS2000+IIS+SERV-U

　　先看SERV-U审计用户，看看有没有别人加system权限的FTP用户，查看下来没有。

　　执行权限也没有，锁定目录状态都是对的。

　　看了下没有记录日志。

　　然后看了版本。
5.0.0.4...ft了，早让他升级，就是不升，看来是被入侵的第一步，先升级到6.0.0.2

　　FTP这里应该没什么问题了。

　　IIS方面的分析：

　　开着日志记录，太好了，等会儿分析日志

　　继续看，其他都是默认配置，先在应用程序映射里把所有的文件类型都删除干净只保留.ASP和.ASA

　　审计文件权限

　　设定各个分区和目录的权限。

　　接着审查木马情况，由于系统不能重装，所以只能加固原有已经被入侵的系统，考虑到这个入侵者添加的用户的情况以及在C根目录放文件还有日志都是开放等等情况，估计水平不会很高，也不会植入自己编写的木马。

　　使用了朋友thrkdev编的ATE来查了一遍，看来没有已知木马。

　　接着查找WEBSHELL，考虑到入侵者水平，最多也就用用海阳，而且最多也就把部分版权信息去掉，搜索所有内容包含lcx的.ASP文件。

　　果然，4个文件。

　　　　2005.asp

　　　　ok.asp

　　　　dvbbs7.asp

　　　　aki.asp

　　看来分析还是比较准确的，除了dvbbs7.asp有点创意，移动这些文件到其他目录，供以后审计用。

[1] [2] 下一页