本日、オペレーティングシステムの侵害後の修復プロセスについて説明しますが、このチュートリアルでは侵入後の修復について簡単に紹介しますので、システムを利用したいと思います。友達はちょっとした参考文献です。

Text：

3人のホストを担当するスクールステーションのシステム管理者として、まず最初に確認してください、スキンディレクトリにあるホストが疑わしいファイルが存在します。おお、ちょうどあなたが仕事にいるとき問題を見つけた、ねえ、よく実行します。確かに、このホストは危険にさらされています。

操作：

1システムは2003 + iis6.0、NTFSパーティションフォーマットを採用しており、パーミッション設定は通常です。 Pcanywhere 10.0リモート管理。このページはPower Article System、バージョン3.51によって供給されています。別のWebサイトを接続して、修正版のネットワークを使用してください。

2このテストでは、元の管理者はWebセキュリティに注意を払っていないことがわかりました。パワード記事には深刻なアップロードの脆弱性があり、パッチは適用されません。動的ネットワークバージョン7.00sp2、しかしそれがハッキングされたことを排除するものではありません。すぐにシステムは徹底的に検査され、トロイの木馬は見つかりませんでした。ホストシステムのセキュリティを決定します。しかし、ウェブ上にたくさんのウェブシェルが見つかりました。 Iis6.0 no logging！

3修復の確認（現在のWebシステムのバックアップ）

タイムルックアップ方法：上記のファイルの最も早い作成時刻に従って検索および作成します。すべてのファイル不明なgif、jpg、asp、cer、その他の形式のファイルも多数見つかりました。メモ帳でそれを開き、aspトロイの木馬として見つけてください。バックアップ、削除

Bツール検索方法：手動検索の後、少数のaspトロイの木馬を殺すことに加えて、アンチウィルスソフトウェア、包括的なアンチウィルスをインストールしなさい。ユーザーを確認してください。例外はありません。 Cドライブを確認してください。ファイルがありません。侵入者がWebのアクセス許可を取得した後、アクセス許可をさらに強化することはありませんでしたが、隠れたトロイの木馬のインストールを除外しなかったことを説明します。確認してください。

C時間検索方法に従って、いくつかの通常のaspファイルが修正されました。その中でも、動的記事システム管理ページがコードに挿入され、管理者パスワードがプレーンテキストで保存されます。このコードは、クリアテキストフォーラムのパスワードファイルに似ています。

他の変更されたaspファイルでは、モバイルサメのウェブトロイの木馬、icefoxの言葉トロイの木馬、海洋のトロイの木馬などが全て暗号化されていることがわかりました。

D修復、このWebシステムをバックアップしてデータベースを抽出します。削除！数か月前にバックアップしたシステムを復元します。いいえ、Trojan！現在のデータベースをインポートします。動的記事アップロードソフトウェアのaspファイルを削除し、アンチインジェクションコードを追加します。すべてのウェブマスターパスワードとすべてのシステム管理者パスワードを変更するpcanywhereのパスワードを変更してipを制限するには、pcanywhereを11.0にアップグレードします。 iis6.0ログレコードを開きます。リンクされたWebサイトは長い間更新されていないため、Web管理者は連絡、パスの変更、接続の削除、および予備を行うことができません。

分析：侵入者はアクセス許可を増やすことができません。 （pcanywhereのパスワードは入手された可能性がありますが、ホストは長期間ロックされたままです。侵入者の技術はまだ浅いと推定されます。）彼が残した文書で分析されています。 Webシェルの場合、彼はcmdファイルをアップロードしましたが、アクセス許可はより良く設定されています。 2003.bat xp3389.exeなどのファイルをアップロードし、サーバーポート3389を開きたい。ただし、許可の問題により、改善することはできません。 Ps：ホストがpcanywhereをインストールすると、3389サービスを開くことができなくなり、そのメインファイルはpcanywhereに置き換えられます。開けられません。他のファイルは、プロセスの表示、サービスのインストールなどのツールです。より高い特権を取得しないと、取得した情報は管理者権限を取得するのに十分ではないと推定されます。注意する必要がある唯一のことは、pcanywhereのパスワードファイルが全員に使用可能であることです。*：Documents and SettingsすべてのUsersApplication DataSymantecでは、pcanywhereパスワードファイル* .cifを含むすべてのユーザーにこのディレクトリが表示されます。見えません。ああ、それをアップグレードしてください。