程序员经验分享-hwhale

哪个进程在访问这个恶意域名???

2023-11-12

哪个进程在访问这个恶意域名？

背景

信息安全工程师很多时候需要通过某个恶意域名来判断主机失陷情况。恶意域名特征比较明显的，比较容易通过威胁情报找到相关线索。例如fr.minexmr.com，通过威胁情查询，该恶意域名比较容易判断该主机感染WannaMine挖矿病毒。知道主机感染是什么恶意软件后，就比较容易找到解决方法。

但是威胁情报也不是万能的，威胁情报具有很强的时效性，“老的”威胁情报有可能出现谬误。而由于一些其他原因，我们可能只知道这个域名是恶意的，其他的什么也不知道，这就导致溯源和应急工作无法进一步开展。

这时，信息安全工程师需要通过恶意域名定位具体进程，找到恶意软件组件再做进一步判断。由于恶意软件访问恶意域名很难实时的溯源到，多数时候如果恶意软件不能访问到其C2服务器，就会保持静默状态，等待下一个周期进行访问尝试。这个周期有时几个小时或者1天不等，这又为溯源和应急响应工作制造了不小的困难。

本文提供两种通过恶意域名定位进程的方法。第一种是使用SYSMON监控程序，该方法需要部署，定位进程比较准确。第二种方法是使用两款windows电子取证工具，无需部署，但是监测时间视具体情况而定，准确性也需要实践检验。这里分享给大家，提供思路，大家结合实际情况运用。

部署Sysmon轻量级监控程序

Sysmon是微软的一款轻量级的系统监控工具，最开始是由Sysinternals开发的，后来Sysinternals被微软收购，现在属于Sysinternals系列工具。它通过系统服务和驱动程序实现记录进程创建、文件访问以及网络信息的记录，并把相关的信息写入并展示在windows的日志事件里。首先安装Sysmon 10，注意版本。

更新配置文件

DNS访问记录需要查看事件日志，Windows事件日志在计算机管理中

Sysmon具体路径为：应用程序和服务日志/Microsof /Windows/Sysmon/Operational

筛选日志，DNS查询事件号为22。利用筛选功能进行过滤。

 

再通过查找关键字符串进行定位。

得到访问域名和对应的进程。

 

使用DNSQuerySniffer和Process Monitor定位进程

DNSQuerySniffer是网络嗅探工具，显示DNS查询发送您的系统。每个DNS查询，显示以下信息：主机名，端口号，编号查询，请求类型（A，AAAA，NS，和MX，等等），请求响应时间，时间，时间，响应代码，数量的记录，并返回的DNS记录的内容。通过DNSQuerySniffer我们先确定访问恶意域名的端口号。这个工具的优点是可以将主机访问过的所有域名记录下来。

我们通过DNSQuerySniffer先确定访问恶意域名checkip.xxxx的端口号为51008。时间为2020年3月25日14：38：38左右。

接下来使用Process Monitor定位进程

由于Process Monitor会产生大量事件日志，要进行过滤。

  1. 只查看网络连接事件
  2. 只查看“UDP SEND”事件

再根据时间轴和端口进行进程定位，这样就找到了访问恶意域名的进程。

 

参考链接

https://www.anquanke.com/post/id/180170

sysmon下载地址

https://live.sysinternals.com/sysmon.exe

sysmon配置文件下载地址

https://github.com/SwiftOnSecurity/sysmon-config

DNSQuerySniffer下载地址

https://www.nirsoft.net/utils/dns_query_sniffer.html

Process Monitor下载地址

https://docs.microsoft.com/en-us/sysinternals/downloads/procmon

 

本文内容由网友自发贡献，版权归原作者所有，本站不承担相应法律责任。如您发现有涉嫌抄袭侵权的内容，请联系:hwhale#tublm.com(使用前将#替换为@)

信息安全

数字取证

企业安全

哪个进程在访问这个恶意域名??? 的相关文章

  • S-DES

    S DES即simplifed DES S DES算法的输入是一个8位的明文或者密文组和一个10位的密钥 输出是一个8位的密文或者明文组 以下是S DES所需的几个置换表 P10 3 5 2 7 4 10 1 9 8 6 P8 6 3 7

  • 2023网络安全毕业设计选题推荐 - 信息安全毕业设计题目大全

    文章目录 0 简介 2 如何选题 1 最新网安毕设选题 3 最后 0 简介 毕业季马上就要开始了 不少同学询问学长管理选题开题类的问题 今天跟大家分享信息安全毕设选题 最新的信息安全 网络安全 专业毕设选题 难度适中 适合作为毕业设计 大家

  • 警惕！这个微软Office 0day 已遭在野利用

    聚焦源代码安全 网罗国内外最新资讯 编译 代码卫士 安全研究员发现 微软Office 新0day 已遭在野利用 仅需打开一份Word文档 攻击者即可利用该漏洞通过Microsoft 诊断工具 MSDT 执行恶意PowerShell 命令 C

  • [工具使用]SqlMap

    工具使用 SqlMap SqlMap 常用指令 探测目标网站是否存在注入 查询数据库users 查询数据库passwords 查询数据库当前用户 查询当前数据库用户是否是管理员权限 列出数据库的管理员用户名 查询所有数据库 查询当前数据库

  • 内网信息收集-入门概念

    内网信息收集 在内网渗透测试环境中 有很多设备和防护软件 例如Bit9 ArcSight Mandiant 等 它们通过收集目标内网的信息 洞察内网网络拓扑结构 找出内网中最薄弱的环节 信息收集的深度 直接关系到内网渗透测试的成败 1 内网

  • Security-Onion-Solutions安全洋葱安装方法

    Security Onion Solutions安全洋葱安装方法 securityonion安全洋葱介绍 安全洋葱是一款开源的入侵检测系统 集成了日志分析 流量分析安全告警如 Grafana TheHive Playbook Fleet O

  • 信息隐藏——LSB隐写分析

    LSB隐写分析 实验目的 了解并实现常见的LSB隐写分析法 实验内容 实现针对LSB隐写的卡方隐写分析算法 并分析其性能 实现针对LSB隐写的RS隐写分析算法 并分析其性能 1 卡方隐写分析算法 主要针对图像所有像素点的LSB全嵌入情况 利

  • 哪个进程在访问这个恶意域名???

    哪个进程在访问这个恶意域名 背景 信息安全工程师很多时候需要通过某个恶意域名来判断主机失陷情况 恶意域名特征比较明显的 比较容易通过威胁情报找到相关线索 例如fr minexmr com 通过威胁情查询 该恶意域名比较容易判断该主机感染Wa

  • SQL-SqlMap注入

    首先打开靶机进入目标地址 直接在kali sqlmap上进行测试 先使用burp suite抓取一个提交的数据包 然后把里面的数据全部复制到真机 自己的电脑上 创建一个文本文件 然后上传至kali桌面上 然后在kali上执行以下命令确定注入

  • 安全编码规范-小羊的记录本

    目录 安全编码规范 安全目标 数据校验 SQL注入 OS注入 目录遍历攻击 XML注入 正则注入 日志注入 敏感数据保护 异常暴露敏感信息 线程同步 IO操作 反序列化 平台安全 线程同步 IO操作 反序列化 平台安全 安全编码规范 安全目

  • 网络安全-跨站请求伪造（CSRF）的原理、攻击及防御

    目录 简介 原理 举例 漏洞发现 链接及请求伪造 CSRF攻击 不同浏览器 未登录状态 登录状态 代码查看 工具 防御 用户 程序员 简介 跨站请求伪造 Cross site request forgery 也被称为 one click a

  • 全网最详细网络安全学习路线！手都给我码酸了！

    零基础小白 学完掌握可就业 入门到入土的网安学习路线 在各大平台搜的网安学习路线都太粗略了 看不下去了 我把自己报班的系统学习路线 整理拿出来跟大家分享了 本文为纯干货纯文字内容 需要详细学习路线图以及配套资料的同学可留言或者后台踢我免费分

  • 【如何处理信息收集时子域名爆破泛解析的问题】

    如何处理信息收集时子域名爆破泛解析的问题 子域名泛解析的成因 泛域名解析举例 子域名爆破中解决泛解析的方式 推荐工具 子域名泛解析的成因 在子域名解析中 每个子域名都会解析为一个特定的IP地址 只有被设置解析 用户才能正常进行访问 一旦用户

  • pikachu靶场记录之暴力破解-包括带token的密码猜解

    说明 pikachu是一个免费的php靶场 类似于dvwa 从github下载对应的项目 解压缩并放到phpstudy的www目录下即可 在phpstudy软件中开启apache mysql 访问首页 192 168 10 150 pika

  • SLIP, PPP, L2F ,PPTP, L2TP的简介以及关联

    都是网络连接的方式 其中又分为两大类 拨号连接 dialup 和虚拟私人网络 virtual private network 俗称VPN 依旧用我的浅薄而又粗俗的言语来向大家解释一下 如有错误 尽情打脸 拨号连接 Dalup 包含两种连接方

  • 信息收集 （一）Google Hack & robots文件

    一 Google Hack 在渗透测试中 信息收集是尤为重要的一部分 甚至可以占到整个渗透的百分之六十至七十 可见掌握好信息收集的方法十分重要 那GoogleHacking作为常用且方便的信息收集搜索引擎工具 它是利用谷歌搜索强大 可以搜出

  • 《Python 黑帽子》学习笔记 - 准备 - Day 1

    信息安全是一个有意思的方向 也是自己的爱好 从零开始 想在工作之余把这个爱好培养为自己的技术能力 而 web 安全相对来说容易入门些 于是选择 web 渗透测试作为学习的起点 并选择同样是容易入门的 Python 作为编程工具 潜心学习 持

  • 漏洞常规专业术语

    基础漏洞条例 VUL Vulnerability 漏洞 POC Proof of Concept 漏洞证明 漏洞报告中 通过一段描述或一个样例来证明漏洞确实存在 EXP Exploit 漏洞利用 某个漏洞存在EXP 意思就是该漏洞存在公开的

  • Bugku题目Reverse逆向部分wp（持续更新）

    目录 入门逆向 Easy Re 游戏过关 sign in Easy vb Next 入门逆向 题目链接 丢入DIE PEID看过 没有壳 32位 直接IDA 汇编代码直接看到 flag Re 1s S0 C0OL Easy Re 题目链接

  • ctfshow web7

    文章目录 题目分析 解题过程 题目分析 打开题目后 有三个文章 随便点一个之后发现网址上有个后缀 id 2 应该是get传参的注入了 在后缀上加 id 1 1 显示全部文章 可能是整形注入 还是盲注 他这个过滤了空格 用 代替 详见web6

随机推荐

  • Ubuntu使用darknet实现YOLOv4-tiny预训练模型测试+训练自己的数据集+评估自己的模型

    文章目录 1 使用YOLOv4 tiny预训练模型 2 训练自己的数据集 2 1 建立yolov4 tiny数据格式 2 2 开始训练 2 3 多GPU训练 3 评估自己的模型 参考博客 YOLOv4 tiny的原理本文不做讲解 只有应用方

  • 黑马程序员SSM-Spring学习笔记

    学完Spring之后是SpringMVC 文章目录 前言 一 注解开发 1 1 注解开发定义bean 1 2纯注解开发 1 3bean作用范围 1 4依赖注入 自动装配 1 5 第三方bean管理 1 6 总结 二 Spring整合MyBa

  • qt槽函数如何传递多个参数_Qt 信号槽如何传递参数（或带参数的信号槽）

    标签 信号槽如何传递参数 或带参数的信号槽 利用Qt进行程序开发时 有时需要信号槽来完成参数传递 带参数的信号槽在使用时 有几点需要注意的地方 下面结合实例进行介绍 第一点 当信号与槽函数的参数数量相同时 它们参数类型要完全一致 signa

  • LeetCode 27.移除元素

    文章目录 题目分析 解题思路 思路1 暴力求解 遍历 接口源码 思路2 空间换时间 接口源码 思路3 双指针 快慢指针 接口源码 题目链接 LeetCode 27 移除元素 题目分析 给你一个数组 nums 和一个值 val 你需要 原地

  • 推荐算法实战项目：FNN 原理以及案例实战(附完整 Python 代码)

    本文要介绍的是FNN模型 出自于张伟楠老师于2016年发表的论文 Deep Learning over Multi field Categorical Data 论文提出了两种深度学习模型 分别叫做FNN Factorisation Mac

  • JMeter接口压测和性能监测

    引言 今天我来和大家分享一篇关于JMeter接口压测和性能监测的文章 在现代互联网时代 应用程序的性能已经成为了一个非常重要的问题 并且对于许多公司的生存和发展都起着至关重要的作用 而在这其中 JMeter是一个非常实用的工具 可以帮助我们

  • html5养树游戏源码,奥日小屋：寻找精灵之树

    大家好我是Receiver 又到了一年一度的夏促时间啦 不知道如何剁手的盒友可以考虑入坑 奥日与黑暗森林 哟 作为一款15年的游戏放在现在来看仍然有惊艳的画风 音乐与游戏性 夏促期间五折史低 今天给大家带来的是寻找银之树的流程攻略 另外奥日

  • 【JavaSE】jdk8新特性

    尚硅谷JavaSE笔记合集 文章名 链接 JavaSE 异常 文章地址 JavaSE 常用类 String LocalDateTime 文章地址 JavaSE 枚举 文章地址 JavaSE 注解 文章地址 JavaSE 集合框架 文章地址

  • 【设计相关】UML类图和时序图介绍

    文章目录 一 什么是UML UML的定义 UML的应用场景 类图 Class Diagrams 类关系 继承关系 记忆技巧 案例 汽车关系 购票机 类说明 方法说明 时序图 Sequence Diagrams 一 什么是UML UML的定义

  • CGAL的简介及安装设置

    一 CGAL库的介绍 CGAL Computational Geometry Algorithms Library 库 计算几何算法库 是一个大型的C 几何数据结构和算法库 包含Delaunay三角网 网格生成 布尔运算的多边形 各种几何处

  • [苹果开发者账号]05 换收款的银行账号

    问题场景 新公司申请的苹果开发者账号 收费APP有收入 苹果打款进入了公司银行账号 但银行反馈说 账号不能结算这笔钱 根因是 财务搞错账号业务了 解决方法 要换苹果的收款账号 提醒 涉及苹果这种境外业务 但又是可以人民币结算的 一定要和当地

  • IAR error: a declaration cannot have a label

    在使用switch时 在case 后面申请变量会出现 error a declaration cannot have a label错误 原因 Case statements are only labels This means the c

  • 【安全技术】Java 实现加密数据库连接

    一 前言 在很多项目中 数据库相关的配置文件内容都是以明文的形式展示的 这存在一定的安全隐患 在开发和维护项目时 不仅要关注项目的性能 同时也要注重其安全性 二 实现思路 我们都知道项目启动时 Spring 容器会加载配置文件并读取文件中的

  • FreeRTOS学习-软件定时器管理

    1 简介 软件定时器用于在未来的某个时间执行某个预先指定的函数 或者以一个固定的频率周期性调度该函数 这个预先指定的函数称为软件定时器回调函数 它是由软件定时器服务调用的 软件定时器由FreeRTOS的内核控制 不需要硬件的支持 不与硬件定

  • smart device industry

    公司培训 讲了一下smart device industry 不知讲得对不对 第一层 Ip Core 例如Intel MIPS ARM 第二层 芯片制造商Silicone 例如 broadcom Qualcomm BlueCore inte

  • Office2016软件安装教程

    关注公众号 免费获取资料 解压压缩文件 点击office 2013 专业增强版 64位文件夹 根据自身系统选择位数 右击setup gt 以管理员的身份运行 3 勾选接收 继续 4 选择自定义安装 5 点击浏览 选在office 安装位置

  • STM32实战项目系列教程 （一）—— 循迹小车

    前言 以往我们看到很多学习单片机知识的教程往往是从单片机内部资源出发 这样的教程原理往往晦涩难懂 初学者很难系统的学习开发单片机的项目 而本次教程是从项目出发教你学习循迹小车的制作 整个项目采用 STM32 单片机作为控制器来实现 所以在学

  • 【vue2】el-table 从接口获取数据改变了，但是页面却没有正常渲染

    方法一 在el table上面添加一个 key 属性 指定一个唯一的值 然后数据改变后 我们更新这个唯一值 这样 Vue 会自动重新渲染该组件 1 获取随机uuid 创建在uuid js文件当中 获取唯一id export function

  • 7月15日---7月21日（计划50小时，实际12小时，还有5258小时）

    本周单位事情应该不算多 没事就在家看看文挡 切忌浮躁 一颗平常心 就当学东西了 业余爱好 就按照DDRAW 软引擎 OSG引擎 自制3D引擎去走 上午PHYSX 中午DDRAW引擎 下午加入GAMEDEMO程序 晚上文挡 周六日文档 擦 最

  • 哪个进程在访问这个恶意域名???

    哪个进程在访问这个恶意域名 背景 信息安全工程师很多时候需要通过某个恶意域名来判断主机失陷情况 恶意域名特征比较明显的 比较容易通过威胁情报找到相关线索 例如fr minexmr com 通过威胁情查询 该恶意域名比较容易判断该主机感染Wa

热门标签