搜索

[14257] 2019-06-21_应急响应系列之OA被入侵挖矿分析报告

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2019-06-21_应急响应系列之OA被入侵挖矿分析报告 应 急 响 应 系 列 之 O A 被 入 侵 挖 矿 分 析 报 告 原 创   f e i n i a o   F r e e B u f   2 0 1 9 - 0 6 - 2 1 一 、 基 本 情 况 一 、 基 本 情 况 1 . 1   简 要 简 要 此 事 件 是 去 年 应 急 处 置 时 完 成 的 报 告 ， 距 今 有 半 年 时 间 了 。 一 直 存 在 电 脑 里 ， 最 近 准 备 完 善 应 急 响 应 中 遇 到 的 此 事 件 是 去 年 应 急 处 置 时 完 成 的 报 告 ， 距 今 有 半 年 时 间 了 。 一 直 存 在 电 脑 里 ， 最 近 准 备 完 善 应 急 响 应 中 遇 到 的 各 类 安 全 事 件 ， 这 篇 文 章 作 为 这 一 系 列 的 开 端 。 各 类 安 全 事 件 ， 这 篇 文 章 作 为 这 一 系 列 的 开 端 。 对 于   L i n u x   安 全 检 查 ， 个 人 上 段 时 间 写 了 个   s h e l l   用 于 一 键 进 行   L i n u x   安 全 检 查 ， 本 文 对   L i n u x   的 检 查 使 用 相 关 脚 本 均 可 实 现 ， 相 关 链 接 如 下 : h t t p s : / / m p . w e i x i n . q q . c o m / s / S 0 O m D R U 6 u Q o 8 L B B K - G U A a Q h t t p s : / / g i t h u b . c o m / T 0 x s t / l i n u x 1 . 2   情 况 简 介 情 况 简 介 2 0 1 8   年   1 1   月   8   日 ， 我 司 「 捕 影 」 应 急 响 应 小 组 接 到 驻 场 团 队 反 馈 ， 某 用 户   O A   被   3 6 0   浏 览 器 提 示 「 网 站 存 在 数 字 货 币 挖 矿 行 为 」 ， 我 司 应 急 响 应 小 组 进 行 分 析 后 确 认 为 真 实 事 件 ， 随 后 进 行 黑 客 入 侵 分 析 。 1 . 3   应 急 结 果 应 急 结 果 经 过 分 析 ， 判 断 此 次 事 件 为 黑 客 恶 意 攻 击 所 致 ， 经 过 安 徽 三 实 「 捕 影 」 应 急 响 应 小 组 的 分 析 ， 目 前 得 到 以 下 结 论 : 1 .   此   O A   为 某 用 户 老 的   O A ， 因 为 需 要 使 用 其 数 据 才 临 时 启 用 。 2 .   此 服 务 器 对 应 内 部   I P   为   1 0 . 1 3 4 . 1 . 7 6 ， 目 前 对 互 联 网 仅 开 放 其   6 0 0 1   端 口 ， 2 2   端 口 只 能 通 过 内 部 访 问 ； 目 前 仅 对 互 联 网 开 放   6 0 0 1   端 口 。 3 .   系 统 账 号 正 常 4 .   网 络 连 接 情 况 正 常 5 .   开 放 端 口 过 多 ， 建 议 禁 用 非 业 务 端 口 6 .   定 时 任 务 发 现 历 史   ( 2 0 1 8   年   1 0   月   2 9   日 至   2 0 1 8   年   1 1   月   8   日 )   曾 定 时 下 载 挖 矿 程 序 7 .   历 史 命 令 分 析 历 史 曾 下 载 挖 矿 程 序 8 .   启 动 项 正 常 9 .   系 统 层 面 未 发 现 病 毒 、 木 马 、 后 门 1 0 .   因 为 其   O A   日 志 仅 保 存   2 0 1 8   年   1 1   月   1 3   日 至   2 0 1 8   年   1 1   月   1 4   日 ， 黑 客 植 入 挖 矿 程 序 在   2 0 1 8   年   1 1   月   8   号 及 以 前 ， 无 相 关 日 志 ， 无 法 分 析 黑 客 入 侵 的 途 径 。 1 1 .   目 前 追 溯 到   2 0 1 8   年   1 0   月   2 9   日 已 被 植 入 挖 矿 程 序 ； 2 0 1 8   年   1 1   月   8   日 或 更 早 被 植 入   J S   代 码 进 行 挖 矿 1 2 .   未 保 存 黑 客 攻 击 时   w e b   应 用 的 相 关 日 志 ， 无 法 通 过 日 志 分 析 黑 客 入 侵 的 方 式 ， 但 是   w e b g l o i c   相 关 版 本 存 在 较 多 高 危 漏 洞 ， 推 测 利 用   w e b l o g i c   漏 洞 入 侵 的 可 能 性 较 大 。
二 、 分 析 过 程 二 、 分 析 过 程 下 面 将 针 对 此 次 应 急 处 置 的 过 程 做 大 致 的 阐 述 。 2 . 1   入 侵 现 象 入 侵 现 象 2 0 1 8   年   1 1   月   8   日 ， 我 司 「 捕 影 」 应 急 响 应 小 组 接 到 驻 场 团 队 反 馈 ， 某 用 户   O A   被   3 6 0   浏 览 器 提 示 「 网 站 存 在 数 字 货 币 挖 矿 行 为 」 ， 具 体 情 况 如 下 所 示 ： 图   1 - 3 6 0   浏 览 器 提 示   O A   系 统 「 网 站 存 在 数 字 货 币 挖 矿 行 为 」 2 . 2   挖 矿 验 证 挖 矿 验 证 3 6 0   浏 览 器 提 示 「 网 站 存 在 数 字 货 币 挖 矿 行 为 」 ,   说 明 可 能 存 在 相 关 行 为 。 我 司 应 急 响 应 人 员 对 其 网 站 源 码 分 析 ， 发 现 页 面 有 多 处 加 载   J S   的 行 为 ， 通 过 对 加 载 的   J S   逐 一 分 析 ， 发 现 有 一 处   J S   有 可 疑 。 图   2 - O A   加 载   J S   脚 本
对 这 一   J S   脚 本 进 行 分 析 ， 发 现 该 脚 本 的 确 被 植 入   J S   挖 矿 脚 本 ， 具 体 如 下 ： 图   3 - O A   加 载 挖 矿 脚 本 图   4 - 挖 矿   J S   代 码 功 能
图   5 - 挖 矿   J S   源 码 图   6 - 挖 矿 网 站
图   7 - L o g i n I D   细 节 可 以 看 到 ， 这 里 面 的   I D 3 1 f 7 d d 3 7 2 f 1 5 4 5 e e b 6 d b 3 7 9 4 9 0 b 0 e 3 c 5   为   L o g i n I D ,   而 非   X M R   的 地 址 ， 通 过 将   X M R   地 址 通 过 相 应 的 算 法 转 换 为   L o g i n I D ,   避 免 了 查 找 真 实 的   X M R   地 址 ， 起 到 了 保 护 隐 私 的 目 的 。 通 过 上 面 的 分 析 ， 可 以 看 到 该   J S   的 大 概 功 能 如 下 ： 2 . 3   系 统 分 析 系 统 分 析 服 务 器 被 植 入 挖 矿 脚 本 说 明 服 务 器 肯 定 被 黑 客 入 侵 了 ， 由 于 目 前   O A   系 统 服 务 器 仅   6 0 0 1   端 口 对 互 联 网 开 放 ， 因 此 通 过   w e b   应 用 入 侵 的 可 能 性 比 较 大 。 另 外 ， 黑 客 入 侵 以 后 可 能 会 对 系 统 及 应 用 进 行 操 作 ， 如 添 加 账 号 、 开 放 端 口 、 增 加 定 时 任 务 、 自 启 动 程 序 、 植 入   w e b s h e l l 、 后 门 等 ， 因 此 需 要 对 系 统 对   w e b   应 用 进 行 全 面 分 析 ， 以 发 现 黑 客 可 能 进 行 的 恶 意 操 作 行 为 。 2 . 3 . 1   开 放 端 口 分 析 开 放 端 口 分 析 对   O A   服 务 器 的 开 放 端 口 ,   发 现 其 开 放 以 下 端 口 。
图 - 8 - 开 放 端 口 结 论 ： 通 过 以 上 分 析 ， 可 以 看 出 该 台 服 务 器 开 放 较 多 非 业 务 端 口 ， 建 议 根 据 实 际 情 况 进 行 决 定 是 否 需 要 开 放 。 2 . 3 . 2   网 络 连 接 分 析 网 络 连 接 分 析 通 过 分 析   O A   服 务 器 ， 目 前 只 发 现 有 以 下 连 接 。 图   9 - 网 络 连 接 情 况 相 关 连 接 作 用 主 要 如 下 ：
2 . 3 . 3   账 号 分 析 账 号 分 析 结 论 ： 通 过 上 面 的 分 析 ， 可 以 看 出 网 络 连 接 层 面 正 常 。 2 . 3 . 3 . 1   r o o t   权 限 用 户 目 前 仅 有   r o o t   一 个 用 户 具 有   r o o t   权 限 。 图   1 0 - r o o t   权 限 用 户 2 . 3 . 3 . 2   可 登 录 用 户 O A   服 务 器 有 三 个 用 户 可 以 使 用   S S H   方 式 进 行 登 录 ： r o o t 、 a h s x 、 s u n c n 图   1 1 - 可 登 录 用 户 通 过 / e t c / s h a d o w   文 件 分 析 ， 也 仅   r o o t 、 a h s x   和   s u n c n   三 个 账 号 可 以 登 录 。
图   1 2 - 可 登 录 用 户 结 论 ： 通 过 上 面 的 分 析 ， 可 以 看 出 账 号 层 面 正 常 。 2 . 3 . 4   定 时 任 务 分 析 定 时 任 务 分 析 通 过 分 析 ， 系 统 未 见 定 时 任 务 。 图   1 3 - 定 时 任 务 但 是 对 / v a r / l o g / c r o n * 日 志 分 析 ， 发 现 存 在   5   个 相 关 的 日 志 。 图   1 4 - 定 时 任 务 日 志 对 日 志 内 容 进 行 分 析 ， 发 现   1 0   月   2 9   日   0   点   0 8   分   0 1   秒 使 用   r o o t   账 号 下 载 一 个   s h   文 件 。
图   1 5 - 日 志 分 析 该 定 时 任 务 一 直 到   2 0 1 8   年   1 1   月   8   日   1 7 : 4 9 : 0 1   秒 才 结 束 。 图   1 6 - 定 时 日 志 分 析 2 . 3 . 4 . 1   m r . s h   脚 本 分 析 对   m r . s h   脚 本 进 行 分 析 ， 发 现   m r . s h   脚 本 功 能 非 常 强 大 。 大 概 功 能 如 下 ： 1 .   杀 掉 部 分 进 程 、 网 络 连 接 2 .   更 改 主 机 的   i p t a b l e s ， 拒 绝 部 分 主 机 访 问 3 .   自 动 下 载 其 他 恶 意 脚 本 、 文 件 ,   并 执 行 4 .   将 恶 意 脚 本 加 入 到 自 启 动 中 5 .   删 除 安 装 后 的 恶 意 脚 本 与 临 时 文 件
图   1 7 - m r . s h   脚 本 内 容 2 . 3 . 4 . 2   w c . c o n f   分 析 w c . c o n f   该 文 件 主 要 为 挖 矿 的 配 置 文 件 ， 里 面 包 括 矿 池 地 址 、 矿 工 名 以 及 挖 矿 的 相 关 配 置 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理