巧妙利用科来HTTP日志找出中马计算机

kodin · 发表于 2008-6-14 05:44:40

最近公司经常有计算机中木马病毒，中毒计算机都会从网上下载特定的木马文件。通过这一特征，使用科来HTTP日志记录设置过滤，查看各计算机下载的EXE文件（病毒文件特征是名字差不多，而且会下载一连串），快速找出中毒电脑。

1. 打开科来日志，我们可以看到各计算机的HTTP请求，如图：

2. 选择日志设置，如图：

3. 将HTTP日志过滤条件的勾选上，然后在右边的过滤条件（网址）添加EXE，如图：

这样我们就可以只看到带有EXE信息的HTTP日志了。

4. 当计算机中木马病毒的时候，会下载大量名字差不多的EXE文件，如图：

以上地址为木马病毒文件（o(∩_∩)o…大家最好还是不要打开哦）。

chinaheiyu · 发表于 2008-6-14 16:16:26

支持一下

ntjxad · 发表于 2008-6-14 16:24:13

是一种思路，不过如果是内网的机器中了木马，无法连接外网，是否用这招管用呢？

kodin · 发表于 2008-6-14 16:54:20

中马机子，都会往外发送请求，可以针对这思路来查。（个人认为，如果是一台禁止访问外网的内部机，老是向外网发送请求的话，有中马的嫌疑，那就得过去检查一下了。）

gamelees · 发表于 2008-6-15 21:23:16

提示: 作者被禁止或删除内容自动屏蔽

398169780 · 发表于 2008-6-19 10:15:59

学习，学习

fg1008 · 发表于 2008-6-19 11:07:55

学习一下，谢谢！

272822792 · 发表于 2008-6-20 19:14:56

不错学习了

锋行 · 发表于 2008-6-25 22:42:39

学习了,以后可以用来借鉴一下

cdef610 · 发表于 2008-6-26 03:22:23

提示: 作者被禁止或删除内容自动屏蔽

ctop17 · 发表于 2008-6-27 15:06:57

这招不错值得学习
哈哈

奥运福娃 · 发表于 2008-6-30 10:16:09

确实是好方法啊。多谢

gamelees gamelees 当前离线积分 0 头像被屏蔽	发表于 2008-6-15 21:23:16 \| 显示全部楼层提示: 作者被禁止或删除内容自动屏蔽
gamelees gamelees 当前离线积分 0 头像被屏蔽
	回复使用道具举报

cdef610 cdef610 当前离线积分 0 头像被屏蔽	发表于 2008-6-26 03:22:23 \| 显示全部楼层提示: 作者被禁止或删除内容自动屏蔽
cdef610 cdef610 当前离线积分 0 头像被屏蔽
	回复使用道具举报

巧妙利用科来HTTP日志找出中马计算机

本帖子中包含更多资源

评分