一起网络安全攻击，排查思路
原创
王二狗的 it 日记
王二狗的 it 日记
王二狗的it日记
2026年8月14日 10:11
辽宁
在小说阅读器读本章
去阅读
在公众号小说中沉浸阅读
客户接上级部门通知一台主机感染恶意程序ValleyRAT远程控制木马。ValleyRAT是银狐系列木马的一员，ValleyRAT可以截取受害者的屏幕，可以下载执行恶意程序，可以加载特定功能插件，废话不多说开始排查，
信息：上一级部门给出的攻击主机控制机ip和使用端口和被控端公网ip以及被控端口号
网络结构：跟客户沟通了解网络架构后，了解到使用防火墙直接连接核心交换机，下联接入交换机，
排查思路
- 查看防火墙，上行两个移动专线，一个ip和上级给出的被控端公网对应上了，因为上级发现的日期和发通知间隔1周左右，查询防火墙日志因客户未过三级等保，无日志设备，查询不到之前nat日志，和之前会话日志，（客户都是通过两个公网ipnat上网这不用说了吧）
- 现在无法确定被攻击的主机内网ip
- 后查询现有nat发现，被控端公网ip还在连接，查询到内网IP后就可以排查到具体设备了
下面都是示例无法展示真实ip
具体排查方法
1进入核心防火墙
找到控端公网ip被控内网IP
2进入核心交换机h3c设备
display arp | include 192.168.14.111
192.168.14.111 a85e-45b3-fa65 BAGG18 1192 D
3接入交换机
因接入是二层交换机 只能查询mac，4台接入第一台就找到了15端口，下联的电脑就是，根据端口查到电脑就简单了。
后查询电脑中毒方式为不小心打开网页广告点击中的毒，还好电脑未存重要数据。
大家都怎么防。护这类问题的呢，评论区说说。
建议客户还是先弄个日志服务器，后续出问题好排查
评论区留言，二狗第一时间帮你解决！觉得有用，点赞+在看+收藏，关注二狗，下期分享更多网络实操技巧～
版权声明
本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。
评论