1. 网络安全事件响应实战解析：中职组Server2215攻防演练

去年带队参加省级职业院校网络安全竞赛时，我们抽到的Server2215靶机至今让我记忆犹新。这台被植入木马的数据库服务器，完整呈现了从攻击痕迹识别到溯源取证的典型事件响应流程。现在把当时的实战经验和关键技术点整理成文，特别适合刚接触网络安全的新手理解事件响应的核心逻辑。

2. 事件背景与环境分析

2.1 靶机场景还原

Server2215模拟某企业MySQL数据库服务器，开放了3306和22端口。攻击者已通过弱口令爆破获得SSH权限，并上传了伪装成日志文件的ELF木马程序。我们的任务是：

• 识别异常进程与网络连接
• 分析恶意文件行为特征
• 提取攻击者IP等溯源线索
• 撰写完整的事件响应报告

2.2 必备工具清单

实战中我们用到以下工具链：

# 基础检测 top/htop # 进程监控 netstat -antp # 网络连接分析 lsof -i # 端口关联进程 # 高级分析 strace # 系统调用追踪 strings # 文件字符串提取 Volatility # 内存取证 # 辅助工具 md5sum/sha1sum # 哈希校验 vi/emacs # 日志分析 tcpdump # 流量抓包

3. 入侵痕迹排查实战

3.1 异常进程三阶分析法

初级筛查：通过ps auxf发现名为syslogd的进程占用CPU异常（正常应接近0%），其父进程为init而非systemd。

中级验证：

# 查看进程文件路径 ls -l /proc/$(pgrep syslogd)/exe # 返回结果指向/tmp/.logd（异常位置）

深度分析：

strace -p $(pgrep syslogd) 2>&1 | grep connect # 发现定期连接外网IP的行为

3.2 网络连接排查技巧

使用改良版netstat命令：

netstat -antp | awk '$5 ~ /[0-9]+\.[0-9]+\.[0-9]+\.[0-9]+/ {print}' | sort -k5

重点观察：

1. ESTABLISHED状态的非常见端口连接
2. 连接到境外IP的TCP会话
3. 非root用户发起的监听端口

4. 恶意文件深度剖析

4.1 静态分析三板斧

基础信息：

file /tmp/.logd # ELF 64-bit LSB executable stat /tmp/.logd # 创建时间与系统异常时段吻合

字符串提取：

strings /tmp/.logd | grep -E '([0-9]{1,3}\.){3}[0-9]{1,3}' # 发现C2服务器地址：185.143.223.47

哈希比对：

md5sum /tmp/.logd # 与VirusTotal记录匹配已知木马变种

4.2 动态行为分析

搭建隔离环境进行沙箱运行：

1. 使用strace捕获系统调用：

   strace -f -o malware.log /tmp/.logd

2. 关键行为发现：
   • 定期访问/etc/passwd
   • 尝试建立反向Shell
   • 下载额外payload到/dev/shm

5. 攻击链路还原与取证

5.1 时间线梳理技巧

# 合并多个日志来源 cat /var/log/auth.log /var/log/syslog | grep -i "failed\|accepted" | sort -k3M -k4n

发现攻击路径：

1. 爆破成功时间：Mar 15 02:17:33
2. 木马下载时间：Mar 15 02:19:12
3. 外连行为开始：Mar 15 02:25:41

5.2 关键证据提取

1. SSH登录IP：

   grep "Accepted password" /var/log/auth.log | awk '{print $11}'

2. 原始攻击载荷：

   find / -name "*.php" -mtime -1 -exec grep -l "base64_decode" {} \;

3. 内存取证样本：

   dd if=/proc/$(pgrep syslogd)/mem of=malware.dump bs=1M count=10

6. 防御加固方案

6.1 应急响应措施

1. 隔离网络：

   iptables -A OUTPUT -d 185.143.223.47 -j DROP

2. 清除后门：

   kill -9 $(pgrep syslogd) && rm -f /tmp/.logd

3. 密码重置：

   passwd $(grep "Accepted password" /var/log/auth.log | awk '{print $9}')

6.2 长期防护策略

1. SSH加固：

   sed -i 's/#PermitRootLogin yes/PermitRootLogin no/' /etc/ssh/sshd_config echo "AllowUsers admin" >> /etc/ssh/sshd_config

2. 文件监控：

   apt install aide aideinit && mv /var/lib/aide/aide.db.new /var/lib/aide/aide.db

7. 竞赛技巧与避坑指南

1. 时间管理法则：按20-60-20分配时间

   • 前20分钟：快速扫描系统整体状态
   • 中间60分钟：深度分析关键证据
   • 最后20分钟：整理报告与验证

2. 报告撰写要点：

   • 攻击时间线必须精确到秒
   • 每个结论需附带证据命令输出
   • 修复建议要具体可执行

3. 常见失误：

   • 直接删除恶意文件导致证据丢失（应先做镜像）
   • 忽略内存中的攻击痕迹
   • 未检查计划任务等持久化手段

这次实战让我深刻体会到，网络安全事件响应就像医疗诊断——需要既关注表面症状（异常进程），也要检查血液指标（日志记录），最后还要追溯病因（攻击路径）。建议新手平时多搭建实验环境，用Metasploit生成各类木马进行逆向分析，积累真实的排查经验。