搜索

[26366] 2021-02-08_急死！CPU被挖矿了，却找不到哪个进程！

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-19
2021-02-08_急死！CPU被挖矿了，却找不到哪个进程！ 急 死 ！ C P U 被 挖 矿 了 ， 却 找 不 到 哪 个 进 程 ！ L i n u x 学 习   2 0 2 1 - 0 2 - 0 8 以 下 文 章 来 源 于 小 白 学 黑 客   ， 作 者 小 白 来 自 公 众 号 ： 来 自 公 众 号 ： 小 白 学 黑 客 小 白 学 黑 客 C P U 起 飞 了 起 飞 了 最 近 有 朋 友 在 群 里 反 馈 ， 自 己 服 务 器 的 C P U 一 直 处 于 高 占 用 状 态 ， 但 用 t o p 、 p s 等 命 令 却 一 直 找 不 到 是 哪 个 进 程 在 占 用 ， 怀 疑 中 了 挖 矿 病 毒 挖 矿 病 毒 ， 急 的 团 团 转 。 根 据 经 验 ， 我 赶 紧 让 他 看 一 下 当 前 服 务 器 的 网 络 连 接 ， 看 看 有 没 有 可 疑 连 接 ， 果 然 发 现 了 有 点 东 西 ： 小 白 学 黑 客 小 白 学 黑 客   . 小 白 也 能 看 懂 的 网 络 安 全 教 程
上 S h o d a n 查 一 下 这 I P 地 址 ： 反 向 查 找 ， 发 现 有 诸 多 域 名 曾 经 解 析 到 这 个 I P 地 址 ：
这 是 一 个 位 于 德 国 的 I P 地 址 ， 开 放 了 , , 等 数 个 特 殊 的 服 务 端 口 ： 4 4 4 4 5 5 5 5 7 7 7 7
其 中 这 位 朋 友 服 务 器 上 发 现 的 连 接 到 的 是 7 7 7 7 端 口 ， 钟 馗 之 眼 钟 馗 之 眼 显 示 ， 这 是 一 个 H T T P 服 务 的 端 口 ， 直 接 访 问 返 回 的 信 息 如 下 ：
m i n i n g   p o o l ! ， 服 务 器 正 在 挖 矿 实 锤 了 ！ 但 神 奇 的 是 ， 这 个 进 程 像 是 隐 身 了 一 般 ， 找 不 到 存 在 的 任 何 痕 迹 。 进 程 如 何 隐 藏 进 程 如 何 隐 藏 现 在 说 回 到 本 文 的 正 题 ： L i n u x 操 作 系 统 上 ， 进 程 要 隐 藏 起 来 ， 有 哪 些 招 数 ？ 操 作 系 统 上 ， 进 程 要 隐 藏 起 来 ， 有 哪 些 招 数 ？ 要 回 答 这 个 问 题 ， 先 来 知 道 p s 、 t o p 等 命 令 枚 举 系 统 的 进 程 列 表 的 原 理 。 L i n u x 的 设 计 哲 学 是 ： 一 切 皆 文 件 ！ 一 切 皆 文 件 ！
进 程 也 不 例 外 ，   L i n u x 系 统 中 有 一 个 特 殊 的 目 录 ： / p r o c / ， 这 个 目 录 下 的 内 容 ， 不 是 硬 盘 上 的 文 件 系 统 ， 而 是 操 作 系 统 内 核 暴 露 出 的 内 核 中 进 程 、 线 程 相 关 的 数 据 接 口 ， 也 就 是 p r o c f s ， 里 面 记 录 了 系 统 上 正 在 运 行 的 进 程 和 线 程 信 息 ， 来 查 看 一 下 ： 这 些 以 数 字 命 名 的 目 录 ， 就 是 一 个 进 程 的 P I D ， 里 面 记 录 了 该 进 程 的 详 细 信 息 。 而 p s 、 t o p 等 命 令 的 工 作 原 理 ， 实 质 上 就 是 遍 历 这 个 目 录 。 知 道 了 原 理 ， 想 实 现 隐 藏 就 有 以 下 几 个 思 路 ： 命 令 替 换 命 令 替 换 直 接 替 换 系 统 中 的 p s 、 t o p 命 令 工 具 。 可 以 从 G i t H u b 上 下 载 它 们 的 源 码 ， 加 入 对 应 的 过 滤 逻 辑 ， 在 遍 历 进 程 的 时 候 ， 剔 除 挖 矿 进 程 ， 实 现 隐 藏 的 目 的 。 模 块 注 入 模 块 注 入 编 写 一 个 动 态 链 接 库 s o 文 件 ， 在 s o 中 ， H O O K 遍 历 相 关 的 函 数 （ r e a d d i r / r e a d d i r 6 4 ） ， 遍 历 的 时 候 ， 过 滤 挖 矿 进 程 。 通 过 修 改 L D _ P R E L O A D 环 境 变 量 或 / e t c / l d . s o . p r e l o a d 文 件 ， 配 置 动 态 链 接 库 ， 实 现 将 其 注 入 到 目 标 进 程 中 。 内 核 级 隐 藏 内 核 级 隐 藏 模 块 注 入 的 方 式 是 在 应 用 层 执 行 函 数 H O O K ， 隐 藏 挖 矿 进 程 ， 更 进 一 步 ， 可 以 通 过 加 载 驱 动 程 序 的 方 式 在 内 核 空 间 H O O K 相 应 的 系 统 调 用 来 实 现 隐 藏 。 不 过 这 对 攻 击 者 的 技 术 要 求 也 更 高 ， 遇 到 这 样 的 病 毒 清 理 起 来 挑 战 也 更 大 了 。
揪 出 挖 矿 进 程 揪 出 挖 矿 进 程 通 过 上 面 的 进 程 隐 藏 原 理 看 得 住 来 ， 都 是 想 尽 办 法 隐 藏 / p r o c 目 录 下 的 内 容 ， 类 似 于 “ 障 眼 法 障 眼 法 ” ， 所 以 包 含 p s 、 t o p 、 l s 等 等 在 内 的 命 令 ， 都 没 办 法 看 到 挖 矿 进 程 的 存 在 。 但 蒙 上 眼 不 代 表 不 存 在 ， 有 一 个 叫 u n h i d e 的 工 具 ， 就 能 用 来 查 看 隐 藏 进 程 。 我 让 这 位 朋 友 安 装 这 个 工 具 来 查 找 隐 藏 的 进 程 ， 但 奇 怪 的 是 ， 一 执 行 y u m   i n s t a l l 安 装 ， 远 程 连 接 的 S S H 会 话 就 立 刻 断 开 。 于 是 退 而 求 其 次 ， 选 择 通 过 源 码 安 装 ， 又 是 一 直 各 种 报 错 · · · 因 为 我 没 办 法 亲 自 操 作 这 台 服 务 器 ， 沟 通 起 来 比 较 麻 烦 ， 于 是 我 决 定 研 究 下 这 个 u n h i d e 工 具 的 源 码 ， 然 后 编 一 个 p y t h o n 脚 本 发 给 他 执 行 。 源 码 地 址 ： 在 查 找 隐 藏 进 程 模 块 ， 其 大 致 使 用 了 如 下 的 方 法 ： 挨 个 访 问   / p r o c / p i d /   目 录 ， 其 中 ， p i d 从 1 到 到 m a x _ p i d 累 加 如 果 目 录 不 存 在 ， 跳 过 如 果 是 u n h i d e 自 己 的 进 程 ， 跳 过 如 果 在 p s 命 令 中 能 看 到 ， 跳 过 剩 下 的 ， 既 不 是 自 己 ， 也 不 在 p s 命 令 输 出 中 ， 则 判 定 为 隐 藏 进 程 按 照 这 个 思 路 ， 我 编 写 了 一 个 P y t h o n 脚 本 发 给 这 位 朋 友 ， 执 行 后 果 然 发 现 了 隐 藏 的 进 程 ： h t t p s : / / g i t h u b . c o m / Y J e s u s / U n h i d e - N G / b l o b / m a s t e r / u n h i d e - l i n u x . c
别 着 急 ， 不 是 真 的 有 这 么 多 进 程 ， 这 里 是 把 所 有 的 线 程 I D 列 举 出 来 了 。 随 便 挑 选 了 一 个 看 一 下 ： 还 记 得 前 面 通 过 n e t s t a t 命 令 看 到 挖 矿 进 程 建 立 了 一 个 网 络 连 接 吗 ？ L i n u x 一 切 皆 文 件 ， 在   / p r o c / p i d / f d   目 录 下 有 进 程 打 开 的 文 件 信 息 ：
这 里 发 现 这 个 进 程 打 开 了 一 个 s o c k e t ， 后 面 的 1 0 2 1 2 是 i n o d e   i d ， 再 通 过 下 面 的 命 令 看 一 下 这 个 s o c k e t 到 底 是 什 么 ： c a t   / p r o c / n e t / t c p   |   g r e p   1 0 2 1 2 输 出 了 四 元 组 信 息 ： 左 边 是 源 I P 地 址 ： 源 端 口 ， 右 边 是 目 的 I P 地 址 ： 目 的 端 口 目 的 端 口 1 E 6 1 就 是 7 7 7 7 ！ ！ ！ 找 到 了 ， 就 是 这 货 ！ 再 次 查 看   c a t   / p r o c / p i d / e n v i r o n ， 定 位 到 进 程 的 可 执 行 文 件 ： 总 算 把 这 家 伙 找 到 了 ： 网 上 一 搜 这 家 伙 ， 看 来 是 惯 犯 了 ：
挖 矿 病 毒 分 析 挖 矿 病 毒 分 析 把 这 个 挖 矿 木 马 下 载 下 来 ， 反 汇 编 引 擎 中 查 看 ， 发 现 加 壳 了 。 脱 壳 后 ， 在 I D A 中 现 出 了 原 形 ， 不 禁 倒 吸 了 一 口 凉 气 ， 居 然 悄 悄 修 改 文 件 ， 添 加 了 R S A 密 钥 登 录 方 式 ， 留 下 这 么 一 个 后 门 ， 随 时 都 能 远 程 登 录 进 来 。 / r o o t / . s s h / a u t h o r i z e d _ k e y s
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理