入门级应急响应小贴士（二） – 作者:3unshine-安全小百科

入门级应急响应小贴士（二） – 作者:3unshine

接上一篇文章入门级应急响应小贴士（一）

本篇主要说明一下遇到拒绝服务攻击、DNS劫持、IOC告警以及APT事件的常规处理方式。

拒绝服务攻击

拒绝服务攻击分为两种，DDOS攻击和DOS攻击。

DDOS攻击也称为分布式拒绝服务攻击，英文全称Distributed denial of service attack，与DOS攻击存在较大区别。

DOS攻击可以理解为使用单台主机利用目标系统应用层或系统层的漏洞，使其无法正常提供服务，而DDOS攻击一般都是通过黑客控制的大量的肉鸡，结合反射放大等攻击对目标进行大量流量攻击，使其无法提供服务。

先讨论DDOS攻击，这类攻击通常在防火墙等网络设备能看到目标短时间内遭受了大量的流量攻击，最明显的表现为网站外网无法正常访问或访问速度非常卡顿，而内网则正常访问没有问题，此时基本可以断定为目标遭受DDOS攻击。

这类攻击没有特别好的处理方式，仅给出网上常用的处理建议：

1、特征丢弃，根据数据包的特征或访问行为进行丢弃，如基于Payload特征、发包行为特征等。

2、限速，对流量／访问的速率进行限流。

3、限源，即对源IP或协议进行限制。

还是建议部署安全设备或上云来防止遭受DDOS攻击。

DOS攻击一般都是由于系统或应用漏洞导致，最应用层最常见的有apache的slowloris Attack，也是awvs最容易扫出来的问题，msf中自带有相关的扫描脚本。

除此之外，部分DOS攻击利用系统漏洞使服务器无法正常运行，如经典的MS12020，可以使任意开放了RDP服务并且没有打对应补丁主机蓝屏重启，从而导致无法正常提供服务。

遭遇此类攻击时，我们应当对系统开放的服务一一进行排查，如果有相关的网络设备可以对受影响主机进行流量监控，确认遭受攻击的端口与服务，再进行后续分析。

DNS劫持

DNS劫持，是指通过攻击域名解析服务器（DNS）或伪造域名解析服务器（DNS）的方法，把目标网站域名解析到错误的IP地址从而实现用户无法访问目标网站的目的或者蓄意或恶意要求用户访问指定IP地址（网站）的目的。

通常来说存在三种情况：

路由器被入侵

DNS服务被入侵

运营商流量劫持

鉴于运营商方面有时沟通无果，本文只讨论前两种情况。

DNS劫持应该优先排查好主机方面的问题，如DNS配置有无问题，本地hosts文件是否被篡改过，浏览器设置是否被改动，前两种情况可以直接查看，浏览器设置问题可以使用360、火绒等杀软直接进行扫描并修复。

路由器被入侵导致的DNS劫持应该是最常见的场景，由于某些路由器可能映射管理端口到外网，并且有可能存在弱口令和RCE的问题，所以遇到DNS劫持的情况，应当首先更换路由器设备（当前，肯定要换不同的款式），然后查看情况是否解决，如果解决问题，那么针对原路由的口令以及后门RCE漏洞等进行分析，出具相关报告。

如果仍未解决问题，那么考虑DNS服务器是否遭受入侵。

登录DNS服务器，查看DNS配置是否存在问题，若发现被恶意更改，则确认该事件是由于DNS服务器遭受入侵导致，需要使用杀软进行病毒查杀扫描，可以参考上篇文章中的主机处理流程。