TuxResponse:用Bash语言开发和编写,响应Linux系统平台的事件响应脚本,自动化的形式,快速对系统中的安全紧急事件进行分类
摘要:用Bash语言开发和编写,响应Linux系统平台的事件响应脚本。 它以自动化的形式执行各种事件响应任务,从而帮助安全分析师快速对系统中的安全紧急事件进行分类。
用Bash语言开发和编写,响应Linux系统平台的事件响应脚本。 它以自动化的形式执行各种事件响应任务,从而帮助安全分析师快速对系统中的安全紧急事件进行分类。研究人员只需按一下按钮,即可完成10条命令的输入和测试。
当前版本的TuxResponse已在Ubuntu 14和CentOS 7上进行了测试。
功能特点
1.利用Linux的内置工具和各种功能,包括但不限于dd,awk,grep,cat和netstat。
2.减少了事件响应工具所需的命令数量。
3.自动化任务。
除了Linux的内置工具或功能组件之外,TuxResponse还引入了以下外部工具包:
-LiME
-Exif
-Chckrootkit
-Yara + Linux扫描规则
工具下载
用户可以使用以下命令将项目代码直接克隆到本地:
git clone https://github.com/la3ar0v/TuxResponse.git
工具使用示例
INSTALL LiME
function init_lime(){
if [ -f /usr/bin/yum ]; then
yum -y install make kernel-headers kernel-devel gcc
elif [ -f /usr/bin/apt-get ]; then
apt-add-repository universe
apt-get -y install make linux-headers-$(uname -r) gcc
fi
rm -f /tmp/v1.8.1.zip
wget -P/tmp https://github.com/504ensicsLabs/LiME/archive/v1.8.1.zip
unzip /tmp/v1.8.1.zip
rm -f /tmp/v1.8.1.zip
pushd LiME-1.8.1/src
make
mv lime-*.ko /tmp/lime.ko
popd
rm -rf LiME-1.8.1
}
功能
一.实时响应
(1)足迹系统
System info, IP, Date, Time, local TZ, last boot - 'hostnamectl; who -b; uname -a; uptime; ifconfig; date; last reboot'
(2)文件系统工具
'df -h':检查挂载的文件系统-
'find /usr/bin -type f -exec file "{}" \; | grep -i "elf" | cut -f1 -d: | xargs -I "{}" -n 1 md5sum {}':可执行文件哈希 (MD5)
'modified_files_period_select' (调用tuxresponse.sh中的函数):修改文件
'find / -type d -name "\.*"':枚举所有的隐藏目录
'find / \( -nouser -o -nogroup \) -exec ls -l {} \; 2>/dev/null':枚举无用户/组名的文件/目录
'packaged_files_changed' (calling a function in tuxresponse.sh):修改包内文件
(3)YARA,CHKROOTKIT,EXIFTool
'chkrootkit':检查rootkit
'yara_select':Yara扫描
'exiftool_select':EXIFTool
(4)加工分析工具
'ps -axu':枚举正在运行的进程
'ls -alR /proc/*/exe 2> /dev/null | grep deleted':删除仍在运行的代码
'ss -tunap | sed "s/[ \t]\+/|/g"':活动网络连接-TCP或UDP
'dump_process_select':根据PID导出进程信息
'ls -alR /proc/*/cwd 2> /dev/null | grep -E "tmp|dev"':从/tmp或/dev运行进程
(5)网络连接分析
'netstat -nalp; netstat -plant':枚举所有活动的网络连接/元套接字
(6)用户
“ W”:枚举当前连接的用户
“ Getent passwd”:使用密码获取用户信息
(7)Bash
'cat ~/.bash_history | nl':检查Bash历史文件
(8)永久痕迹
'list_all_crontab':枚举所有Cron任务
'list_all_onstartup':枚举所有自启动器
(9)导出所有日志(/ var / log)
'cat_all_bash_history':导出用户的.bash_history
'grep [[:cntrl:]] /var/log/*.log':查找日志
其次,建立连接,使用SSH传输脚本并分析远程系统
此选项使您可以连接到远程系统,复制所有脚本和工具以及分析系统。
三,导出内存(LKM LiME)
此选项使我们能够从源代码编译LiME,并将RAM内存转储到系统外部,这是最简单的方法。 因为另一种方法是从源代码编译所有主要的内核版本并插入LKM。
四,获取磁盘镜像(DD)
此选项可以帮助我们使用众所周知的工具-dd获取目标系统的完整磁盘映像。 此函数将源地址和目标地址作为参数,并将它们插入以下命令:
'dd if = $ {image_in} pv | dd of ='$ {image_OUT}'bs = 4K conv = noerror,sync'
如果要研究和分析远程系统,则脚本首先会在远程系统上复制自身。 如果设置参数$ {TARGET_HOST},脚本将使用以下命令将图像下载到分析系统
>>“ssh-p${TARGET_PORT}${TARGET_USER}@${TARGET_HOST}”dd if=${image_IN}bs=4K conv=noerror,sync'{pv|dd of='${image_OUT}'
注意:使用pv可以帮助我们跟踪进度。
五,生成HTML报告
我们所有的操作记录和分析结果都将存储在一个文本文件中,因此我们可以轻松地返回并查看输出。 这样做的好处是我们可以将其上传到任何日志分析工具中,并在以后进行解析。 此外,我们可以使用此功能以HTML格式生成分析报告,并以更易读的形式查看该工具生成的事件响应结果。
相关热词搜索:TuxResponse Bash Linux 系统中的安全紧急事件 重庆网络安全
上一篇:Turbolist3r:子域名发现工具sublist3r的分支,具有资源信息收集功能和子域名发现的自动分析功能。
下一篇:WindowsFirewallRuleset:Windows防火墙规则集的一组PowerShell脚本
人机验证(Captcha)绕过方法:使用Chrome开发者工具在目标网站登录页面上执行简单的元素编辑,以实现Captcha绕过
牛创网络: " 人机身份验证(Captcha)通常显示在网站的注册,登录名和密码重置页面上。 以下是目标网站在登录页面中排列的验证码机制。 从上图可以
2020-01-26 12:44:09 )8884( 亮了
自动发现IDOR(越权)漏洞的方法:使用BurpSuite中的Autozie和Autorepeater插件来检测和识别IDOR漏洞,而无需手动更改每个请求的参数
牛创网络: "自动发现IDOR(越权)漏洞的方法:使用BurpSuite中的Autozie和Autorepeater插件来检测和识别IDOR漏洞,而无需手动更改每个请求的参数
2020-01-30 14:04:47 )6290( 亮了
Grafana CVE-2020-13379漏洞分析:重定向和URL参数注入漏洞的综合利用可以在任何Grafana产品实例中实现未经授权的服务器端请求伪造攻击SSRF
牛创网络: "在Grafana产品实例中,综合利用重定向和URL参数注入漏洞可以实现未经授权的服务器端请求伪造攻击(SSRF)。该漏洞影响Grafana 3 0 1至7 0 1版本。
2020-08-12 14:26:44 )4310( 亮了
Nginx反向代理配置及反向代理泛目录,目录,全站方法
牛创网络: "使用nginx代理dan(sui)是http响应消息写入服务地址或Web绝对路径的情况。 写一个死的服务地址是很少见的,但它偶尔也会发生。 最棘手的是写入web绝对路径,特别是如果绝对路径没有公共前缀
2019-06-17 10:08:58 )3860( 亮了
fortify sca自定义代码安全扫描工具扫描规则(源代码编写、规则定义和扫描结果展示)
牛创网络: "一般安全问题(例如代码注入漏洞),当前fortify sca规则具有很多误报,可通过规则优化来减少误报。自带的扫描规则不能检测到这些问题。 需要自定义扫描规则,合规性角度展示安全风险。
2020-02-12 10:49:07 )3511( 亮了
整理几款2020年流行的漏洞扫描工具
牛创网络: "漏洞扫描器就是确保可以及时准确地检测信息平台基础架构的安全性,确保业务的平稳发展,业务的高效快速发展以及公司,企业和国家 地区的所有信息资产的维护安全。
2020-08-05 14:36:26 )2537( 亮了
微擎安装使用技巧-微擎安装的时候页面显示空白是怎么回事?
牛创网络: "我们在公众号开发中,有时候会用到微擎,那我们来看一下微擎安装的时候页面显示空白是怎么回事吧
2019-06-08 15:34:16 )2262( 亮了
渗透测试:利用前端断点拦截和JS脚本替换对前端加密数据的修改
牛创网络: " 本文介绍的两种方法,虽然断点调试比JS脚本代码替换更容易,但是JS脚本代码替换方法可以实现更强大的功能,测试人员可以根据实际需要选择适当的测试方法
2020-01-07 09:34:42 )2003( 亮了
从工业界到学界盘点SAS与R优缺点比较
牛创网络: "虽然它在业界仍然由SAS主导,但R在学术界广泛使用,因为它的免费开源属性允许用户编写和共享他们自己的应用程序 然而,由于缺乏SAS经验,许多获得数据分析学位的学生很难找到工作。
2019-07-13 22:25:29 )1843( 亮了
41款APP侵犯用户隐私权:QQ,小米,搜狐,新浪,人人均被通报
牛创网络: "随着互联网的不断发展,我们进入了一个时代,每个人都离不开手机。 但是,APP越来越侵犯了用户隐私权。12月19日,工业和信息化部发布了《关于侵犯用户权益的APP(第一批)》的通知。
2019-12-20 11:28:14 )1776( 亮了