入侵分析研究和相关方法

. 入侵分析简介. 基于日志的入侵分析技术. 入侵分析CASE 1. 入侵分析CASE 2. 入侵分析CASE 3. 入侵分析CASE 4

Windows 2003 清除日志的方法wmic nteventlog where "Logfilename = 'Application'" Call ClearEventLogwmic nteventlog where "Logfilename = 'Security'" Call ClearEventLogwmic nteventlog where "Logfilename = 'System'" Call ClearEventLogwmic nteventlog where "Logfilename = 'Internet Explorer'" Call ClearEventLogWindows 2008 及2012清除日志的方法WEVTUTIL CL "Application"WEVTUTIL CL "Security"WEVTUTIL CL "Setup"WEVTUTIL CL "System"WEVTUTIL CL "Windows PowerShell"

1. 分析和研究黑客入侵技术2. 研究安全漏洞并修补之3. 增强网络和信息的安全性能4. 抵抗黑客入侵破坏5. 构建一个安全的企业网络系统

1. 黑客能运用的攻击软件有很多，开源社区，统一渗透测试框架(例如metersploit)的出现，让黑客发动攻击的成本大幅下降2. 黑客自己开发或利用已有的工具寻找计算机系统和网络的缺陷和漏洞，并对这些缺陷实施攻击。这里说的缺陷，包括    1) 软件缺陷: 典型地如CMS代码漏洞、C/C++溢出漏洞    2) 硬件缺陷: 路由器硬件漏洞    3) 网络协议缺陷: IEEE801 Wifi协议漏洞、HTTPS协议漏洞    4) 管理缺陷和人为的失误

. 过滤. 信息分析监控. 安全管理. 扫描评估. 入侵侦测. 实时响应. 防病毒保护. 存取控制

. 网络互联级防火墙. 网络隔离级防火墙. 网络安全扫描评估系统. 系统安全扫描评估系统. 信息流捕获分析系统. 安全实时监控系统. 入侵侦测与实时响应系统. 网络病毒防护系统. 强力存取控制系统等

1. 事前实时入侵分析2. 入侵发生后事后的入侵原因分析

http://www.cnblogs.com/LittleHann/p/3892465.html

1. 从.bash_history中找到突破口，逐层分析2. 将分析过程中搜集到的零散的线索串起来，形成一条入侵线路图

1. 将后门程序、维护后门程序/rootkit的Bash脚本加入到/etc/inittab中，这样可以持久地保持被入侵机器的"rootkit状态"2. 在被入侵服务器上部署login后门    1) ssh后门：记录登录帐号和密码    2) netfilter端口后门3. 常用指令程序替换劫持(rootkit行为)    1) ps    2) ll    3) netstat4. 在被入侵服务器上部署C&&C远控程序，使其成为僵尸网络中的一员    1) irc-bot    2) tor5. 使用自动化脚本对被入侵的服务器上的log进行删除，檫除入侵痕迹

1. 在核心交换机上对流量进行旁路镜像，获取原始数据2. 通过对核心login日志的分析找到突破口：more /var/log/secure |grep Accepted3. 以入侵时间作为时间出发原点，查找入侵的最初现场1) 用find命令来查找出这个时间段里面系统中被修改的文件有哪些2) 用find命令来查找这段时间执行的指令有哪些

1. 在被入侵的服务器上防止DDOS、暴力破解攻击程序、WEBSHELL后门程序，使之成为肉鸡2. 在被入侵服务器上部署login后门    1) ssh后门：记录登录帐号和密码    2) netfilter端口后门3. 常用指令程序替换劫持(rootkit行为)    1) ps    2) ll    3) netstat4. 在被入侵服务器上部署C&&C远控程序，使其成为僵尸网络中的一员    1) irc-bot    2) tor5. 使用自动化脚本对被入侵的服务器上的log进行删除，檫除入侵痕迹

1. 入侵时间  从目录生成时间和入侵者删除ssl_request_log日志中相应时间段记录的情况来看入侵的大概时间应该在7月3号中午13点左右；2. 利用的漏洞利用漏洞扫描程序对系统进行扫描发现系统中存在多个可被利用的漏洞，但是从入侵者关闭apache的443端口服务和修改 ssl_request_log日志文件来看，他利用的是apache的mod_ssl模块的漏洞(CAN-2002-0656)入侵系统的 3. 攻击地址来源攻击地址来源有两个为82.77.188.56和82.77.188.240(但是这两个地址很有可能也是被入侵者控制的机器)4. 入侵者进入系统后做了以下这些操作：    1) 在系统中安装了通过IRC聊天服务器控制的后门程序修改了系统中news账号的权限和密码     2) 替换系统中一系列的系统命令     3) 替换了系统本身的login程序，并获得root的密码     4) 利用攻击程序对外进行443端口的扫描与攻击     5) 使用清除程序清除了系统日志中的相关记录

1. 通过查看端口监听情况，查看可疑端口监听进程(非常规端口)2. 通过/var/log/secure查看黑客进行的暴力破解事件：黑客有可能采用分布式协作扫描器来作为扫描器3. 针对目录下的隐藏文件(以"."开头的文件、目录)进行重点排查4. 检查登录记录(/var/log/secure)、账户文件(/etc/passwd)中的可疑root帐号5. 通过md5sum进行程序文件二进制对比，检查服务器上的程序是否遭到篡改

1. 通过时间维度判断目录下的异常文件: 正常情况下，一个目录下的文件的创建时间应该是接近的，而被黑客hacking过的文件会表现出明显的时间不一致性2. lsmod: 检查被入侵系统中是否被黑客装载了可疑的lkm rootkit3. promiscuous mode detection: 检查被入侵系统是否处于网络数据包监听(sniffering)状态4. rootkit行为检查