搜索

[14376] 2019-07-21_记一次Linux木马清除过程

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2019-07-21_记一次Linux木马清除过程 记 一 次 L i n u x 木 马 清 除 过 程 x y l 8 7 0 6 1 2   F r e e B u f   2 0 1 9 - 0 7 - 2 1 前 段 时 间 公 司 发 生 了 一 起 服 务 器 入 侵 事 件 ， 在 此 分 享 给 大 家 也 顺 便 理 顺 下 前 段 时 间 公 司 发 生 了 一 起 服 务 器 入 侵 事 件 ， 在 此 分 享 给 大 家 也 顺 便 理 顺 下 l i n u x 入 侵 应 急 响 应 思 路 。 入 侵 应 急 响 应 思 路 。 一 、 事 件 描 述 一 、 事 件 描 述 某 天 监 控 同 事 反 馈 有 台 机 器 c p u 飙 高 到 2 0 0 0 % ， 可 能 机 器 已 经 被 黑 。 于 是 登 录 上 去 查 看 ， 果 然 有 个 进 程 名 为 " H T 8 s U y 7 1 " 的 进 程 在 作 祟 ， 这 一 看 名 字 就 不 大 可 能 是 正 常 进 程 。 二 、 处 理 过 程 二 、 处 理 过 程 2 . 1   查 杀 病 毒 进 程 查 杀 病 毒 进 程 c p u 占 用 率 如 此 之 高 ， 基 本 可 判 断 为 挖 矿 程 序 无 疑 了 ， 使 用 在 线 威 胁 情 报 系 统 对 进 程 进 行 检 测 ， 不 出 所 料 ， 得 出 的 标 签 是 c o i n m i n e r 。 这 种 挖 矿 进 程 一 般 都 有 自 动 重 启 机 制 ， 可 能 是 某 个 进 程 的 子 进 程 ， 也 可 能 在 c r o n 定 时 任 务 里 出 现 。 首 先 ， 检 查 c r o n 定 时 任 务 ， 发 现 / v a r / s p o o l / c r o n / c r o n t a b s / r o o t 和 / e t c / c r o n . d / t o m c a t 文 件 修 改 时 间 有 变 化 ， 但 是 内 容 却 无 改 动 。 然 后 ， 使 用 p s   - e f 进 行 查 找 主 进 程 ， 并 无 收 获 。 同 时 发 现 此 挖 矿 进 程 正 在 和 “ 1 7 2 . 1 0 5 . 1 1 4 . 8 4 ” 这 个 i p 的 8 4 4 3 端 口 进 行 通 信 ， 可 能 是 黑 客 的 一 台 远 控 服 务 器 。 之 后 ， l s o f 查 看 此 进 程 在 操 作 哪 些 文 件 ， 也 无 实 际 收 获 。 推 测 一 定 是 有 某 个 主 进 程 在 工 作 ， s o , 继 续 通 过 p s 和 n e t s t a t 查 找 监 听 所 监 听 端 口 的 异 常 。 果 不 其 然 ， 看 到 异 常 进 程 ， 正 在 批 量 爆 破 ， 看 来 是 被 当 做 肉 鸡 了 。 同 时 使 用 l s o f 查 看 此 进 程 文 件 ， 发 现 在 调 用 / r o o t / . d d g / 4 0 0 3 . d b 文 件 ， 貌 似 是 个 加 密 的 社 工 库 。 判 断 是 此 程 序 即 是 主 程 序 ， k i l l 掉 挖 矿 进 程 后 ， 使 用 s t r a c e   - T   - t t   - e   s t r a c e = f u l l 进 行 跟 踪 ， 发 现 主 进 程 先 对 挖 矿 进 程 增 加 可 执 行 权 限 ， 之 后 拉 起 进 程 。   那 么 现 在 k i l l 掉 主 进 程 吧 ， 发 生 个 小 插 曲 ， 发 现 主 进 程 p i d 一 直 在 变 化 ， 好 吧 ， 直 接 k i l l a l l   o s r y f a 3 。
至 此 ， 算 是 暂 时 消 停 一 下 ， 简 单 总 结 一 下 此 病 毒 特 征 ， 其 一 方 面 释 放 挖 矿 病 毒 进 行 挖 矿 ， 同 时 又 对 公 网 s s h 服 务 进 行 爆 破 以 扩 大 感 染 面 。 在 这 里 同 时 给 了 我 一 个 提 醒 ， 或 许 这 台 服 务 器 就 是 通 过 s s h 爆 破 被 入 侵 的 。 2 . 2   查 找 入 侵 痕 迹 查 找 入 侵 痕 迹   一 般 情 况 下 ， 入 侵 可 能 有 以 下 几 种 方 式 ：   a . 各 种 弱 口 令 爆 破 b . 系 统 漏 洞 的 利 用 c . 应 用 漏 洞 的 利 用 上 面 说 了 ， 可 能 是 通 过 s s h 爆 破 被 入 侵 的 ， 我 们 先 来 验 证 一 下 。 查 看 登 录 日 志 ， 发 现 异 常 ( 下 图 是 已 经 过 滤 掉 正 常 登 录 的 日 志 ) ， 基 本 可 断 定 是 通 过 s s h 爆 破 入 侵 了 ， 也 可 以 断 定 s s h 的 访 问 控 制 已 经 失 效 。   结 合 以 上 i p 查 看 爆 破 日 志 ， 确 认 以 上 i p 的 用 户 不 是 同 一 个 人 ， 是 刚 好 有 这 么 多 i p 同 时 爆 破 了 r o o t 账 户 ， 而 且 最 短 的 爆 破 时 间 只 花 了 1 分 钟 。 想 来 这 个 r o o t 账 户 必 然 是 个 弱 密 码 了 。 继 续 查 找 F a i l e d 日 志 的 最 早 时 间 如 下 ： 基 本 可 断 定 在 这 之 前 有 人 动 过 访 问 控 制 策 略 了 ， 询 问 运 维 人 员 无 果 。 s t a t s 查 看 i p t a b l e s 、 / e t c / h o s t s . a l l o w 和 / e t c / h o s t s . d e n y 文 件 状 态 ， 结 合 . b a s h _ h i s t o r y 命 令 ， 一 切 真 相 大 白 ， 一 言 难 尽 ， 你 们 自 己 体 会 。 2 . 3   病 毒 文 件 的 清 理 病 毒 文 件 的 清 理 首 先 ， 使 用 s t a t 查 看 上 面 两 个 进 程 的 修 改 时 间 ， 大 约 在 7 月 8 号 早 上 6 点 多 ， 而 s s h 系 统 最 早 爆 破 时 间 是 7 月 6 号 1 6 : 4 1 。 然 后 ， 结 合 这 两 个 时 间 来 查 找 敏 感 目 录 中 被 修 改 过 的 系 统 文 件 ， 进 行 检 查 修 复 和 清 除 。 c a t   / v a r / l o g / s e c u r e *   |   g r e p   A c c e p t e d   c a t   / v a r / l o g / s e c u r e *   |   g r e p   F a i l e d   f i n d   / e t c /   / u s r / b i n /   / u s r / s b i n /   / b i n /   / u s r / l o c a l / b i n /   / v a r / s p o o l / c r o n /   - t y p e   f   - m t i m e   - 3   |   x a r g s   l s   - l    
最 后   ， 使 用 c h k r o o t k i t 、 c l a m a v 、 r k h u n t e r 一 通 查 杀 ， 当 然 ， 还 是 重 装 系 统 最 保 险 。 三 、 总 结 三 、 总 结 首 先 啰 嗦 一 下 ， 关 于 l i n u x 主 机 ， 高 危 端 口 真 得 万 万 不 能 全 网 开 放 。 看 了 日 志 后 ， 发 现 黑 客 真 是 时 时 刻 刻 在 爆 破 啊 。 关 于 l i n u x 入 侵 的 排 查 思 路 ， 总 结 如 下 ： 1 . 查 看 异 常 进 程 活 动 查 看 异 常 进 程 活 动 - 查 找 是 否 有 异 常 进 程 和 端 口 占 用 查 找 是 否 有 异 常 进 程 和 端 口 占 用 1 . 1 查 找 占 用 c p u 最 多 的 进 程 ， 相 关 命 令 ： 运 行 t o p 命 令 后 ， 键 入 大 写 字 母 P 按 c p u 排 序 ； 1 . 2 查 找 占 用 内 存 最 多 的 进 程 ， 相 关 命 令 ： 运 行 t o p 命 令 后 ， 键 入 大 写 字 母 M 1 . 3 查 找 进 程 文 件 ： 1 . 4 跟 踪 异 常 进 程 运 行 情 况 ： 1 . 5 查 看 进 程 打 开 的 文 件 1 . 6   查 看 进 程 端 口 情 况                                 2 . 查 看 账 号 安 全 查 看 账 号 安 全 2 . 1 查 看 是 否 有 存 在 新 增 异 常 账 号 ： a . 查 找 特 权 用 户 b . 查 找 可 以 远 程 登 录 的 账 号 信 息                                         c . 查 找 s u d o 权 限 账 户 2 . 2   查 看 是 否 有 账 号 异 常 登 录 情 况 ： a . 查 看 当 前 登 录 用 户 和 其 行 为 b . 查 看 所 有 用 户 最 后 一 次 登 录 的 时 间 c . 查 看 所 有 用 户 的 登 录 注 销 信 息 及 系 统 的 启 动 、 重 启 及 关 机 事 件       d . 查 看 登 录 成 功 的 日 期 、 用 户 名 及 i p e . 查 看 试 图 爆 破 主 机 的 i p p s   a u x   |   s o r t   - k 4 n r l s   - l a   / p r o c / $ p i d / e x e s t r a c e   - t t     - T   - e     t r a c e = a l l     - p   $ p i d l s o f   - p   $ p i d n e t s t a t   - a n l t p   |   g r e p   $ p i d a w k   - F   " : "   ' $ 3 = = 0 { p r i n t   $ 1 } '   / e t c / p a s s w d a w k   ' / $ 1 | $ 6 / { p r i n t   $ 1 } '   / e t c / s h a d o w c a t   / e t c / s u d o e r s   |   g r e p   - v   " ^ # | ^ $ "   |   g r e p   " A L L = ( A L L ) " w l a s t l o g l a s t g r e p   " A c c e p t e d   "   / v a r / l o g / s e c u r e *   |   a w k   ' { p r i n t   $ 1 , $ 2 , $ 3 , $ 9 , $ 1 1 } '
f . 查 看 有 哪 些 i p 在 爆 破 主 机 的 r o o t 账 号                           g . 查 看 爆 破 用 户 名 字 典                         3 . 查 找 异 常 文 件                         3 . 1   查 找 c r o n 文 件 中 是 否 存 在 恶 意 脚 本                   3 . 2   查 看 最 近 一 段 时 间 内 被 修 改 的 系 统 文 件                     3 . 3   按 时 间 排 序 ， 确 认 最 近 是 否 有 命 令 被 替 换 ， 可 以 结 合 r p m   - V a 命 令 3 . 4   确 认 是 否 有 异 常 开 机 启 动 项                                         4 . 借 助 工 具 查 杀 病 毒 和 借 助 工 具 查 杀 病 毒 和 r o o t k i t                 4 . 1   查 杀 r o o t k i t                               4 . 2   查 杀 病 毒                                 4 . 3   查 杀 w e b s h e l l 工 具 用 法 不 再 赘 述 ， 大 家 自 行 查 阅 。 * 本 文 原 创 作 者 ： 本 文 原 创 作 者 ： x y l 8 7 0 6 1 2 ， 本 文 属 于 ， 本 文 属 于 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 精 彩 推 荐 精 彩 推 荐 g r e p   r e f u s e d   / v a r / l o g / s e c u r e *   |   a w k   { ' p r i n t   $ 9 ' }   |   s o r t   |   u n i q   - c   | s o r t   - n r   |   m o r e g r e p   " F a i l e d   p a s s w o r d "   / v a r / l o g / s e c u r e *   |   g r e p   - E   - o   " ( ( [ 0 - 9 ] { 1 , 3 } ) . ( [ 0 - 9 ] { 1 , 3 } ) . ( [ 0 - 9 ] { 1 , 3 } ) . ( [ 0 - 9 ] { 1 , 3 } ) ) " g r e p   " F a i l e d   p a s s w o r d   f o r   r o o t "   / v a r / l o g / s e c u r e   |   a w k   ' { p r i n t   $ 1 1 } '   |   s o r t g r e p   " F a i l e d   p a s s w o r d "   / v a r / l o g / s e c u r e   |   a w k   { ' p r i n t   $ 9 ' }   |   s o r t   |   u n i q   - c   |   s o r t   - n r                 / v a r / s p o o l / c r o n / * / e t c / c r o n t a b   / e t c / c r o n . d / *   / e t c / c r o n . d a i l y / *   / e t c / c r o n . h o u r l y / *   / e t c / c r o n . m o n t h l y / *   / e t c / c r o n . w e e k l y /   / e t c / a n a c r o n t a b           / v a r / s p o o l / a n a c r o n / * f i n d   / e t c /   / u s r / b i n /   / u s r / s b i n /   / b i n /   / u s r / l o c a l / b i n /     - t y p e   f   - m t i m e   - T   |   x a r g s   l s   - l a l s   - a l t   / u s r / b i n   / u s r / s b i n   / b i n   / u s r / l o c a l / b i n r p m   - V a > r p m . l o g c a t   / e t c / r c . l o c a l c h k c o n f i g   - - l i s t c h k r o o t k i t   ( 下 载 地 址 - h t t p : / / w w w . c h k r o o t k i t . o r g ) r k h u n t e r   ( 下 载 地 址 - h t t p : / / r k h u n t e r . s o u r c e f o r g e . n e t ) c l a m a v ( 下 载 地 址 - h t t p : / / w w w . c l a m a v . n e t / d o w n l o a d . h t m l )     c l o u d w a l k e r ( 下 载 地 址 - h t t p : / / g i t h u b . c o m / c h a i t i n / c l o u d w a l k e r )
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理