应急响应

# 获取内存镜像
winpmem -o memory.raw
# Linux 侧可用 LiME 内核模块采集
insmod lime.ko "path=/evidence/memory.lime format=lime"

# Volatility 分析
vol -f memory.raw windows.info              # 系统信息（先确认镜像与内核匹配）
vol -f memory.raw windows.pslist            # 进程列表
vol -f memory.raw windows.pstree            # 进程树（看父子关系，伪造父进程现形）
vol -f memory.raw windows.psscan            # 扫描隐藏进程（对比 pslist 找差异）
vol -f memory.raw windows.netscan           # 网络连接（C2 外联地址）
vol -f memory.raw windows.malfind           # 可注入内存区域（代码注入痕迹）

# 提取可疑进程的内存映像做静态分析
vol -f memory.raw windows.memmap --pid 1234 --dump

# 注册表持久化项（Run 键是后门最爱）
vol -f memory.raw windows.registry.printkey \
  --key "Software\Microsoft\Windows\CurrentVersion\Run"

# 文件定位与提取（按物理地址挖出已删除文件的残留）
vol -f memory.raw windows.filescan | grep ".doc"
vol -f memory.raw windows.dumpfiles --physaddr 0x3e4a5b60

# 创建磁盘镜像（conv=noerror,sync 保证坏道不中断、空洞补零）
dd if=/dev/sda of=evidence.img bs=4M conv=noerror,sync
md5sum evidence.img > image.md5        # 镜像完整性校验，链条起点
# 专业工具：FTK Imager、Guymager（图形化、支持 E01 格式）

# 挂载只读分析
mount -o ro,loop evidence.img /mnt/evidence

# 分区表与文件系统遍历（Sleuth Kit 套件）
mmls evidence.img                      # 分区表
fls -r -o 2048 evidence.img            # 递归列出文件系统（偏移按 mmls 结果）
icat -o 2048 evidence.img 12345        # 按 inode 号提取文件

# 恢复删除文件
foremost -i evidence.img -o recovered/    # 按文件头特征恢复
photorec evidence.img                     # 交互式恢复

# 时间线分析：把「谁在什么时候动了什么」排成一条线
fls -r -m / -o 2048 evidence.img > body.txt
mactime -b body.txt > timeline.csv

# 抓包
tcpdump -i eth0 -w evidence.pcap

# 分析
wireshark evidence.pcap
tshark -r evidence.pcap -Y "http.request"        # 命令行版过滤器（tshark 适合批处理）

ip.addr == 192.168.1.1           # IP 过滤
tcp.port == 80                   # 端口过滤
http.request.method == "POST"    # HTTP POST 请求
dns.qry.name contains "evil"     # DNS 查询（DGA 域名、DNS 隧道线索）
tcp.flags.syn == 1               # SYN 包
frame.len > 1000                 # 大包过滤

# 读取分析
tcpdump -r capture.pcap -nn               # 读取 pcap，不做名称解析
tcpdump -r capture.pcap -A                # ASCII 显示（看 HTTP 明文）
tcpdump -r capture.pcap -X                # 十六进制+ASCII（看二进制协议）

# 提取 HTTP 请求行与头
tcpdump -r capture.pcap -A -s 0 | grep -i "GET\|POST\|Host\|Cookie"

# 登录日志
last -f /var/log/wtmp          # 成功登录
lastb -f /var/log/btmp         # 失败登录
grep "Failed password" /var/log/auth.log | awk '{print $11}' | \
  sort | uniq -c | sort -rn | head  # 暴力破解统计（Top 攻击源）

# 系统日志
grep -i "error\|fail\|critical" /var/log/syslog
journalctl --since "2024-01-01" --until "2024-01-02" -p err

# Web 日志分析
awk '{print $1}' access.log | sort | uniq -c | sort -rn | head -20  # IP 统计
grep "POST /login" access.log | grep " 401 "   # 登录失败
grep "SELECT\|UNION\|DROP" access.log          # SQL 注入尝试
grep "<script>\|alert(" access.log              # XSS 尝试

# 安全日志 — 登录失败事件（ID 4625）
Get-WinEvent -FilterHashtable @{LogName='Security'; ID=4625} |
  Select-Object TimeCreated, Message | Format-Table

# 统计登录失败来源 IP（Top 10）
Get-WinEvent -FilterHashtable @{LogName='Security'; ID=4625} |
  ForEach-Object { $_.Properties[5].Value } |
  Group-Object | Sort-Object Count -Descending | Select-Object -First 10

# 进程创建事件（ID 4688，需审计策略开启）
Get-WinEvent -FilterHashtable @{LogName='Security'; ID=4688} |
  Select-Object TimeCreated, Message | Format-List

1. 隔离感染主机（不断电）
2. 保留内存镜像
3. 识别勒索软件家族
4. 检查是否有解密工具
5. 评估备份可用性
6. 恢复或支付（不推荐）

# 收集系统版本与内核信息
uname -a && cat /etc/os-release

# 查看系统运行时间与负载
uptime

# 查看当前登录的所有用户
w

# 查看最近登录历史记录
last | head -20

# 查看失败登录记录
sudo lastb | head -20

# 查看所有进程与父子关系
ps auxf

# 找出 CPU 占用最高的 10 个进程
ps aux --sort=-%cpu | head -10

# 找出内存占用最高的 10 个进程
ps aux --sort=-%mem | head -10

# 查找重复 PID 的可疑进程
ps -ef | awk '{print $2}' | sort | uniq -d

# 对比 /proc 与 ps 结果查找隐藏进程
comm -23 <(ls -d /proc/[0-9]* | awk -F/ '{print $3}' | sort) <(ps -ef | awk 'NR>1{print $2}' | sort)

# 查看所有 TCP/UDP 连接与监听端口
sudo netstat -tunlap

# 查看所有 TCP 监听端口与进程
sudo ss -tlnp

# 查看所有已建立的连接
sudo netstat -anp | grep ESTABLISHED

# 查找非标准端口的监听服务
sudo ss -tlnp | grep -vE ":(22|80|443|8080)"

# 查看网络接口与路由表
ip addr && ip route

# 查找最近 24 小时内修改的文件
sudo find / -mtime -1 -type f 2>/dev/null

# 查找所有 SUID 权限文件(可能被植入后门)
sudo find / -perm -4000 -type f 2>/dev/null

# 查找所有隐藏文件
sudo find / -name ".*" -type f 2>/dev/null | head -20

# 查找临时目录中的可执行文件
sudo find /tmp /var/tmp /dev/shm -type f -executable 2>/dev/null

# 查找最近 60 分钟内创建的文件
sudo find / -mmin -60 -type f 2>/dev/null

# 查看可登录的用户账户
cat /etc/passwd | grep -v nologin | grep -v false

# 查找 UID 为 0 的用户(正常应只有 root)
awk -F: '$3 == 0 {print $1}' /etc/passwd

# 查看具有 sudo 权限的用户
sudo cat /etc/sudoers | grep -v "^#" | grep -v "^$"

# 查找密码为空的用户
sudo awk -F: '($2 == "") {print $1}' /etc/shadow

# 查看所有用户的最后登录时间
lastlog | grep -v "Never logged in"

# 查看当前用户 cron 任务与系统 cron 配置
crontab -l && ls -la /etc/cron.*

# 查看系统级 cron 任务
cat /etc/crontab

# 查看 cron 目录中的定时任务
ls -la /etc/cron.d/ /etc/cron.daily/ /etc/cron.hourly/ /etc/cron.weekly/ /etc/cron.monthly/

# 查看所有用户的 cron 任务
for user in $(cut -f1 -d: /etc/passwd); do echo "用户 $user:"; sudo crontab -u $user -l 2>/dev/null; done

# 查看 systemd 定时任务
systemctl list-timers --all

# 查看内存使用与虚拟内存统计
free -m && vmstat 1 5

# 查看开机自启服务
systemctl list-unit-files --state=enabled

# 查看 rc.local 启动脚本
cat /etc/rc.local 2>/dev/null

# 查看传统 init 服务
ls -la /etc/init.d/

# 查看加载的内核模块
lsmod | grep -vE "^Module|^$" | sort

# 使用 rkhunter 扫描 rootkit
sudo rkhunter --check --sk

# 更新 rkhunter 数据库
sudo rkhunter --update

# 使用 chkrootkit 扫描 rootkit
sudo chkrootkit

# 使用 ClamAV 扫描整个文件系统
sudo clamscan -r --max-filesize=100M /

# 扫描用户主目录与临时目录
sudo clamscan -r /home /tmp /var/tmp

# 使用 sysinfo 工具收集系统信息
# sysinfo -o /tmp/system_info.txt

# 打包日志用于取证分析
sudo tar -czf /tmp/logs.tar.gz /var/log/

# 制作内存镜像用于取证(需 root)
sudo dd if=/dev/mem of=/tmp/memory.dump bs=1M

# 计算文件 SHA256 哈希保证取证完整性
sha256sum /tmp/logs.tar.gz

# 使用 LiME 内核模块制作内存镜像
sudo insmod lime.ko "path=/tmp/memory.lime format=lime"

# 立即断开网络隔离受感染主机
sudo ifconfig eth0 down

# 强制终止可疑进程
sudo kill -9 12345

# 通过 iptables 阻断恶意 IP
sudo iptables -A INPUT -s 203.0.113.10 -j DROP

# 锁定可疑用户账户
sudo passwd -l suspicious_user

# 立即停止受感染服务
sudo systemctl stop vulnerable_service

# 删除已确认的恶意文件
sudo rm -f /tmp/malware.sh

# 清除当前用户所有 cron 任务
crontab -r

# 重新安装被篡改的系统包
sudo apt-get install --reinstall coreutils

# 更新所有软件包修复已知漏洞
sudo apt-get update && sudo apt-get upgrade -y

# 重置用户密码
sudo passwd root

# 创建事件响应报告文件
echo "事件响应报告 $(date)" > /tmp/incident_report.txt
echo "主机名: $(hostname)" >> /tmp/incident_report.txt
echo "时间: $(date)" >> /tmp/incident_report.txt
echo "内核: $(uname -r)" >> /tmp/incident_report.txt

# 打包归档所有取证证据
sudo tar -czf evidence-$(date +%F).tar.gz /tmp/incident_report.txt /tmp/logs.tar.gz /tmp/memory.dump

# 计算证据文件哈希保证完整性
sha256sum evidence-*.tar.gz > evidence.hash

# 验证证据文件完整性
sha256sum -c evidence.hash