先分析入侵者都做了些什么！

记得为了方便在他机器上装了 RADMIN ，登录了一下，密码也不对了，看来是有人上去了，而且入侵者还拿到了系统管理员权限。

跑到机房，拿出 ERD COMMANDER ，改了密码，重启，进入系统后第一步升级帐户，多了一个 hud$ 的用户， administrators 组，删除，再看 guest 用户虽然禁用状态，但是说明内容不对了。仔细一看， administrators 组，同样删除。接着看了下其他用户，组别都正常，把远程连接权限都去掉后，帐号方面算是处理完了。

接着看看各个硬盘 C:\ 下面有如下文件

sqlhello.exe

sqlhello2.exe
 
result.txt

1.bat

2.bat

编辑了下 1.bat ，里面内容都是扫描整个网段。看来是有人拿这台机器当跳板了，移动所有文件到其他目录。

接着审计应用程序，考虑这台机器的用途和环境。是 WINDOWS2000+IIS+SERV-U 。

先看 SERV-U 审计用户，看看有没有别人加 system 权限的 FTP 用户，查看下来没有。

执行权限也没有，锁定目录状态都是对的。

看了下没有记录日志。

然后看了版本。 5.0.0 .4...ft 了，早让他升级，就是不升，看来是被入侵的第一步，先升级到 6.0.0.2 ， FTP 这里应该没什么问题了。

IIS 方面的分析：

开着日志记录，太好了，等会儿分析日志

继续看，其他都是默认配置，先在应用程序映射里把所有的文件类型都删除干净只保留 .ASP 和 .ASA

审计文件权限

设定各个分区和目录的权限。

接着审查木马情况，由于系统不能重装，所以只能加固原有已经被入侵的系统，考虑到这个入侵者添加的用户的情况以及在 C 根目录放文件还有日志都是开放等等情况，估计水平不会很高，也不会植入自己编写的木马。

使用了朋友 thrkdev 编的 ATE 来查了一遍，看来没有已知木马。

接着查找 WEBSHELL ，考虑到入侵者水平，最多也就用用海阳，而且最多也就把部分版权信息去掉，搜索所有内容包含 lcx 的 .ASP 文件。

果然， 4 个文件。

2005.asp

ok.asp

dvbbs7.asp

aki.asp

看来分析还是比较准确的，除了 dvbbs7.asp 有点创意，移动这些文件到其他目录，供以后审计用。

然后是网络部分

TCP 过滤未开， IPSEC 未指派。

先把 NETBIOS 关掉，然后 TCP 内只允许 20,21,80,3389

考虑到反向木马的可能性

在 IPSEC 内打开本机 SPORT 20,21,80,3389 到外部任意端口，其他从内部往外的一律屏蔽。

系统萃取，把一些无关服务与软件关闭或者卸载。

对系统进行补丁升级，还好补丁还是没有缺，把自动 UPDATE 设置到自动安装。

最后一步是分析日志，看看有没有遗漏的地方，系统本身的日志都被关闭了。看来入侵者还是比较小心。

打开该审计的部分，在关键目录，比如系统目录加上了审计，使得所有对 C:\WINNT 的创建文件的成功与失败都记录在日志内。

由于前面提到 SERV-U 日志原来并未记录，只能打开 IIS 日志查找对于找到的 4 个 WEBSHELL 的访问情况，找到了访问的 IP ，回查，来自一个固定 IP 地址，浏览了一下，得到信息后给对方管理员去邮件通知他们做好安全工作。

其实还有一些部分内容应该做而限于有些条件没有做的。

1. 更换系统默认用户用户名

因为兄弟他们对计算机不熟，就没有更换，不过要求他们使用更加强壮的密码了

2. 对于加密的 webshell 的查找

上述内容中对于 WEBSHELL 只查找了一种，并且只针对明文编码的页面程序进行了查找，应该是可以加入对于编码后 ASP WEBSHELL 的搜索。

还有搜索内容应该由简单的 LCX 扩展到 wscript.shell 等更加广泛与匹配的关键词的查找

3. 对于木马的查找

由于预估入侵者水平不高，所以这项只依靠杀木马软件进行了搜索，如果有时间的话，还是应该手工进行查找

4. 对页面程序进行评估

也有由于时间关系，没时间对原有网站程序进行检查。

5. 入侵测试

由于入侵检测很可能被入侵者的思路带着走而忽略了其他薄弱环节，所以检测完毕应该最好进行完全的测试，保证其他路径是同样强壮的。