0x00 前言
蠕虫病毒是一种非常古老的计算机病毒，它是一种自包含的程序（或是一组程序），通常通过网络途径传播。每当它入侵到一台新的计算机时，它会在该计算机上复制自己，并自动执行其自身的程序。
常见的蠕虫病毒包括：熊猫烧香病毒、冲击波/震荡波病毒、conficker病毒等。
0x01 应急场景
某天早上，管理员在出口防火墙上发现内网服务器不断向境外IP发起主动连接，内网环境无法连接外网，请想象一下这种情况。
0x02 事件分析
在出口防火墙上看到的服务器内网IP，首先将中病毒的主机从内网断开，然后登录该服务器，打开D盾_web查杀工具查看端口连接情况，可以发现本地向外网IP发起大量的主动连接：
通过跟踪异常端口的进程ID，可以发现该异常是由svchost.exe windows服务主进程引起的，svchost.exe向大量远程IP的445端口发送请求：
我们推测系统进程可能被病毒感染，使用卡巴斯基病毒查杀工具对全盘文件进行扫描，发现c:\windows\system32\qntofmhz.dll文件异常：
使用多引擎在线病毒扫描（https://www.php.cn/link/8735c937a659ef5138a7f5bd7bf59ae6：
确认服务器感染了conficker蠕虫病毒，下载conficker蠕虫专杀工具对服务器进行清查，成功清除病毒。
处理流程大致如下：
1、发现异常：通过出口防火墙和本地端口连接情况，确认主动向外网发起大量连接 2、病毒查杀：使用卡巴斯基进行全盘扫描，发现异常文件 3、确认病毒：利用多引擎在线病毒扫描确认服务器感染了conficker蠕虫病毒 4、病毒处理：使用conficker蠕虫专杀工具对服务器进行清查，成功清除病毒
0x03 防范措施
在政府、医院的内网中，依然存在一些非常古老的感染性病毒。为了保护电脑免受病毒感染，以下是一些预防措施：
1、安装杀毒软件，定期进行全盘扫描 2、不使用来历不明的软件，不随意接入未经查杀的U盘 3、定期修复windows系统漏洞，不给病毒可乘之机 4、做好重要文件的备份，备份，备份
Bypass
About Me
我是一个网络安全爱好者，对技术有着近乎偏执的追求。我致力于分享原创高质量内容，包括但不限于：渗透测试、WAF绕过、代码审计、安全运维。
