搜索

[16962] 2021-06-28_应急响应：分工明确的攻击源ip

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2021-06-28_应急响应：分工明确的攻击源ip 应 急 响 应 ： 分 工 明 确 的 攻 击 源 i p 原 创   竹 林 再 遇 北 极 熊   F r e e B u f   2 0 2 1 - 0 6 - 2 8 前 言 前 言 如 果 “ 我 ” 细 心 一 点 就 不 会 漏 掉 关 键 痕 迹 ； 如 果 “ 我 ” 按 照 标 准 化 的 流 程 进 行 检 查 则 一 定 会 发 现 关 键 痕 迹 ； 如 果 上 面 说 的 这 些 “ 我 ” 在 第 一 次 检 查 的 时 候 都 做 到 了 ， 也 就 不 会 有 第 二 次 入 侵 ， “ 我 ” 也 不 会 这 么 尴 尬 ， 客 户 居 然 当 着 “ 我 ” 的 面 和 竞 争 对 手 说 以 后 他 们 之 间 后 续 会 有 大 把 合 作 的 机 会 ， 公 司 会 怎 么 看 “ 我 ” ， 老 大 会 怎 么 看 “ 我 ” ; 通 过 本 次 案 例 可 知 道 ， 世 上 没 有 这 么 多 如 果 ， 机 会 只 会 留 给 有 准 备 的 人 ， 尤 其 是 解 决 客 户 问 题 方 面 ， 更 是 争 分 夺 秒 。 1   情 况 概 述 情 况 概 述 1 . 1   攻 击 流 程 攻 击 流 程 攻 击 者 通 过 三 种 不 同 作 用 的 攻 击 源 i p 针 对 子 站 发 起 漏 洞 扫 描 / 上 传 w e b 后 门 / 连 接 w e b 后 门 以 及 连 接 操 作 系 统 后 门 ， 并 通 过 后 门 程 序 获 得 的 管 理 员 权 限 针 对 主 站 网 站 首 页 进 行 多 次 内 容 篡 改 。 1 . 2   情 况 简 介 情 况 简 介 主 站 于 2 0 2 1 0 5 2 7 遭 遇 第 一 次 被 恶 意 篡 改 内 容 的 事 件 ， 在 未 找 到 入 侵 源 头 和 入 侵 途 径 的 情 况 下 ， 于 2 0 2 1 0 6 0 3 遭 遇 第 二 次 被 恶 意 篡 改 内 容 的 事 件 。 于 2 0 2 1 0 6 0 4   1 8 : 0 0 收 到 客 户 单 位 告 警 ， 随 即 进 场 提 供 技 术 支 持 。 1 . 3   分 析 结 论 分 析 结 论 本 次 安 全 事 件 的 攻 击 者 具 有 较 强 的 反 侦 察 意 识 ， 使 用 不 同 的 i p 做 不 同 的 功 能 ， 防 止 其 中 一 个 被 溯 源 影 响 到 另 一 功 能 ， 但 可 通 过 大 胆 假 设 小 心 求 证 的 方 式 将 其 关 联 ， 本 次 安 全 事 件 的 分 析 结 论 如 下 所 示 ： 攻 击 源 i p ： 7 4 . 1 6 6 . 1 （ 深 圳 ） 于 2 0 2 1 0 5 2 7   2 0 : 5 7 : 0 3 发 起 攻 击 ， 历 时 3 小 时 于 2 3 : 5 7 : 5 6 通 过 文 件 上 传 漏 洞 、 i i s 解 析 漏 洞 （ 疑 似 ） 成 功 上 传 w e b 后 门 w o c a o . a s p ； 攻 击 源 i p ： 5 . 4 9 . 2 2 （ 新 加 坡 ） 于 2 3 : 5 8 : 5 3 通 过 w e b 后 门 程 序 获 取 了 操 作 系 统 管 理 员 权 限 并 对 网 站 进 行 了 篡 改 ， 并 于 2 0 2 1 0 6 0 3   0 1 : 2 4 : 5 0 上 传 操 作 系 统 后 门 程 序 p l i n k . e x e ； 攻 击 源 i p ： 1 0 7 . 1 . 8 9 （ 香 港 ） 通 过 操 作 系 统 后 门 程 序 远 程 控 制 服 务 器 。 攻 击 者 通 过 w e b 后 门 或 操 作 系 统 后 门 任 意 一 种 远 程 多 次 对 主 站 进 行 篡 改 。
1 . 4   应 急 处 置 应 急 处 置 针 对 本 次 安 全 事 件 已 做 如 下 应 急 处 置 ： 关 停 子 站 ， 漏 洞 未 修 复 前 防 止 被 再 次 入 侵 ； 禁 止 服 务 器 主 动 访 问 互 联 网 ， 防 止 操 作 系 统 后 门 程 序 发 挥 作 用 ； 禁 止 服 务 器 主 动 访 问 内 网 ， 防 止 攻 击 者 将 其 当 做 跳 板 对 内 网 发 起 攻 击 ； 删 除 以 下 后 门 程 序 和 后 门 账 户 ； 在 以 下 上 传 点 中 检 查 存 在 的 上 传 漏 洞 ， 并 进 行 修 复 ； 由 于 p o s t 动 作 无 法 查 看 具 体 的 p o s t 内 容 ， 攻 击 者 向 一 句 话 木 马 . t x t 执 行 过 p o s t 动 作 / 服 务 器 返 回 2 0 0 的 p o s t 成 功 状 态 ， 该 i p 在 访 问 大 马 之 前 为 什 么 要 一 定 要 向 访 问 t x t ， 即 是 否 通 过 t x t 上 传 ， 因 此 还 需 要 检 查 i i s 确 认 是 否 存 在 文 件 解 析 漏 洞 ； 禁 用 不 安 全 的 h t t p 方 法 ， 因 为 攻 击 者 初 期 使 用 h e a d 方 法 进 行 了 目 录 扫 描 。
2   黑 客 入 侵 分 析 过 程 黑 客 入 侵 分 析 过 程 攻 击 源 1 ： 1 1 2 . 7 4 . 1 6 6 . 1 用 于 漏 洞 扫 描 ； 攻 击 源 2 ： 1 9 4 . 5 . 4 9 . 2 2 用 于 连 接 网 站 后 门 程 序 ； 攻 击 源 3 ： 1 5 0 . 1 0 7 . 1 . 8 9 用 于 连 接 操 作 系 统 后 门 程 序 。 2 . 1   1 1 2 . 7 4 . 1 6 6 . 1 攻 击 行 为 攻 击 行 为 2 . 1 . 1   扫 描 存 活 目 录 扫 描 存 活 目 录 1 1 2 . 7 4 . 1 6 6 . 1 于 2 0 2 1 0 5 2 7   2 0 : 5 7 : 0 3 针 对 站 点 子 站 发 起 攻 击 。 初 始 攻 击 行 为 是 通 过 h e a d 方 法 探 测 存 活 的 目 录 （ 由 于 服 务 器 只 返 回 头 部 信 息 ， 因 此 扫 描 速 度 较 快 ） 。 备 注 备 注 I I S 的 访 问 日 志 时 间 为 格 林 威 治 时 间 ， 比 北 京 时 间 早 8 个 小 时 ， 因 此 换 算 成 北 京 时 间 需 要 + 8 小 时 。 2 . 1 . 2   寻 找 上 传 点 寻 找 上 传 点 向 以 下 上 传 点 上 传 数 据 但 均 已 失 败 告 终 （ 服 务 器 返 回 的 3 0 2 、 5 0 0 、 4 0 4 ） 。 累 计 尝 试 6 5 次 。
2 . 1 . 3   上 传 上 传 w e b 后 门 后 门 ( 小 马 小 马 ) 在 攻 击 过 程 中 发 现 以 下 存 活 的 上 传 点 。 2 0 2 1 0 5 2 7   2 2 : 5 5 : 2 3 成 功 向 网 站 目 录 / c n / a b o u t / 上 传 一 句 话 后 门 文 件 2 0 2 1 0 5 2 7 2 2 5 4 5 1 5 4 5 1 0 9 4 7 . t x t 。 因 为 2 0 2 1 0 5 2 7   2 2 : 5 5 : 2 6 更 换 攻 击 源 i p 成 功 访 问 后 门 文 件 ， 与 上 一 次 攻 击 行 为 时 间 相 差 3 秒 由 于 一 句 话 后 门 文 件 是 t x t 后 缀 ， 但 是 i i s 可 将 其 当 做 可 执 行 的 脚 本 文 件 ， 因 此 i i s 可 能 存 在 文 件 解 析 漏 洞 。 从 开 始 攻 击 至 成 功 上 传 网 站 后 门 文 件 该 i p 累 计 进 行 了 1 5 6 1 次 攻 击 ， 攻 击 期 间 未 被 安 全 软 硬 件 拦 截 。 2 . 2   1 9 4 . 5 . 4 9 . 2 2 攻 击 行 为 攻 击 行 为 2 . 2 . 1   上 传 上 传 w e b 后 门 后 门 ( 大 马 大 马 ) 攻 击 者 更 换 攻 击 源 i p   1 9 4 . 5 . 4 9 . 2 2 于 2 0 2 1 0 5 2 7   2 2 : 5 5 : 2 6 通 过 后 门 程 序 （ 小 马 ） 成 功 向 目 录 / c n / a b o u t 上 传 后 门 程 序 （ 大 马 ） w o c a o . a s p 。 于 2 0 2 1 0 5 2 7   2 3 : 5 8 : 5 3 通 过 后 门 程 序 （ 大 马 ） 获 取 了 操 作 系 统 管 理 员 权 限 。
备 注 备 注 i i s 默 认 使 用 a d m i n i s t r a t o r 运 行 ， 因 此 攻 击 者 通 过 后 门 程 序 （ 大 马 ） 获 取 的 s h e l l 权 限 即 为 管 理 员 权 限 。 2 . 2 . 2   后 续 情 况 后 续 情 况 以 下 行 为 根 据 事 实 情 况 进 行 叙 述 ： 攻 击 者 在 2 0 2 1 0 5 2 7 通 过 后 门 程 序 （ 大 马 ） 第 一 次 篡 改 本 单 位 门 户 网 站 首 页 内 容 ； 被 主 管 单 位 监 测 通 报 ； 该 单 位 安 服 公 司 经 检 查 未 发 现 攻 击 入 侵 源 头 和 入 侵 途 径 ； 应 用 开 发 公 司 经 检 查 发 现 篡 改 的 途 径 和 篡 改 的 内 容 并 将 其 清 除 ； 由 于 未 发 现 入 侵 源 头 和 入 侵 途 径 ， 因 此 后 续 被 再 次 篡 改 。 2 . 3   1 5 0 . 1 0 7 . 1 . 8 9 攻 击 行 为 攻 击 行 为 2 . 3 . 1   上 传 操 作 系 统 后 门 上 传 操 作 系 统 后 门 于 2 0 2 1 0 6 0 3   0 1 : 2 4 : 5 0   通 过 网 站 后 门 上 传 操 作 系 统 端 口 转 发 工 具 （ 后 门 程 序 ） 。 这 里 没 有 关 联 w e b 后 门 ， 但 是 攻 击 者 是 有 途 径 通 过 w e b 后 门 上 传 操 作 系 统 后 门 。
该 程 序 作 用 于 反 弹 s h e l l 至 互 联 网 供 攻 击 者 使 用 ， 将 本 地 的 r d p 远 程 桌 面 3 3 8 9 端 口 映 射 到 互 联 网 i p 的 2 3 4 5 2 端 口 。 该 程 序 已 运 行 。 且 攻 击 源 已 通 过 建 立 的 后 门 管 理 员 账 户 A d m 与 本 地 3 3 8 9 端 口 建 立 网 络 连 接 。 查 找 任 务 计 划 、 自 启 动 、 服 务 、 用 户 登 录 自 启 动 机 制 未 发 现 该 程 序 可 自 启 动 ， 且 通 过 k i l l 进 程 p i d   4 2 9 8 0 后 ， 未 发 现 该 程 序 可 自 启 动 。 2 . 3 . 2   后 续 情 况 后 续 情 况 以 下 行 为 根 据 事 实 情 况 进 行 叙 述 ： 攻 击 者 在 2 0 2 1 0 6 0 3 通 过 w e b 后 门 程 序 （ 大 马 ） 或 操 作 系 统 后 门 第 二 次 篡 改 本 单 位 门 户 网 站 首 页 内 容 ；
被 主 管 单 位 监 测 通 报 ； 该 单 位 安 服 公 司 经 检 查 未 发 现 攻 击 入 侵 源 头 和 入 侵 途 径 ； 应 用 开 发 公 司 经 检 查 发 现 篡 改 的 途 径 和 篡 改 的 内 容 并 将 其 清 除 ； 我 司 赴 现 场 应 急 对 攻 击 进 行 溯 源 。 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理