安全专家：真实的网络攻击取证纪实

随着信息技术的发展，越来越多的人都喜欢用计算机办公，发邮件，建设自己的个人站点，公司建立自己的企业站点，政府也逐渐的采取了网上办公，更好的为人民服务，银行和证券机构也都开始依托互联网来进行金融和股票交易，但是随着方便的同时也同时带来了新的一些计算机网络安全隐患，随着司法机关的介入，我相信在不久的将来，网络攻击调查取证也会成为立法机构必须要考虑设立的一门新的学科，目前来说开设这个的课程多在网络警察和一些特殊机关，现在我来给大家讲下我亲身经历并参与完成的一次取证过程，用事实来讲述；

我一直从事病毒分析，网络攻击响应相关的工作，这次应好朋友的邀请，帮忙配合去协查几台服务器，我们来到了某XXX驻地，首先进行例行检查。经过了 1天左右的时间的检查，其中用到了一些专用设备也包含自主编写的工具以及第三方提供的勘察取证软件，共发现问题主机服务器10台，其中2台比较严重，（以下用A服务器和B服务器来代替）和朋友商定后，决定带回我们的实验室，进行专项深入分析。

习惯的检查步骤操作：

服务器操作系统版本信息——>操作系统补丁安装情况——>操作系统安装时间，中间有没有经过进行重新安装——>服务器维护情况——>服务器上面安装的软件版本信息

日志检查——IDS日志信息/IIS日志信息/系统日志信息

网站代码审查——是否存在一句话木马，源代码上是否存在恶意代码插入

杀毒软件版本更新情况——是否是最新版本，配置的是否合理，配套的监视是否全部打开

数据恢复——>利用专用数据恢复软件进行数据恢复，恢复一些被删除的日志信息和系统信息，曾经安装过的文件操作信息。