0x01 獲取當(dāng)前網(wǎng)絡(luò)架構(gòu)
語言，數(shù)據(jù)庫，中間件，系統(tǒng)環(huán)境等
0x02 分析思路
1.利用時(shí)間節(jié)點(diǎn)篩選日志行為
2.利用已知的漏洞在日志進(jìn)行特征搜索，快速定位到目標(biāo)ip等信息
3.后門查殺，獲取后門信息，進(jìn)一步定位目標(biāo)信息
0x03 常見中間件日志的存儲路徑
ii7(windows)： C:\Windows\System32\inetsrv\config\applicationHost.config
iis6(windows)：C:/Windows/system32/inetsrv/metabase.xml
apache（linux）：/var/log/apache2/ /usr/local/apache/logs/
apache（windows）：windows: apache/logs/
nginx（linux）：/var/log/nginx
nginx(windows)：nginx安裝目錄
apache-tomcat：相關(guān)安裝目錄下：apache-tomcat/logs/xxx.xx.log
0x04 常見中間件的日志審查思路
iis .net分析：網(wǎng)站被入侵，給出來被入侵時(shí)間
iis日志地址：inetput/logs/LogFiles/W3VC5(確認(rèn)對網(wǎng)站的id數(shù)查詢對應(yīng)日志，下面對應(yīng)每天產(chǎn)生的單個(gè)日志文件)
分析思路：iis日志地址固定，一個(gè)網(wǎng)站對應(yīng)一個(gè)id日志，分析日志定位到目錄掃描行為，發(fā)現(xiàn)相關(guān)漏掃sqlmap等指紋
apache php分析：網(wǎng)站被植入后門 日志記錄按天記錄，記錄所有的訪問請求
apache日志地址：apache2.4/logs/access.log記錄訪問日志
分析思路：作為紅隊(duì)人員思路分析目標(biāo)存在組件漏洞，網(wǎng)上搜尋相關(guān)exp地址，日志搜索exp特征定位入侵
tomcat php分析：網(wǎng)站被植入后門
tomcat日志地址：apache-tomcat-7.0.2/logs/access_log.2022-12-26 基于時(shí)間的日志類型
分析思路：推薦D盾，河馬客戶端查殺出木馬文件，通過文件范圍內(nèi)日志的字符查詢定位（notepad），日志中獲取訪問者ip，再通過ip定位查詢?nèi)罩緝?nèi)信息（阿里云在線查殺效果最好，但文件大小有限制：）
0x05 webshell查殺&在線
單文件高精度在線查殺：
https://ti.aliyun.com/#/webshell
推薦離線工具：
https://n.shellpub.com/
http://www.d99net.net文章來源：http://www.zghlxwxcb.cn/news/detail-630559.html
0x06 .net jsp內(nèi)存馬清理工具
https://github.com/yzddmr6/ASP.NET-Memshell-Scanner
https://github.com/c0ny1/java-memshell-scanner
使用方法：上傳到對應(yīng)網(wǎng)站目錄，訪問即可扎實(shí)異常的class文件，內(nèi)存馬為無文件落地。所有內(nèi)存馬對應(yīng)的物理存儲路徑?jīng)]有產(chǎn)生對應(yīng)的class文件，該行為極大可能為內(nèi)存馬，常規(guī).net jsp內(nèi)存馬可以借助工具kill掉進(jìn)程，極端情況下可以將對應(yīng)java路徑下的新增加的class路徑全部刪除文章來源地址http://www.zghlxwxcb.cn/news/detail-630559.html
到了這里，關(guān)于應(yīng)急響應(yīng)-web后門（中間件）的排查思路的文章就介紹完了。如果您還想了解更多內(nèi)容，請?jiān)谟疑辖撬阉鱐OY模板網(wǎng)以前的文章或繼續(xù)瀏覽下面的相關(guān)文章，希望大家以后多多支持TOY模板網(wǎng)！
