【干货】Windows 服务器系统日志分析及安全

一、利用Windows自带的防火墙日志检测入侵 下面是一条防火墙日志记录 2005-01-1300:35:04OPENTCP61.145.129.13364.233.189.104495980 2005-01-1300:35:04：表示记录的日期时间 OPEN：表示打开连接；如果此处为Close表示关闭连接 TCP：表示使用的协议是Tcp 61.145.129.133：表示本地的IP 64.233.189.104：表示远程的IP 4959：表示本地的端口 80：表示远程的端口。注：如果此处的端口为非80、21等常用端口那你就要注意了。每一条Open表示的记录对应的有一条CLOSE记录，比较两条记录可以计算连接的时间。

注意，要使用该项，需要在Windows自带的防火墙的安全日志选项中勾选“记录成功的连接”选项。

 

二、通过IIS日志检测入侵攻击

1、认识IIS日志 IIS日志默认存放在System32\LogFiles目录下，使用W3C扩展格式。下面我们通过一条日志记录来认识它的格式 2005-01-0316:44:57218.17.90.60GET/Default.aspx-80 -218.17.90.60Mozilla/4.0+(compatible;+MSIE+6.0;+Windows+NT+5.2;+.NET+CLR+1.1.4322)20000

2005-01-0316:44:57：是表示记录的时间；

218.17.90.60：表示主机的IP地址；

GET：表示获取网页的方法 /Default.aspx：表示浏览的网页的名称，如果此外的内容不是你网站网页的名称，那就表示可能有人在用注入式攻击对你的网站进行测试。如：“/msadc/..蜡..蜡..蜡../winnt/system32/cmd.exe/c+dir”这段格式的文字出现在浏览的网页后面就表示有攻击者尝试能否进入到你的系统目录下。

-80：表示服务器的端口。

-218.17.90.60：表示客户机的IP地址。如果在某一时间或不同时间都有大量的同一IP对网站的连接那你就要注意了。

Mozilla/4.0+(compatible;+MSIE+6.0;+Windows+NT+5.2;+.NET+CLR+1.1.4322)：表示用户的浏览器的版本操作系统的版本信息

200:表示浏览成功，如果此处为304表示重定向。如果此处为404则表示客户端错误未找到网页,如果服务器没有问题但出现大量的404错误也表示可能有人在用注入式攻击对你的网站进行测试。

2、检测IIS日志的方法明白了IIS日志的格式，就可以去寻找攻击者的行踪了。但是人工检查每一条数据几乎是不可能的，所以我们可以利用Windows本身提供了一个命令findstr。下面以寻找05年1月1日日志中包含CMD字段为例演示一下它的用法。IIS日志路径已设为D\w3c Cmd提示符下输入：findstr"cmd"d\w3c\ex050101.log回车。怎么同一个IP出现了很多，那你可要注意了！下面是我写的几个敏感字符，仅供参考，你可以根据自己系统、网页定制自己的敏感字符，当然如果你根据 这些字符作一个批处理命令就更方便了。 cmd、'、\\、..、;、and、webconfig、global、

如果你感觉findstr功能不够直观强大，你可以AutoScanIISLogFilesV1.4工具。它使用图形化界面一次可以检测多个文件。下载地址：http://www.11k.net/Software/View-Software-1585.html

如果你感觉这些IIS日志中的信息记录还不够多，那么你可以做一个隐藏网页，凡是登陆到网站上都会先定向到该网页，然后你可以在该网页中添加代码，获取用户的IP、操作系统、计算机名等信息。并将其输入到数据库中，这样即使一个攻击者使用动态的IP只要他不换系统，即使删除了IIS日志，你也可以把他找出来。

 

三、通过查看安全日志检测是否有成功的入侵如果你你启用了登陆事件、策略更改、账户登陆、系统事件的成功失败的审核，那么任何成功的入侵都将在安全日志中留下痕迹

推荐的作法：

1、建议每天最少检查一次安全日志。 推荐重点检查的ID事件 529：登录失败，试图使用未知用户名或带有错误密码的已知用户名进行登录。 528：用户成功登录到计算机上。 539：登录失败：登录帐号在登录尝试时被锁定。此事件表明有人发动密码攻击但未成功，因而导致账户锁定

682：用户重新连接到一个已经断开连接的终端服务器会话上。终端服务攻击 683：用户在没有注销的情况下与终端服务器会话断开连接。终端服务攻击

624：一个用户帐号被创建。 625：更改了用户账户类型 626：启用了用户账户 629：禁用了用户账户 630：删除了用户账户以上5个事件可能是一个攻击者试图通过禁用或删除发动攻击时使用的账户来掩盖他们的踪迹。

577:用户试图执行受到权限保护的系统服务操作。 578:在已经处于打开状态的受保护对象句柄上使用权限。 577、578事件中详细信息中特权说明 SeTcbPrivilege特权：此事件可以表明一个用户通过充当操作系统的一部分来试图提升安全权限，如一个用户试图将其账户添加到管理员组就会使用此特权 SeSystemTimePrivilege特权：更改系统时间。此事件可表明有一个用户尝试更改系统时间 SeRemoteShutDownPrivilege：从远程系统强制关闭 SeloadDriverPrivilege：加载或卸载驱动程序 SeSecurityPrivilege：管理审计和安全日志。在清除事件日志或向安全日志写入有关特权使用的事件是发生 SeShutDownPrivilege：关闭系统 SeTakeOwnershipPrivilege：取得文件或其他对象的所有权.此事件可表明有一个攻击者正在通过取得一个对象的所有权来尝试绕过当前的安全设置

517:日志事件被清除或修改。此事件可以表明一个攻击者企图通过修改或删除日志文件来掩盖他们的踪迹 612:更改了审计策略。此事件可以表明一个攻击者企图通过修改审计策略来掩盖他们的踪迹如为了掩盖删除日志文件的踪迹他可能先关闭系统事件的审核。

2、通过筛选器来查看重要性事件方法：点击事件查看器窗口中的查看菜单，点击筛选，点击筛选器，定义自己的筛选选项，确定即可。

3、在查看完成之后备份事件方法：点击事件查看器窗口中的操作菜单，点击导出列表，选择保存路径和文件名，如果保存类型选择了“文本文件（制表符分隔）”，将会保存为文本文件。如果保存类型 选择了“文本文件（逗号分隔）”，将会保存为Excel文件。当然也可以选择另存日志文件。如果感觉这样保存麻烦也可以使用微软的resourceKit工具箱中的dumpel.exe配合计划任务可以实现定期备份系统日志。

4、删除检查过的日志文件，日志文件越少越容易发现问题。

5、配合系统日志程序日志检测可疑内容

6、使用EventCombMT工具 EventCombMT是一个功能强大的多线程工具，它可同时分析许多服务器中的事件日志，为包含在搜索条件中的每一台服务器生成一个单独的执行线程。利用它你可以定义 要搜索的单个事件ID或多个事件ID，用空格分格定义一个要搜索的事件ID范围。如:528>ID<540 将搜索限定为特定的事件日志。如：只搜索安全日志 将搜索限定为特定的事件消息。如：成功审计 将搜索限制为特定的事件源。搜索事件说明内的特定文本。 定义特定的时间间隔以便从当前日期和时间向后扫描注：要使用该工具您需要安装WindowsServer2003ResourceKitTools.安装完成后在命令提示符下输入EventCombMT即可下载地址：http://www.microsoft.com/downloads/details.aspx?FamilyID= 9d467a69-57ff-4ae7-96ee-b18c4790cffd&DisplayLang=en

 

四、通过端口检测入侵攻击

端口是攻击者最喜欢的进入的大门,所以我们要养成查看端口的习惯

1、通过netstat命令。CMD提示符下 netstat-ano:检测当前开放的端口，并显示使用该端口程序的PID。 netstat-n:检测当前活动的连接如果通过以上命令发现有不明的端口开放了，不是中了木马就是开放新的服务。 处理方法：打开任务管理器，在查看菜单下选择列，勾选PID，点击确定。然后根据开放端口使用的PID在任务管理器中查找使用该端口的程序文件名。在任务管理器杀掉该进程。如果任务管理器提示杀不掉，可以使用ntsd命令，格式如下：c:\>ntsd-cq-pPID。如果使用该PID的进程不是单独的程序文件而是调用的Svchost或lsass(现在有很多木马可以做到这一点)。那么需要你有很志业的知识才能查找到。我的经验是下面的几种方法配合使用

在服务中查找使用Svchost或lsass的可疑服务。在命令提示符下输入tasklist/svc可以查看进程相关联的 PID和服务。 利用Windows优化大师中的进程管理去查找Svchost或lsass中可疑的.dll。检查System32下最新文件:在命令提示符sytem32路径下输入dir/od 利用hijackthis工具可以查出系统启动的程序名和dll文件.下载地址：http://www.cl520.net/soft/3992.htm

发现可疑的dll后如果不知道是否为病毒文件去Google吧

2、使用ActivePort软件 ActivePort软件安装后用的是图形化界面，它可以显示所有开放的端口，当前活动的端口，并可以将端口、进程、程序名路径相关联。并且可以利用它来中断某个活动的连接

五、通过进程监控可疑程序如果发现不正常的进程，及时杀掉，如果在任务管理器中无法杀掉可以去查找可疑的服务，将服务关闭后再杀，当然也可以在提示符下利用ntsd命令。格式为：ntsd-cq-pPID

 

六、利用Svcmon.exe(serviceMonitoringTool)监视已安装的服务

这个工具可以用来监视本地或者是远程计算机服务的状态改变，当它发现一个服务开始或者是停止的时候，这个工具将会通过发e-mail或者是ExchangeServer来通知你知道。要想使用这个工具需要安装ResourceKit。但是去MS的网站http://www.microsoft.com/downloads/details.aspx?FamilyID= 9d467a69-57ff-4ae7-96ee-b18c4790cffd&DisplayLang=en下载的ResourceKit安装后没有找到这个工具，其实还有很多工具这个ResourceKit没有。可能这是一个简单的ResourceKit包。后来又安装了2003 光盘上的SupportTools也没找到它。我使用了2000的 ResourceKit安装光盘，安装后，在2003上一样可以使用。不过我用了后发现系统会不稳定，所以最好找2003的ResourceKit安装光盘。这个工具由两部分组成，Svcmon.exe在你安装好ResourceKit后，默认的位于C:\ProgramFiles\ResourceKit 文件夹下，你要将其拷贝到%SystemRoot%\System32下，然后在命令提示符下输入Smconfig将打开配置向导。是图形界面，注意在ExchangeRecipients那里添如你要提醒的用户的Email。其他的 按照指示做就可以了。如果发现有不正常的服务可以使用ResourceKit中的Instsrv.exe移除服务使用格式：instsrvservicenameRemove

 

七、检测System32下的系统文件在安装好系统后和安装新的软件后对System32文件夹做备份，然后用COMP命令定期检查该文件的内容查找可疑的文件夹或文件。COMP命令的使用格式为:命令提示符下 COMPdata1data2/L/C data1指定要比较的第一个文件的位置和名称。 data2指定要比较的第二个文件的位置和名称。 /L显示不同的行数。 /C比较文件时不分ASCII字母的大小写。 注：MS的WinDiff工具可以图形化比较两个文件

 

八、利用Drivers.exe来监视已安装的驱动程序现在有的攻击者将木马添加到驱动程序中，我们可以通过MS提供的Drivers工具来进行检测。在运行此工具的计算机上，此工具会显示安装的所有设备驱动程序。该工具的输出包括一些信息，其中有驱动程序的文件名、磁盘上驱动程序的大小，以及链接该驱动程序的日期。链接日期可识别任何新安装的驱动程序。如果某个更新的驱动程序不是最近安装的，可能表示这是一个被替换的驱动程序。注：Drivers.exe工具在MS的的网站下载的WindowsServer2003ResourceKitTools中也没有这个工具我是使用的2000的。

九、检查本地用户和组这个想来不用说太多，大家都知道的了，需要注意的一点是，如果使用命令行的netuser来查看，将无法查看到隐藏的用户（即用户名后加了$的），所以最好使用管理单元来查看所有用户。

十、检查网页文件，特别是有与数据库连接的文件的日期，现在有的攻击者入侵后会在网页代码中留下后门，所以如果日期发了变化，那就要注意查看了。

十一、附Server2003EnterpriseEdition安装IIS和SQL2000后默认启动的服务、进程、端口 1、已启动的服务 AutomaticUpdate、COM+EventSystem、ComputerBrowser、CryptographicServices、DHCPClient、 DistributedfileSystem、DistributedlinkTracking、Distributedtransaction、DNSClient、 ErrorReporting、Eventlog、HelpAndSupports、IPSECServices、LogicalDiskManager、 NetworkLocation、plugandplay、PrintSpooler、RemoteProcedureCall、RemoteRegistry、 SecondaryLogon、SecurityAccounts、Server、SystemEventNetification、TaskScheduler、 TCP/IPNetBIOS、TerminalServices、WindowsInstaller、WindowsManagementInstrumentation、 WindowsTime、WirelessConfig、Workstation。

以下为安装IIS（只有WEB服务）后新加的启动的服务 AddService、Com+systemapplication、HttpSSL、IISAdminService、 networkconnections、protectedstorage、shellhardware、wordwideweb。

以下为安装SQL2000后新增加的已启动的服务 MicrosoftSearch、NTLMSecurity、MSSQLServer

2、已启动的进程 ctfmon:admin、wpabaln:admin、explorer:admin、wmiprvse、dfssvc、msdtc:networkservice、 sploolsv、lsass、conime:admin、services、

svchost:7个其中localservice2个、networkservice1个、winlogon、csrss、smss、

system、systemidleprocess。共计：22个进程，其中admin、networkservice、localservice表示用户名未注明的为System用户

以下为安装IIS后新增加的进程 wpabaln:admin、inetinfo、

以下为安装SQL后新增加的进程 mssearch、sqlmangr、wowexecadmin、sqlservr

3、已开启的端口 TCP:135、445、1025、1026、139 udp：445、500、1027、4500、123

以下为安装IIS后新增加的端口 tcp:80、8759注意8759这个端口是第一次安装后自动选择的一个端口，所以每台机会不同

以下为安装SQL后新增加的端口

tcp:1433 udp:68、1434

如果启用防火墙后将开启以下端口 TCP：3001、3002、3003 UDP：3004、3005。

【写在最后】

小伙伴们，您是否还对近期发生的勒索软件全球肆虐事件心有余悸呢?是否还未走出本周繁复的系统检查与补救阴霾呢?这让我突然想起了上个月底和大家分享过的一篇原创文章--《安全事件应急响应新思路》。说那是“一语成谶”也好，安全事件的新常态也罢，反正安全攻击这个“杀手可没有假期”哦。依稀记得我在那里以五步流程的方式提出了实现安全事件管控的整体框架。那么，这一次就让我“以CISSP的名义”，来深入地给大家讲解一下在面对可疑的信息安全入侵事件时，如何采取的实际操作各个步骤和相关的知识点吧。想必大家都知道这么一个道理吧：没有人只是通过阅读钢琴谱，就能够学会弹钢琴的。所以，我强烈建议您：一边阅读本文，一边动动手指头来跟着操作一番吧。

第一阶段：基础与准备

1. 确保能够以最直接的物理访问方式登录到可疑的系统上进行各种取证操作。

2. 断开可疑系统与外界的任何网络以及USB方式的连接。

3. 准备好用于对物理硬盘进行扫描和镜像的各种工具。

4. 事先识别出系统处于正常网络和服务状态的特征，并有相关知识储备。在安全之处(如配置管理数据库)存放相关文件，并记录着系统中所有正常活动所用到的端口，以及各种进程的特征列表。其中，在Windows里以：“服务名—端口号—进程名”的对应格式，而Unix/Linux里则可以是：“端口号—数据流规则”的map形式。在必要时，可以将其与可疑系统的当前状态做比较。

5. 识别出系统处于正常服务状态时所用到的系统级别的特有服务与相关技术(如系统自带的VPN服务)。必要的时候，可以事先向Windows或Unix/Linux专家咨询或是从网上获取相关知识与经验。

6. 如果企业较大,所有用户的操作系统(特别是Windows)应被统一的镜像文件所安装。所有被预安装的应用程序及其版本号等信息，都应当被记录在案。考虑到可能增加的任何不安全的进程与服务，不允许用户擅自安装的软件。

7. 另外，对于安装有Unix/Linux的服务器系统，其所有的重要文件(特别是SUID和GUID文件)列表同样应当被编录到文件中。在必要时，可以将其与可疑的SUID文件做比对检查。

总之，我们对系统的“清洁”状态越了解、掌握得越全面，我们就越容易越及时地检测出那些正在进行的异常活动。

第二阶段：识别与检查

由于这次我们针对讨论的是操作系统，而众所周知一般分Windows和Unix/Linux两大阵营，因此我将采用并行比较的方式来逐步展开和推进。大家可以操起吃饭的家伙了。对，是电脑+键盘!不是饭碗+筷子哦!

1. 非正常账号的检查

· 对于Windows

◆运用C:\> lusrmgr.msc或是C:\> net localgroup administrators命令来检查是否有被Administrators所创建的非正常的账号。

· 对于Unix/Linux

◆查看/etc/passwd、/etc/group和/etc/shadow里的可疑条目，特别是那些UID 0的。

◆运用# find / \( -nouser -o -nogroup \) -print命令来查看哪些在攻击中被删除的账号所遗留的孤独文件(orphaned files)。

2. 非正常文件的检查

· 对于Windows

◆考虑到系统可能被一些非法文件所滥用，应运用高级查找或特殊工具来扫描系统中大于10MB的文件，并逐一进行甄选。

◆检查新近增加的非正常的系统文件，特别是在C:\WINDOWS\system32下的。

◆运用C:\> dir /S /A:H命令来检查具有隐藏属性的各种文件。

◆运用“windirstat”之类的工具来获知各类文件在硬盘上所占的空间比例。

· 对于Unix/Linux

◆运用# find / -uid 0 \( –perm -4000 –o –perm 2000 \) –print命令来检查所有SUID和GUID文件。

◆运用如下命令来检查所有以“. ”or “.. ” or “ ”开头的非正常的文件名。

# find / -name “ *“ –print

# find / -name “. *“ –print

# find / -name “.. *“ –print

◆运用# find / -size +10MB –print命令来查找大于10MB 的文件。

◆运用# lsof +L1命令来查找那些不再关联(unlinked)的文件的各种进程。

◆检查/proc和/tmp目录下是否存在非正常的文件，特别是/tmp目录可能会被攻击者用来存放数据和恶意的二进制文件。

3. 非正常注册表项的检查

◆运用“HiJackThis”之类的工具扫描Windows的如下注册表项，以检查是否有在启动时自动运行的非正常的程序。

HKLM\Software\Microsoft\Windows\CurrentVersion\Run HKLM\Software\Microsoft\Windows\CurrentVersion\Runonce HKLM\Software\Microsoft\Windows\CurrentVersion\RunonceEx

◆检查账号的开始目录(Startup folder)，以及如下自动运行(Autostart folder)目录。

C:\Documents and Settings\user\Start Menu\Programs\Startup

C:\WinNT\Profiles\user\Start Menu\Programs\Startup

4. 非正常进程与服务的检查

· 对于Windows

◆运用C:\> taskmgr.exe或tasklist命令，以及“psexplorer”之类的工具来检查所有的，特别是用户名为“SYSTEM”和“ADMINISTRATOR”的，非正常的或未知的进程。

◆运用C:\> services.msc和C:\> net start命令来检查已安装和开启的非正常的网络服务。

· 对于Unix/Linux

◆运用# chkconfig –list命令来检查所有开启的服务。

◆运用# ps –aux命令来查看所有正在运行的进程;对于未知进程，可用到 lsof –p [pid] 命令。特别关注运行在UID 0下的那些进程。

5. 非正常网络活动的检查

· 对于Windows

◆运用C:\> net view 127.0.0.1命令，以及“tcpview”之类的工具来检查各个文件的共享，及其共享用途。

◆运用C:\> net session命令来检查本机上已经开启的各种会话。

◆运用C:\> net use命令来检查在本机上被其他系统所开启的各种会话。

◆运用C:\> nbtstat –S命令来检查任何可疑的Netbios连接。

◆运用C:\> netstat –na 5命令(这里的5代表每5秒钟刷新一次)，以及“fport”之类的工具来检查本机各个端口上的任何可疑活动。另外，如果增加-o的参数，如C:\> netstat –nao 5，还能看到各个进程的所有者。

· 对于Unix/Linux

◆检查内核文件的“kernel: device eth0 entered promiscuous mode”来确认网卡是否处于“混杂”模式，从而发现局域网络中出现的非正常的IP地址。

◆运用# netstat –nap和 # lsof –i命令来检查各个进程的侦听端口和非正常的端口活动。

◆运用# arp -a命令来检查局域网中的非正常的MAC地址记录。

6. 非正常计划任务的检查

· 对于Windows

◆运用C:\> schtasks命令来检查计划任务列表中的非正常的条目。

· 对于Unix/Linux

◆检查/etc/cron.allow文件里的非正常条目，以及运用# crontab -u root –l命令来罗列出那些被UID 0的账号(即root)所设置自动运行的任务。

◆运用# cat /etc/crontab和# ls -la /etc/cron.*命令来检查各种系统级别的计划任务。

7. 非正常日志条目的检查

· 对于Windows

◆运用C:\> eventvwr.msc命令来检查日志文件中是否有可疑条目。

◆运用“Event Log Viewer”之类的工具来查看与防火墙、防病毒软件、文件保护以及新的可疑服务有关的事件。特别注意那些大量的登录失败和被锁账号的日志条目。

· 对于Unix/Linux

◆运用cat和grep命令的组合(例如：cat /var/log/httpd/access.log | grep "GET /signup.jsp")来检查存放在/var/log下的各种日志文件。这里给大家罗列一下，该目录下不同类型日志文件的功能，当然熟悉的朋友可以直接略过：

/var/log/message: 通用的系统消息

/var/log/auth.log: 认证日志

/var/log/kern.log: 内核日志

/var/log/cron.log: 计划任务日志

/var/log/maillog: 邮件服务器日志

/var/log/httpd/: Apache 访问与错误日志目录

/var/log/boot.log: 系统启动日志

/var/log/mysqld.log: MySQL 数据库服务器日志

/var/log/secure: 认证安全日志

/var/log/utmp 或/var/log/wtmp: 登录记录文件

◆检查来自本地和远程访问工具(如sshd和ftpd等)所记录的、大量的认证和登录失败的日志条目。

◆检查各个远程过程调用(RPC)程序的日志里所包含的具有大量奇怪字符的条目。

◆检查Apache的日志里所包含的大量“error”的条目。

◆检查各种硬件和软件的重启日志。

◆运用# dmesg命令来检查系统各个内核日志文件里的可疑事件;并用# lsmod和# lspci来列出重要的内核与系统信息。

8. 恶意软件的检查

· 对于Windows，可组合使用“Rootkit Revealer”、“Rootkit Hooker”、“Ice Sword”、“Rk Detector”、“SysInspector”、“Rootkit Buster”等工具。

· 对于Unix/Linux，则可使用“rkhunter”之类的工具。

第三阶段：取证与补救

还记得那首《见或不见》的小诗吗?可惜的是各种攻击者的入侵证据可不像诗中的爱那样：你查，或者不查，证据就在那里，不增不减。我们一旦确认的入侵之后就要迅速、立刻、马上用正确的方式进行取证和系统的补救。其中要注意如下几点：

1. 对被攻击系统的硬盘采用比特级别(bit by bit)的物理全盘拷贝。

· 对于Windows，可以使用EnCase和ddrescure等磁盘克隆工具。

· 对于Unix/Linux则可以使用Sleuth Kit或Autopsy之类的取证工具。

2. 运用Memoryze和win32dd之类的工具，对被攻击系统的内存里的数据进行复制，以便进一步的分析。

3. 在适合的情况下，安装针对操作系统和应用程序的各种修复补丁，以“堵上”那些尚未被攻击者所使用到的漏洞，以及再次可能被利用的漏洞。

4. 根据检查结果和准备阶段的记录，恢复所用被改动过的文件。例如Windows上的svchost.exe，以及Unix/Linux上/bin/su下的各个二进制文件等。

小结

我身边的搞信息安全的朋友们经常慨叹：为什么看过这么多安全的道理，却依然过不好系统运维与事件处理的职场人生呢?其实我个人觉得咱们有时候与“人家的无故障系统”之间就差着一份勤奋和坚持。如果我们能够勤给系统打补丁、坚持对系统做检查、勤对蛛丝马迹进行分析的话，很多一般性的入侵都会被拒之门外的。好了，希望这次有关操作系统方面的安全入侵应对实务能够帮助您打通任督二脉、疏通思路与“经骨”，哥会在下一次给您带来更多干货的。