• 软件测试技术
  • 软件测试博客
  • 软件测试视频
  • 开源软件测试技术
  • 软件测试论坛
  • 软件测试沙龙
  • 软件测试资料下载
  • 软件测试杂志
  • 软件测试人才招聘
    暂时没有公告

字号: | 推荐给好友 上一篇 | 下一篇

网站被入侵后需做的检测(2)

发布: 2007-5-25 12:22 | 作者: 未知 | 来源: ChinaZ.com | 查看: 29次 | 进入软件测试论坛讨论

领测软件测试网 然后是网络部分

  TCP过滤未开.IPSEC未指派.
  先把NETBIOS关掉.然后TCP内只允许20,21,80,3389
  考虑到反向木马的可能性
  在IPSEC内打开本机SPORT 20,21,80,3389到外部任意端口.其他从内部往外的一律屏蔽.

  系统萃取.把一些无关服务与软件关闭或者卸载.
  对系统进行补丁升级.还好补丁还是没有缺.把自动UPDATE设置到自动安装.

  最后一步是分析日志.看看有没有遗漏的地方,系统本身的日志都被关闭了.看来入侵者还是比较小心.
  打开该审计的部分.在关键目录.比如系统目录加上了审计.使得所有对C:\WINNT的创建文件的成功与失败都记录在日志内.

  由于前面提到SERV-U日志原来并未记录.只能打开IIS日志查找对于找到的4个WEBSHELL的访问情况,找到了访问的IP.回查.来自一个固定IP地址,浏览了一下.得到信息后给对方管理员去邮件通知他们做好安全工作。

  其实还有一些部分内容应该做而限于有些条件没有做的.

  1.更换系统默认用户用户名
  因为兄弟他们对计算机不熟.就没有更换.不过要求他们使用更加强壮的密码了

  2.对于加密的webshell的查找
  上述内容中对于WEBSHELL只查找了一种.并且只针对明文编码的页面程序进行了查找,应该是可以加入对于编码后ASP WEBSHELL的搜索.

  还有搜索内容应该由简单的LCX扩展到wscript.shell等更加广泛与匹配的关键词的查找

  3.对于木马的查找
  由于预估入侵者水平不高.所以这项只依靠杀木马软件进行了搜索.如果有时间的话.还是应该手工进行查找

  4.对页面程序进行评估
  也有由于时间关系.没时间对原有网站程序进行检查.

  5.入侵测试

  由于入侵检测很可能被入侵者的思路带着走而忽略了其他薄弱环节.
  所以检测完毕应该最好进行完全的测试.保证其他路径是同样强壮的.

延伸阅读

文章来源于领测软件测试网 https://www.ltesting.net/


关于领测软件测试网 | 领测软件测试网合作伙伴 | 广告服务 | 投稿指南 | 联系我们 | 网站地图 | 友情链接
版权所有(C) 2003-2010 TestAge(领测软件测试网)|领测国际科技(北京)有限公司|软件测试工程师培训网 All Rights Reserved
北京市海淀区中关村南大街9号北京理工科技大厦1402室 京ICP备10010545号-5
技术支持和业务联系:info@testage.com.cn 电话:010-51297073

软件测试 | 领测国际ISTQBISTQB官网TMMiTMMi认证国际软件测试工程师认证领测软件测试网