记一次服务器被入侵的调查取证
0×1 事件描述 小Z所在公司的信息安全建设还处于初期阶段，而且只有小Z新来的一个信息安全工程师，所以常常会碰到一些疑难问题。一天，小Z接到运维同事的反映，一台tomcat 的web服务器虽然安装了杀软，但是还是三天两头会出现杀软病毒报警，希望他能查下原因。 小Z首先设想了三种可能性 ...
原文：记一次linux服务器入侵应急响应
近日接到客户求助，他们收到托管电信机房的信息，通知检测到他们的一台服务器有对外发送攻击流量的行为。希望我们能协助排查问题。 一 确认安全事件 情况紧急，首先要确认安全事件的真实性。经过和服务器运维人员沟通，了解到业务只在内网应用，但服务器竟然放开到公网了，能在公网直接ping通，且开放了 远程端口。从这点基本可以确认服务器已经被入侵了。 二 日志分析 猜想黑客可能是通过SSH暴破登录服务器。查看 ...
2019-07-16 12:46 8 1571 推荐指数：
相关推荐
记一次Linux服务器因redis漏洞的挖矿病毒入侵
中毒原因，redis bind 0.0.0.0 而且没有密码，和安全意识太薄弱。 所以，redis一定要设密码，改端口，不要用root用户启动，如果业务没有需要，不要bind 0.0.0.0！！！！ ...
[转]记一次linux(被)入侵，服务器变矿机~
0x00 背景 周一早上刚到办公室，就听到同事说有一台服务器登陆不上了，我也没放在心上，继续边吃早点，边看币价是不是又跌了。不一会运维的同事也到了，气喘吁吁的说：我们有台服务器被阿里云冻结了，理由：对外恶意发包。我放下酸菜馅的包子，ssh连了一下，被拒绝了，问了下默认的22端口被封了。让运维 ...
记一次Linux被入侵，服务器变“矿机”全过程
周一早上刚到办公室，就听到同事说有一台服务器登陆不上了，我也没放在心上，继续边吃早点，边看币价是不是又跌了。 不一会运维的同事也到了，气喘吁吁的说：我们有台服务器被阿里云冻结了，理由：对外恶意发包。 我放下酸菜馅的包子，SSH 连了一下，被拒绝了，问了下默认的 22 端口被封 ...
《服务器入侵应急响应排查》之Linux主机常用命令篇
总体思路 确认问题与系统现象 → 取证清除与影响评估 → 系统加固 → 复盘整改 常见入侵 挖矿： Webshell： 内网入侵： 进程相关 1.查询可疑端口、进程、ip：netstat -antlp | more 或者 netstat -anltp ...
做一次“黑客“，入侵一次自己的服务器
是docker远程服务入侵，所以就利用docker远程服务和redis服务，模拟入侵了一次自己的服务器。 ...
内网渗透-记一次5900端口弱口令爆破及入侵服务器
5900端口是远程控制软件vnc的默认监听端口。 1、收集IP信息： （1）获取内网IP地址段，使用ping 内网系统的域名，得到内网IP地址段： 2）使用: nmap -sP 192.16 ...
记一次linux挖矿木马应急
/var/spool/cron 发现有一个定时任务，wget一个脚本 十分钟执行一次 6，查看脚本文件 发 ...