当企业发生黑客入侵、系统崩溃或其它影响业务正常运行的安全事件时，急需第一时间进行处理，使企业的网络信息系统在最短时间内恢复正常工作，进一步查找入侵来源，还原入侵事故过程，同时给出解决方案与防范措施，为企业挽回或减少经济损失。
web入侵：网页挂马、主页篡改、Webshell
系统入侵：病毒木马、勒索软件、远控后门
网络攻击：DDOS攻击、DNS劫持、ARP欺骗
web入侵：对中间件日志进行分析
系统入侵：计划任务，系统爆破痕迹（系统日志），进程进行分析
网络攻击：流量分析
打开 cmd 窗口，输入lusrmgr.msc命令，查看是否有新增/可疑的账号，如有管理员群组的（Administrators）里的新增账户，如有，请立即禁用或删除掉。
a、打开注册表 ，查看管理员对应键值。
b、使用D盾_web查杀工具，D盾_web查杀集成了对克隆账号检测的功能
c、windows账号信息，隐藏账号
打开 cmd 窗口，输入lusrmgr.msc命令，用户名以 结 尾 的 为 隐 藏 用 户 ， 如 ： a d m i n 结尾的为隐藏用户，如：admin 结尾的为隐藏用户，如：admin
LogParser.exe -i:EVT "select TimeGenera as LoginTime,EXTRACT_TOKEN<Strings,5,'|'> as username FROM c: where ntID=4624"a、通过netstat查看目前的网络连接，定位可疑的ESTABLISHED
netstat -anob、根据netstat 定位出的pid，再通过tasklist命令进行进程定位
tasklist | findstr "PID"a、开始–运行–输入msinfo32，依次点击“软件环境→正在运行任务”就可以查看到进程的详细信息，比如进程路径、进程ID、文件创建日期、启动时间等。
b、打开D盾_web查杀工具，进程查看，关注没有签名信息的进程。
c、通过微软官方提供的 Process Explorer 等工具进行排查 。
d、查看可疑的进程及其子进程。可以通过观察以下内容：
没有签名验证信息的进程
没有描述信息的进程
进程的属主
进程的路径是否合法
CPU或内存资源占用长时间过高的进程
控制面板 — 管理工具 — 任务计划程序，或运行 — taskschd.msc，或通过命令查看计划任务 schtasks
存放计划任务的文件
C:\Windows\System32\Tasks\C:\Windows\SysWOW64\Tasks\C:\Windows\tasks\*.job（指文件）【开始】-【运行】- 【输入shell:startup】，查看是否存在开机自启动项目
【开始】-【运行】- 【输入gpedit.msc】，查看是否存在脚本启动
查看 host ：
cmd运行如下命令：
type %systemroot%\System32\drivers\etc\hosts查看Recent：
Recent是系统文件夹，里面存放着你最近使用的文档的快捷方式，查看用户recent相关文件，通过分析最近打开分析可疑文件：
单击【开始】>【运行】，输入%UserProfile%\Recent，分析最近打开分析可疑文件。
查看temp：
路径为 C:\Windows\Temp。查看temp(tmp)相关目录下有无异常文件 ：Windows产生的临时文件
查看shift：
连按shift键5次，查看是否存在后门
查看ntfs数据流：
# 查找出可疑数据流命令 dir /s /r | findstr -i "$data" | findstr -vi "identifier" # 将所有数据流存储到txt文本以便查找目标数据流的地址： dir /s /r > all.txt**tomcat：**安装目录下logs文件夹localhost_access_log.日期.txt (我们分析一般针对这个进行分析)
这个是存放访问tomcat的请求的所有地址以及请求的路径、时间，请求协议以及返回码等信息(重要)
例如：
127.0.0.1 - - [29/May/2020:12:03:06 +0800] "GET /tomcat.css HTTP/1.1" 200 5581 # 请求IP -- 请求时间 ---请求方式---请求路径---请求协议---状态码---字节包 # 对请求路径进行分析，定位攻击者**apache：**安装目录下logs文件夹 access.log（格式与tomcat一致）
127.0.0.1 - - [13/May/2020:20:26:48 +0800] "GET /index.php HTTP/1.1" 404 196 # 请求IP -- 请求时间 ---请求方式---请求路径---请求协议---状态码---字节包 # 对请求路径进行分析，定位攻击者打开控制面板——系统和安全——查看事件日志（或eventvwr.msc），就进入了事件查看器
打开左侧事件查看器（本地）——Windows日志——安全
进行事件筛查，重要的事件 ID（安全日志，Security.evtx）：
4776：远程登陆（如3389）到本机日志4624：用户账户登录成功4625：用户账户登录失败1102：记录安全审计日志清除事件4720：创建用户4726：删除用户4732：将成员添加到启用安全的本地组中4733：将成员从启用安全的本地组中移除4728：将成员添加到启用安全的全局组中4729：将成员从启用安全的全局组中移除如果服务器内有运行对外应用软件（WWW、FTP 等），应对软件进行配置，限制应用程序的权限，禁止目录浏览或文件写权限
系统确认被入侵后，往往系统文件会被更改和替换，此时系统已经变得不可信，最好的方法就是重新安装系统， 同时给新系统安装所有补丁。
改变所有系统账号的密码为复杂密码（至少与入侵前不一致）。
修改默认远程桌面端口，操作如下： 单击【开始】>【运行】，然后输入 regedit。 打开注册表，进入如下两处路径，修改下右侧的 PortNamber 值为其他值
# 第一处 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds\rdpwd\Tds\tcp # 第二处 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp配置安全组防火墙白名单，只允许指定 IP 才能访问远程桌面端口。
定期备份重要业务数据和文件。
定期更新操作系统及应用程序组件版本（如 FTP、Struts2 等），防止被漏洞利用。
1、用户信息文件/etc/passwd
root:x:0:0:root:/root:/bin/bash account:password:UID:GID:GECOS:directory:shell 用户名：密码：用户ID：组ID：用户说明：家目录：登陆之后shell 注意：无密码只允许本机登陆，远程不允许登陆2、影子文件/etc/shadow
root:$6$oGs1PqhL2p3ZetrE$X7o7bzoouHQVSEmSgsYN5UD4.kMHx6qgbTqwNVC5oOAouXvcjQSt.Ft7ql1WpkopY0UV9ajBwUt1DpYxTCVvI/:16809:0:99999:7::: 用户名：加密密码：密码最后一次修改日期：两次密码的修改时间间隔：密码有效期：密码修改到期到的警告天数：密码过期之后的宽限天数：账号失效时间：保留3、用户查看基本命令
who 查看当前登录用户（tty本地登陆 pts远程登录） w 查看系统信息，想知道某一时刻用户的行为 uptime 查看登陆多久、多少用户，负载1、查询特权用户(uid 为0)
awk -F: '$3==0{print $1}' /etc/passwd2、查询可以远程登录的帐号信息
awk '/\$1|\$6/{print $1}' /etc/shadow3、除root帐号外，其他帐号是否存在sudo权限。如非管理需要，普通帐号应删除sudo权限
more /etc/sudoers | grep -v "^#\|^$" | grep "ALL=(ALL)"4、禁用或删除多余及可疑的帐号
usermod -L user 禁用帐号，帐号无法登录，/etc/shadow第二栏为!开头 userdel user 删除user用户 userdel -r user 将删除user用户，并且将/home目录下的user目录一并删除通过.bash_history文件查看帐号执行过的系统命令
# root的历史命令 cat /root/.bash_history # home下用户的历史命令 cat /home/user/.bash_history使用netstat 网络连接命令，分析可疑端口、IP、PID
netstat -antp | more查看下pid所对应的进程文件路径
运行ls -l /proc/$PID/exe或file /proc/$PID/exe（$PID 为对应的pid 号）使用ps命令，分析进程
ps ef | grep pid开机启动配置文件目录
/etc/rc.local /etc/ld.so.preload /etc/rc[0~6].d # 常用为3检查不同等级启动目录下的启动项，如：
ls /etc/rc3.d1、crontab创建计划任务
crontab -l # 列出计划任务的详细内容 crontab -r # 删除每个用户cront任务(谨慎：删除所有的计划任务) crontab -e # 使用编辑器编辑当前的crontab文件 如：*/1 * * * * echo "hello world" >> /tmp/test.txt 每分钟写入文件2、利用anacron实现异步定时任务调度
每天运行 /home/backup.sh脚本
vi /etc/anacrontab @daily 10 example.daily /bin/bash /home/backup.sh当机器在 backup.sh 期望被运行时是关机的，anacron会在机器开机十分钟之后运行它，而不用再等待 7天。
重点关注以下目录中是否存在恶意脚本
/var/spool/cron/* /etc/crontab /etc/cron.d/* /etc/cron.daily/* /etc/cron.hourly/* /etc/cron.monthly/* /etc/cron.weekly/ /etc/anacrontab /var/spool/anacron/*1、通过chkconfig（该工具基于redhat）修改服务启动状态
chkconfig [--level 运行级别] [独立服务名] [on|off] chkconfig –level 2345 httpd on 开启自启动 chkconfig httpd on （默认level是2345）2、通过rc.local文件修改服务启动状态
vim /etc/re.d/rc.local 加入/etc/init.d/httpd start查询已安装的服务：
RPM包安装的服务 # 查看服务自启动状态，可以看到所有的RPM包安装的服务 chkconfig --list # 系统在3与5级别下的启动项 # 中文环境 chkconfig --list | grep "3:启用\|5:启用" # 英文环境 chkconfig --list | grep "3:on\|5:on" 源码包安装的服务 # 查看服务安装位置 ，一般是在/user/local/目录下 service httpd start 搜索/etc/rc.d/init.d/查看是否存在1、查看敏感目录，如/tmp目录下的文件，同时注意隐藏文件夹，以“…”为名的文件夹具有隐藏属性
2、得到发现WEBSHELL、远控木马的创建时间，如何找出同一时间范围内创建的文件？可以使用find命令来查找，如：
# 找出/opt目录下，一天前访问过的文件 find /opt -iname "*" -atime 1 -type finame：文件名不区分大小写 atime ：最近一次文件访问的时间 mtime：最近一次文件内容被修改的时间 ctime：最近一次文件属性改变的时间 type ：文件类型
针对可疑文件可以使用stat命令查看文件属性，如：
stat /opt/backup.sh日志默认存放位置：/var/log/
查看日志配置情况：more /etc/rsyslog.conf
日志文件说明/var/log/cron记录了系统定时任务相关的日志/var/log/cups记录打印信息的日志/var/log/dmesg记录了系统在开机时内核自检的信息，也可以使用dmesg命令直接查看内核自检信息/var/log/mailog记录邮件信息/var/log/message记录系统重要信息的日志。这个日志文件中会记录Linux系统的绝大多数重要信息，如果系统出现问题时，首先要检查的就应该是这个日志文件/var/log/btmp记录错误登录日志，这个文件是二进制文件，不能直接vi查看，而要使用lastb命令查看/var/log/lastlog记录系统中所有用户最后一次登录时间的日志，这个文件是二进制文件，不能直接vi，而要使用lastlog命令查看/var/log/wtmp永久记录所有用户的登录、注销信息，同时记录系统的启动、重启、关机事件。同样这个文件也是一个二进制文件，不能直接vi，而需要使用last命令来查看/var/log/utmp记录当前已经登录的用户信息，这个文件会随着用户的登录和注销不断变化，只记录当前登录用户的信息。同样这个文件不能直接vi，而要使用w,who,users等命令来查询/var/log/secure记录验证和授权方面的信息，只要涉及账号和密码的程序都会记录，比如SSH登录，su切换用户，sudo授权，甚至添加用户和修改用户密码都会记录在这个日志文件中1、定位有多少IP在爆破主机的root帐号：
grep "Failed password for root" /var/log/secure | awk '{print $11}' | sort | uniq -c | sort -nr | more定位有哪些IP在爆破：
grep "Failed password" /var/log/secure|grep -E -o "(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)\.(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)\.(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)\.(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)"|uniq -c爆破用户名字典是什么：
grep "Failed password" /var/log/secure|perl -e 'while($_=<>){ /for(.*?) from/; print "$1\n";}'|uniq -c|sort -nr2、登录成功的IP有哪些：
grep "Accepted " /var/log/secure | awk '{print $11}' | sort | uniq -c | sort -nr | more登录成功的日期、用户名、IP：
grep "Accepted " /var/log/secure | awk '{print $1,$2,$3,$9,$11}'3、增加用户日志：
grep "useradd" /var/log/secure # Jul 10 00:12:15 localhost useradd[2382]: new group: name=kali, GID=1001 # Jul 10 00:12:15 localhost useradd[2382]: new user: name=kali, UID=1001, GID=1001, home=/home/kali, shell=/bin/bash # Jul 10 00:12:58 localhost passwd: pam_unix(passwd:chauthtok): password changed for kali4、删除用户日志：
grep "userdel" /var/log/secure # Jul 10 00:14:17 localhost userdel[2393]: delete user 'kali' # Jul 10 00:14:17 localhost userdel[2393]: removed group 'kali' owned by 'kali' # Jul 10 00:14:17 localhost userdel[2393]: removed shadow group 'kali' owned by 'kali'5、sudo授权：
sudo -l # Jul 10 00:43:09 localhost sudo: good : TTY=pts/4 ; PWD=/home/good ; USER=root ; COMMAND=/sbin/shutdown -r nowRootkit是一种特殊的恶意软件，它的功能是在安装目标上隐藏自身及指定的文件、进程和网络链接等信息，比较多见到的是Rootkit一般都和木马、后门等其他恶意程序结合使用。Rootkit一词更多地是指被作为驱动程序，加载到操作系统内核中的恶意软件。
网址：http://www.chkrootkit.org
使用方法： wget ftp://ftp.pangeia.com.br/pub/seg/pac/chkrootkit.tar.gz tar zxvf chkrootkit.tar.gz cd chkrootkit-0.52 make sense #编译完成没有报错的话执行检查 ./chkrootkit网址：http://rkhunter.sourceforge.net
使用方法： Wget https://nchc.dl.sourceforge.net/project/rkhunter/rkhunter/1.4.4/rkhunter-1.4.4.tar.gz tar -zxvf rkhunter-1.4.4.tar.gz cd rkhunter-1.4.4 ./installer.sh --install rkhunter -cClamAV的官方下载地址为：http://www.clamav.net/download.html
安装方式一：
1、安装zlib： wget http://nchc.dl.sourceforge.net/project/libpng/zlib/1.2.7/zlib-1.2.7.tar.gz tar -zxvf zlib-1.2.7.tar.gz cd zlib-1.2.7 #安装一下gcc编译环境： yum install gcc CFLAGS="-O3 -fPIC" ./configure --prefix= /usr/local/zlib/ make && make install 2、添加用户组clamav和组成员clamav： groupadd clamav useradd -g clamav -s /bin/false -c "Clam AntiVirus" clamav 3、安装Clamav tar –zxvf clamav-0.97.6.tar.gz cd clamav-0.97.6 ./configure --prefix=/opt/clamav --disable-clamav -with-zlib=/usr/local/zlib make make install 4、配置Clamav mkdir /opt/clamav/logs mkdir /opt/clamav/updata touch /opt/clamav/logs/freshclam.log touch /opt/clamav/logs/clamd.log cd /opt/clamav/logs chown clamav:clamav clamd.log chown clamav:clamav freshclam.log 5、ClamAV 使用： /opt/clamav/bin/freshclam 升级病毒库 ./clamscan –h 查看相应的帮助信息 ./clamscan -r /home 扫描所有用户的主目录就使用 ./clamscan -r --bell -i /bin 扫描bin目录并且显示有问题的文件的扫描结果安装方式二：
#安装 yum install -y clamav #更新病毒库 freshclam #扫描方法 clamscan -r /etc --max-dir-recursion=5 -l /root/etcclamav.log clamscan -r /bin --max-dir-recursion=5 -l /root/binclamav.log clamscan -r /usr --max-dir-recursion=5 -l /root/usrclamav.log #扫描并杀毒 clamscan -r --remove /usr/bin/bsd-port clamscan -r --remove /usr/bin/ clamscan -r --remove /usr/local/zabbix/sbin #查看日志发现 cat /root/usrclamav.log |grep FOUND系统完整性可以通过rpm自带的-Va来校验检查所有的rpm软件包，查看哪些命令是否被替换了：
./rpm -Va > rpm.log如果一切均校验正常将不会产生任何输出，如果有不一致的地方，就会显示出来，输出格式是8位长字符串，每个字符都用以表示文件与RPM数据库中一种属性的比较结果 ，如果是. (点) 则表示测试通过。
验证内容中的8个信息的具体内容如下： S 文件大小是否改变 M 文件的类型或文件的权限（rwx）是否被改变 5 文件MD5校验是否改变（可以看成文件内容是否改变） D 设备中，从代码是否改变 L 文件路径是否改变 U 文件的属主（所有者）是否改变 G 文件的属组是否改变 T 文件的修改时间是否改变如果命令被替换了，如何还原回来：
文件提取还原案例： rpm -qf /bin/ls 查询ls命令属于哪个软件包 mv /bin/ls /tmp 先把ls转移到tmp目录下，造成ls命令丢失的假象 rpm2cpio /mnt/cdrom/Packages/coreutils-8.4-19.el6.i686.rpm | cpio -idv ./bin/ls 提取rpm包中ls命令到当前目录的/bin/ls下 cp /root/bin/ls /bin/ 把ls命令复制到/bin/目录 修复文件丢失Github项目地址：
https://github.com/grayddq/GScan
https://github.com/ppabc/security_check
https://github.com/T0xst/linux
勒索病毒采用非对称加密，能否解密全凭运气，因此平时还是要注意勤打补丁多备份。
该指南介绍通过勒索病毒索引引擎查找勒索病毒相关信息，再通过各个安全公司提供的免费勒索软件解密工具解密。
在勒索病毒搜索引擎输入病毒名、勒索邮箱、被加密后文件的后缀名，或直接上传被加密文件、勒索提示信息，即可快速查找到病毒详情和解密工具。
【360】 勒索病毒搜索引擎，支持检索超过800种常见勒索病毒，
http://lesuobingdu.360.cn【腾讯】 勒索病毒搜索引擎，支持检索超过 300 种常见勒索病毒
https://guanjia.qq.com/pr/ls/【启明】VenusEye勒索病毒搜索引擎，超300种勒索病毒家族
https://lesuo.venuseye.com.cn/【奇安信】勒索病毒搜索引擎
https://lesuobingdu.qianxin.com/【深信服】勒索病毒搜索引擎
https://edr.sangfor.com.cn/#/information/ransom_search这些网站的解密能力还在持续更新中，是值得收藏的几个勒索病毒工具型网站。
很多安全公司都提供了免费的勒索病毒解密工具下载，收集和整理相关下载地址，可以帮助我们了解和获取最新的勒索病毒解密工具。
【腾讯哈勃】勒索软件专杀工具
https://habo.qq.com/tool/index【金山毒霸】勒索病毒免疫工具
http://www.duba.net/dbt/wannacry.html【火绒】安全工具下载
http://bbs.huorong.cn/forum-55-1.html【瑞星】解密工具下载
http://it.rising.com.cn/fanglesuo/index.html【nomoreransom】勒索软件解密工具集
https://www.nomoreransom.org/zh/index.html【MalwareHunterTeam】勒索软件解密工具集
https://id-ransomware.malwarehunterteam.com/【卡巴斯基】免费勒索解密器
https://noransom.kaspersky.com/【Avast】免费勒索软件解密工具
https://www.avast.com/zh-cn/ransomware-decryption-tools【Emsisoft】免费勒索软件解密工具
https://www.emsisoft.com/ransomware-decryption-tools/free-download【Github项目】勒索病毒解密工具收集汇总
https://github.com/jiansiting/Decryption-Tools应急响应实战笔记_2020最新版
