搜索

[19002] 2016-02-16_关于某主机流量攻击安全事件溯源分析报告

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2016-02-16_关于某主机流量攻击安全事件溯源分析报告 关 于 某 主 机 流 量 攻 击 安 全 事 件 溯 源 分 析 报 告 苏 醒   i n n 0 t e a m   2 0 1 6 - 0 2 - 1 6 版 权 声 明 ： 本 文 首 发 于 微 信 号 ： i n n 0 t e a m 此 文 章 版 权 归 属 于 i n n 0 t e a m 所 有 ， 转 载 请 自 觉 保 留 以 上 版 权 声 明 关 于 目 标 环 境 的 中 间 进 度 检 测 报 告 一 ： 情 况 概 述 一 ： 情 况 概 述         监 控 软 件 监 控 到 服 务 器 存 在 异 常 的 访 问 请 求 ， 故 对 此 服 务 器 进 行 安 全 检 查 。   通 过 提 供 的 材 料 发 现 内 网 机 器 对 某 公 网 网 站 存 在 异 常 的 访 问 请 求 ， 网 络 环 境 存 在 着 异 常 的 网 络 数 据 的 访 问 情 况 。 针 对 其 服 务 器 进 行 综 合 分 析 发 现 了 病 毒 文 件 两 例 ， 内 网 扫 描 器 两 例 ， 通 过 以 上 的 发 现 证 实 服 务 器 已 被 黑 客 入 侵 。 二 ： 取 证 情 况 二 ： 取 证 情 况 2 . 1   目 标 网 络 情 况   下 文 中 的 内 网 内 i p 以 及 公 网 i p 为 替 换 后 的 脱 敏 i p 。 I P 所 属 操 作 系 统 1 . 1 6 8 . x x x . x x x 某 业 务 员 服 务 器 L i n u x 2 . 6 . 3 2   x 8 6 _ 6 4 操 作 系 统 1 9 2 . 1 6 8 . 0 . 0 / 2 4 D M Z 区 L i n u x & w i n d o w s 1 0 . 1 0 . 0 . 0 / 2 4 核 心 区 L i n u x & w i n d o w s 防 火 墙 2 . 2 针 对 x x x 服 务 器 中 间 件 的 检 测           监 测 存 在 异 常 的 服 务 器 开 放 了 8 0 端 口 和 2 1 端 口 ， 安 装 了 t o m c a t 中 间 件 。 首 先 进 行 t o m c a t 中 间 件 的 排 查 ， 查 询 得 知 服 务 器 对 外 开 t o m c a t 文 件 夹 路 径 为 / h o m e / X X X / t o m c a t / X X X   _ t o m c a t   ， 查 询 t o m c a t 未 使 用 弱 密 码 ：
图 1 ： t o m c a t 未 使 用 默 认 弱 口 令 针 对 t o m c a t 部 署 服 务 进 行 检 查 ， 未 发 现 可 疑 部 署 组 件 ： 图 2 ： 未 发 现 可 疑 的 部 署 组 件 图 3 ： 未 发 现 可 疑 的 h o s t 配 置 2 . 3   针 对 x x x 服 务 器 进 程 及 端 口 的 检 测   针 对 目 标 服 务 器 进 行 了 进 程 以 及 端 口 的 检 测 ， 发 现 了 可 疑 现 象 入 下 图 所 示 ：  
图 4 : 发 现 可 疑 占 用 情 况 发 现 可 疑 现 象 后 查 找 “ l ” 所 在 的 路 径 ， 入 下 图 所 示 ： 图 5 ： 发 现 可 疑 文 件 路 径 在 / d e v / s h m 路 径 下 发 现 存 在 “ l ” 与 “ c o n f . n ” 文 件 图 6 ： 找 到 可 疑 文 件 将 “ l ” 与 “ c o n f . n ” 下 载 到 本 地 进 行 分 析 ， “ l ” 程 序 为 i n u x 远 控 木 马 L i n u x . D D O S . F l o o d . L ， 经 本 地 分 析 “ l ” 程 序 为 l i n u x 下 僵 尸 木 马 ， 同 时 具 有 远 控 的 功 能
图 7 ： 证 实 为 L i n u x . D D O S . F l o o d . L 木 马 通 过 继 续 分 析 目 标 服 务 器 中 的 可 以 进 程 与 端 口 占 用 情 况 ， 发 现 另 外 可 疑 文 件 ， 如 下 图 所 示 ：
图 8 ： 发 现 可 疑 文 件 v k g d q d d s x 将 可 疑 文 件 进 行 本 地 分 析 ， 证 实 此 文 件 为 病 毒 文 件 ： 图 9 ： 证 实 为 病 毒 文 件                 2 . 4   发 现 攻 击 者 的 攻 击 操 作               针 对 目 标 环 境 进 行 彻 底 排 查 ， 发 现 攻 击 者 使 用 w g e t 操 作 从   h t t p : / / 1 1 1 . 2 0 5 . 1 9 2 . 5 : 2 3 5 6 服 务 器 中 下 载 “ l ” 病 毒 文 件 ， 并 执 行 了 “ 7 7 7 ” 加 权 的 操 作 。     其 记 录 文 件 如 下 图 所 示 ：
图 1 0 ： 发 现 木 马 文 件 下 载 操 作 图 1 1 ： 通 过 l 文 件 的 时 间 状 态 定 位 到 疑 似 攻 击 者 下 载 时 间 为 2 0 1 5 - 0 1 - 1 8   0 4 : 5 4 : 0 5 图 1 2 : 定 位 到 可 疑 时 间 段 连 接 i p 地 址 图 1 3 ： 不 同 时 间 段 的 可 疑 连 接 i p               通 过 进 一 步 的 对 可 疑 。       通 过 分 析 目 标 服 务 器 日 志 文 件 ， 发 现 攻 击 者 下 载 病 毒 文 件 后 又 使 用 内 网 扫 描 软 件 “ . x ” 调 用 其 “ p a s c a n ” 和 “ s c a n s s h ” 模 块 进 行 内 网 s s h 扫 描 ， 通 过 分 析 发 现 攻 击 者 收 集 到 了 目 标 网 络 环 境 中 的 常 用 密 码 来 进 行 针 对 性 的 扫 描 测 试 。 如 下 图 所 示 ：
图 1 4 ： 发 现 目 标 服 务 器 中 存 在 s s h 爆 破 以 及 网 段 扫 描 软 件 图 1 5 ： 通 过 在 测 试 环 境 中 测 试 发 现 为 扫 描 软 件 图 1 6 ： 攻 击 者 使 用 扫 描 软 件 进 行 内 网 网 段 的 扫 描   通 过 继 续 对 扫 描 软 件 进 行 深 入 挖 掘 ， 发 现 攻 击 者 使 用 扫 描 软 件 得 到 的 其 他 内 网 的 i p 地 址 （ 部 分 ） ：   图 ： 1 7     攻 击 者 得 到 的 内 网 部 分 地 址 及 密 码     尝 试 使 用 此 地 址 中 的 1 9 2 . 1 6 8 . 2 1 . 2 3 1 和 1 9 2 . 1 6 8 . 2 1 . 2 1 8 进 行 s s h 登 录 ， 可 使 用 r o o t : h u a w e i 成 功 进 行 s s h 连 接 （ 其 他 地 址 及 口 令 不 再 进 行 测 试 ） ， 并 在 内 网 机 器 中 发 现 使 用 弱 口 令 “ 1 2 3 4 5 6 ” 并 发 现 了 同 样 的 “ l ” 病 毒 文 件 。     其 记 录 文 件 如 下 图 所 示 ： 图 1 8 ： 进 行 s s h 连 接
图 1 9 : 连 接 成 功 后 进 行 “ i f c o n f i g ” 操 作 图 ： 在 网 络 中 的 其 他 机 器 也 发 现 了 同 样 的 病 毒 文 件             在 扫 描 器 中 发 现 了 攻 击 者 使 用 的 “ p a s s f i l e ” 字 典 文 件 ， 从 中 可 以 发 现 攻 击 者 使 用 的 字 典 具 有 很 强 的 针 对 性 （ 初 步 断 定 攻 击 者 为 在 网 络 环 境 中 通 过 查 询 密 码 文 件 等 操 作 获 取 的 相 关 密 码 ） ： 隐 私 信 息 隐 私 信 息 - - 此 处 不 贴 图 此 处 不 贴 图 图 2 0 ： 发 现 针 对 性 极 强 的 密 码 字 典   通 过 继 续 对 日 志 文 件 进 行 排 查 ， 发 现 攻 击 者 使 用 扫 描 器 进 行 攻 击 的 历 史 记 录 ， 验 证 了 搜 集 到 的 信 息 ：   图 2 1 ： 攻 击 者 进 行 攻 击 的 历 史 记 录 通 过 即 系 分 析 ， 发 现 攻 击 者 在 进 入 目 标 服 务 器 后 ， 又 进 行 了 防 火 墙 权 限 修 改 、 “ u d f ” 权 限 提 升 、 远 程 连 接 等 其 他 操 作 。 其 中 “ u d f 病 毒 文 件 ” 未 在 目 标 服 务 器 中 发 现 ， 在 后 期 进 行 反 追 踪 中 在 攻 击 者 服 务 器 中 获 取 到 “ u d f ” 文 件 ， 进 行 本 地 检 测 后 病 毒 文 件 。 其 记 录 文 件 如 下 图 所 示 ：
  图 2 2 :   修 改 i p t a b l e s 防 火 墙 配 置 图 2 3 ： 被 修 改 后 的 防 火 墙 配 置 图 2 4 ： 攻 击 者 进 行 提 权 的 操 作 图 2 5 ： “ u d f ” 文 件 证 实 为 病 毒 文 件   通 过 对 攻 击 者 完 整 的 攻 击 取 证 ， 可 证 实 攻 击 者 通 过 S S H 连 接 的 方 式 使 用 g u e s t _ c m 用 户 而 和 r o o t 用 户 进 行 远 程 连 接 ， 连 接 之 后 使 用 W g e t 方 式 下 载 并 种 植 在 目 标 服 务 器 中 “ l ” 和 “ v k g d q d d u s x ” 病 毒 文 件 ， 并 使 用 “ u d f ” 进 行 进 一 步 的 权 限 操 作 ， 然 后 使 用 “ . x ” 扫 描 软 件 配 合 针 对 性 极 强 的 密 码 字 典 进 行 内 网 的 扫 描 入 侵 ， 并 以 目 标 服 务 器 为 跳 板 使 用 r o o t 和 x x x 账 户 登 录 了 内 网 中 的 其 他 机 器 在 入 侵 过 程 中 入 侵 者 将 部 分 相 关 日 志 进 行 了 清 除 操 作 。                                                                                                                 三 ： 溯 源 操 作 三 ： 溯 源 操 作 3 . 1 关 于 攻 击 者 的 反 向 检 测 在 取 证 过 程 中 发 现 攻 击 者 服 务 器 使 用 以 下 三 个 i p x x x . x x x . x x x . x 、 x x x . x x x . x x x . x x x 、 x x x . x x . x x x . x x （ 打 个 马 赛 克 ） , 通 过 对 这 三 个 I P 进 行 溯 源 找 到 h t t p : / / 1 1 1 . 2 0 5 . 1 9 2 . 5 : 2 3 5 6 /   网 站 使 用 h f s 服 务 器 搭 建 ， 文 件 服 务 器 内 存 储 着 各 种 病 毒 文 件 ， 其 中 找 到 了 在 “ l ” “ u d f ” 等 病 毒 文 件 ， 证 实 前 文 中 的 判 断 。    
图 2 6 ： 文 件 服 务 器 中 存 储 着 在 本 次 攻 击 中 所 使 用 的 病 毒 文 件   通 过 其 他 手 段 查 询 得 知 使 用 i p 地 址 曾 绑 定 w w w . x x x x . c o m 网 站 ， 并 查 找 出 疑 似 攻 击 者 真 实 姓 名 x x x 、 x x x ， 其 团 体 使 用 x x x x x x @ q q . c o m 、 w a n g z x x x x x x . y e s @ g m a i l . c o m 等 邮 箱 ， 使 用 6 1 4 4 1 x x 、 3 6 7 5 x x 等 Q Q 。 并 通 过 某 种 手 段 深 挖 得 知 攻 击 者 同 事 运 营 着 多 个 博 彩 、 私 服 类 网 站 。     其 他 信 息 请 看 下 图 ： 图 2 7 ： 攻 击 团 伙 使 用 支 付 宝 及 姓 名  
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理