有没有白帽大佬看下服务器是不是被拿下了
本帖最后由 summershade 于 2025-1-8 09:28 编辑EDR检测到异常命令，但是杀毒全盘扫描扫不到病毒文件
没扫出来会不会是内存马，先用dnslog带出去一些路径名信息，再用certutil来下载大马，看看出网记录还有进程调用关系，找找父进程或者具体调用执行的代码 点一个图上的深度分析，可以看看到底是哪个进程导致的远程命令执行。
不清楚你这个是什么edr，能不能抓到应用层的攻击数据，如果没有只能结合态势或waf、防火墙的数据再分析 我猜是有后门了。估计是没的system权限 还在疯狂的搞事中，还没有完全拿下 误报，放心 测试dnslog了 如果目标出网 基本上可以确定被黑了，通过certutil下载木马 做了免杀 看下应该是在搞事。但是没有拿下权限。 提示利用数据库执行的 查看下数据库账号和密码是否泄露或者有其他连接者，或者就是网站存在注入dba权限 基本搞定的状态 卡巴斯基试试 12月17号就被拿下了，
1月6号的dnslog估计是另外一波人在搞了。