御用闲人

2020年3月2日

摘要： chkconfig命令主要用来更新（启动或停止）和查询系统服务的运行级信息。谨记chkconfig不是立即自动禁止或激活一个服务，它只是简单的改变了符号连接。使用语法： chkconfig [--add][--del][--list][系统服务] 或 chkconfig [--level <等级代阅读全文

posted @ 2020-03-02 14:45 御用闲人阅读(3426) 评论(0) 推荐(0) 编辑

centos 7 /etc/rc.d/init.d/ 开机自动执行脚本

摘要：把“脚本文件”放在/etc/rc.d/init.d目录下：添加脚本到开机自动启动项目中 cd /etc/rc.d/init.dchkconfig --add xxx.shchkconfig xxx.sh on 注：xxx.sh为脚本文件脚本文件中必须包含以下俩项： #chkconfig: 234 阅读全文

posted @ 2020-03-02 14:28 御用闲人阅读(2389) 评论(0) 推荐(0) 编辑

centos 7 rc.local 开启启动\执行命令

摘要：首先给 rc.local文件执行权限： chmod +x /etc/rc.d/rc.local 编辑rc.local文件，将所需要开机执行的命令写入。如需执行某个脚本文件，需要将脚本文件的完整目录填入，如: /home/user/Desktop/xx.sh 特别需要注意的一点是，脚本文件“xx.sh 阅读全文

posted @ 2020-03-02 14:22 御用闲人阅读(869) 评论(0) 推荐(0) 编辑

2020年2月28日

驱动人生升级版后门病毒处置

摘要： 1、病毒现象（1）、文件特征 C:\Windows\SysWOW64\下存在svhost.exe、C:\Windows\SysWOW64\driver目录下存在svchost.exe taskmgr.exe(进程管理器)、temp目录下存在svchost.exe,且存在所有的利用工具包含m.ps1 阅读全文

posted @ 2020-02-28 22:19 御用闲人阅读(2476) 评论(0) 推荐(0) 编辑

WannaMine2.0

摘要： 1、病毒现象（1）、文件特征 C:\Windows\System32\EnrollCertXaml.dllC:\Windows\SpeechsTracing\C:\Windows\SpeechsTracing\Microsoft\在以上这些目录中存在svchost.exe、spoolsv.exe、阅读全文

posted @ 2020-02-28 22:13 御用闲人阅读(854) 评论(0) 推荐(0) 编辑

Wmixml挖矿病毒

摘要： 1、病毒现象安全设备报wmixml挖矿或者主机访问了wmixml矿池地址。 2、病毒处置（1）、使用ProcessExplorer等工具找到挖矿的svchost.exe进程删除（2）、使用autoruns.exe检查开机启动，删掉病毒服务（3）、使用everything.exe查找appmg.d 阅读全文

posted @ 2020-02-28 21:56 御用闲人阅读(584) 评论(0) 推荐(0) 编辑

WannaMine3.0

摘要： 1、病毒现象（1）、文件特征 C:\Windows\System32\MarsTraceDiagnostics.xmlC:\Windows\AppDiagnostics\C:\Windows\System32\TrustedHostex.exe在以上这些目录中存在svchost.exe、spool 阅读全文

posted @ 2020-02-28 21:27 御用闲人阅读(373) 评论(0) 推荐(0) 编辑

WannaMine

摘要： 1、病毒现象 C:\Windows\System32\MsraReportDataCache32.tlbC:\Windows\SecureBootThemes\C:\Windows\SecureBootThemes\Microsoft\C:\Windows\SecureBootThemes\Cryp 阅读全文

posted @ 2020-02-28 21:24 御用闲人阅读(1006) 评论(0) 推荐(0) 编辑

RDP爆破蠕虫Morto

摘要： 1、病毒现象（1）、主机有大量对同网段主机的3389连接。（2）、C:\Windows\offline web pages目录下有cache.txt文件。 2、病毒处置（1）、删除标记的所有键值，只保留默认的（2）、使用tcpview工具可确定爆破3389的svchost.exe进程，再在任务阅读全文

posted @ 2020-02-28 21:21 御用闲人阅读(1162) 评论(0) 推荐(0) 编辑

基于注册表的poweliks病毒

摘要： 1、病毒现象主机有访问C&C服务器域名，但是主机上无恶意文件，并且存在异常的dllhost.exe进程。 2、病毒处置结束进程dllhost.exe使用PCHunter删除注册表相应的恶意键值，即删除默认键对应的值。（HKEY_CURRENT_USER\Software\Microsoft\Wi 阅读全文

posted @ 2020-02-28 21:17 御用闲人阅读(310) 评论(0) 推荐(0) 编辑

WMI简介

摘要： WMI的全称是Windows Management Instrumentation，即Windows管理工具。它是Windows操作系统中管理数据和操作的基础模块。我们可以通过WMI脚本或者应用程序去管理本地或者远程计算机上的资源。对于VC和汇编程序员，想获取诸如CPU序列号和硬盘序列号等信息是阅读全文

posted @ 2020-02-28 21:15 御用闲人阅读(1513) 评论(0) 推荐(0) 编辑

PowershellMiner无文件挖矿

摘要： 1、病毒现象（1）、服务器存在卡顿和外联异常IP等现象。（2）、存在powershell.exe进程。 2、病毒处置（1）、使用Autoruns工具（微软官网可下），选择WMI，将该WMI启动项删除（该项底部详细栏有“SELECT * FROM __InstanceModificationEve 阅读全文

posted @ 2020-02-28 21:10 御用闲人阅读(804) 评论(0) 推荐(0) 编辑

挖矿病毒BearMiner

摘要： 1、病毒现象（1）、服务器存在卡顿现象。（2）、Setring.exe运行了多个线程进行挖矿，监测到CPU占有率达到75%。（3）、Setring.exe挖矿文件被释放在C:\Program Files (x86)\Microsoft MSBuild\Setring.exe，特意伪装成为了NVID 阅读全文

posted @ 2020-02-28 21:08 御用闲人阅读(813) 评论(0) 推荐(0) 编辑

PowerGhost

摘要： 1、病毒现象在C:\Windows\Temp目录下生成cohernece.exe文件，以及java-log-xxxx.log文件，存在恶意进程powershell，不断向外进行RDP爆破和ms17-010漏洞利用，并且释放cohernece.exe。导致病毒用杀毒软件杀掉后过一段时间会再次反复生成阅读全文

posted @ 2020-02-28 21:05 御用闲人阅读(1035) 评论(0) 推荐(0) 编辑

watchdogs感染性挖矿病毒

摘要： 1、病毒现象表现为/tmp临时目录存在watchdogs文件，出现了crontab任务异常、网络异常、系统文件被删除、CPU异常卡顿等情况，严重影响用户业务 2、病毒处置删除恶意动态链接库/usr/local/lib/libioset.so，排查清理/etc/ld.so.preload中是否加载阅读全文

posted @ 2020-02-28 20:53 御用闲人阅读(555) 评论(0) 推荐(0) 编辑

公告