搜索

[879] 2018-09-17_Linux应急响应（四）：盖茨木马

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-16
2018-09-17_Linux应急响应（四）：盖茨木马 L i n u x 应 急 响 应 （ 四 ） ： 盖 茨 木 马 原 创   B y p a s s   B y p a s s   2 0 1 8 - 0 9 - 1 7 收 录 于 话 题   # 应 急 响 应 实 战 笔 记   , 1 5 个 0 x 0 0   前 言 前 言   L i n u x 盖 茨 木 马 是 一 类 有 着 丰 富 历 史 ， 隐 藏 手 法 巧 妙 ， 网 络 攻 击 行 为 显 著 的 D D o S 木 马 ， 主 要 恶 意 特 点 是 具 备 了 后 门 程 序 ， D D o S 攻 击 的 能 力 ， 并 且 会 替 换 常 用 的 系 统 文 件 进 行 伪 装 。 木 马 得 名 于 其 在 变 量 函 数 的 命 名 中 ， 大 量 使 用 G a t e s 这 个 单 词 。 分 析 和 清 除 盖 茨 木 马 的 过 程 ， 可 以 发 现 有 很 多 值 得 去 学 习 和 借 鉴 的 地 方 。 0 x 0 1   应 急 场 景 应 急 场 景   某 天 ， 网 站 管 理 员 发 现 服 务 器 C P U 资 源 异 常 ， 几 个 异 常 进 程 占 用 大 量 网 络 带 宽 ： 0 x 0 2   事 件 分 析 事 件 分 析 异 常 异 常 I P 连 接 ： 连 接 ： 异 常 进 程 ： 异 常 进 程 ：                   查 看 进 行 发 现 p s   a u x 进 程 异 常 ， 进 入 该 目 录 发 现 多 个 命 令 ， 猜 测 命 令 可 能 已 被 替 换 登 录 服 务 器 ， 查 看 系 统 进 程 状 态 ， 发 现 不 规 则 命 名 的 异 常 进 程 、 异 常 下 载 进 程   : 异 常 启 动 项 异 常 启 动 项 进 入 r c 3 . d 目 录 可 以 发 现 多 个 异 常 进 行 ： / e t c / r c . d / r c 3 . d / S 9 7 D b S e c u r i t y S p t / e t c / r c . d / r c 3 . d / S 9 9 s e l i n u x
搜 索 病 毒 原 体 搜 索 病 毒 原 体 f i n d   /   - s i z e   - 1 2 2 3 1 2 4 c   - s i z e   + 1 2 2 3 1 2 2 c   - e x e c   l s   - i d   { }   ;       搜 索 1 2 2 3 1 2 3 大 小 的 文 件   从 以 上 种 种 行 为 发 现 该 病 毒 与 “ 盖 茨 木 马 ” 有 点 类 似 ， 具 体 技 术 分 析 细 节 详 见 ： L i n u x 平 台 “ 盖 茨 木 马 ” 分 析 h t t p : / / w w w . f r e e b u f . c o m / a r t i c l e s / s y s t e m / 1 1 7 8 2 3 . h t m l 悬 镜 服 务 器 卫 士 丨 L i n u x 平 台 “ 盖 茨 木 马 ” 分 析 h t t p : / / w w w . s o h u . c o m / a / 1 1 7 9 2 6 0 7 9 _ 5 1 5 1 6 8 手 动 清 除 木 马 过 程 ：   1 、 简 单 判 断 有 无 木 马   # 有 无 下 列 文 件 c a t   / e t c / r c . d / i n i t . d / s e l i n u x c a t   / e t c / r c . d / i n i t . d / D b S e c u r i t y S p t l s   / u s r / b i n / b s d - p o r t l s   / u s r / b i n / d p k g d # 查 看 大 小 是 否 正 常 l s   - l h   / b i n / n e t s t a t l s   - l h   / b i n / p s l s   - l h   / u s r / s b i n / l s o f l s   - l h   / u s r / s b i n / s s 2 、 上 传 如 下 命 令 到 / r o o t 下 p s   n e t s t a t   s s   l s o f 3 、 删 除 如 下 目 录 及 文 件 r m   - r f   / u s r / b i n / d p k g d   ( p s   n e t s t a t   l s o f   s s ) r m   - r f   / u s r / b i n / b s d - p o r t           # 木 马 程 序 r m   - f   / u s r / b i n / . s s h d                   # 木 马 后 门 r m   - f   / t m p / g a t e s . l o d r m   - f   / t m p / m o n i . l o d r m   - f   / e t c / r c . d / i n i t . d / D b S e c u r i t y S p t ( 启 动 上 述 描 述 的 那 些 木 马 变 种 程 序 ) r m   - f   / e t c / r c . d / r c 1 . d / S 9 7 D b S e c u r i t y S p t r m   - f   / e t c / r c . d / r c 2 . d / S 9 7 D b S e c u r i t y S p t r m   - f   / e t c / r c . d / r c 3 . d / S 9 7 D b S e c u r i t y S p t r m   - f   / e t c / r c . d / r c 4 . d / S 9 7 D b S e c u r i t y S p t r m   - f   / e t c / r c . d / r c 5 . d / S 9 7 D b S e c u r i t y S p t r m   - f   / e t c / r c . d / i n i t . d / s e l i n u x ( 默 认 是 启 动 / u s r / b i n / b s d - p o r t / g e t t y ) r m   - f   / e t c / r c . d / r c 1 . d / S 9 9 s e l i n u x r m   - f   / e t c / r c . d / r c 2 . d / S 9 9 s e l i n u x r m   - f   / e t c / r c . d / r c 3 . d / S 9 9 s e l i n u x r m   - f   / e t c / r c . d / r c 4 . d / S 9 9 s e l i n u x r m   - f   / e t c / r c . d / r c 5 . d / S 9 9 s e l i n u x           4 、 找 出 异 常 程 序 并 杀 死 5 、 删 除 含 木 马 命 令 并 重 新 安 装 0 x 0 3   命 令 替 换 命 令 替 换 R P M   c h e c k 检 查 ： 检 查 ： 系 统 完 整 性 也 可 以 通 过 r p m 自 带 的 - V a 来 校 验 检 查 所 有 的 r p m 软 件 包 , 有 哪 些 被 篡 改 了 , 防 止 r p m 也 被 替 换 , 上 传 一 个 安 全 干 净 稳 定 版 本 r p m 二 进 制 到 服 务 器 上 进 行 检 查 . / r p m   - V a   >   r p m . l o g 如 果 一 切 均 校 验 正 常 将 不 会 产 生 任 何 输 出 。 如 果 有 不 一 致 的 地 方 ， 就 会 显 示 出 来 。 输 出 格 式 是 8 位 长 字 符 串 ,   ` ` c   用 以 指 配 置 文 件 ,   接 着 是 文 件 名 .   8 位 字 符 的 每 一 个   用 以 表 示 文 件 与 R P M 数 据 库 中 一 种 属 性 的 比 较 结 果   。 ` ` .   ( 点 )   表 示 测 试 通 过 。 . 下 面 的 字 符 表 示 对 R P M 软 件 包 进 行 的 某 种 测 试 失 败 ：
命 令 替 换 ： 命 令 替 换 ： r p m 2 c p i o   包 全 名   |     c p i o   - i d v   . 文 件 绝 对 路 径       r p m 包 中 文 件 提 取 R p m 2 c p i o     将 r p m 包 转 换 为 c p i o 格 式 的 命 令   C p i o   是 一 个 标 准 工 具 ， 它 用 于 创 建 软 件 档 案 文 件 和 从 档 案 文 件 中 提 取 文 件 C p i o   选 项   <   [ 文 件 | 设 备 ] - i ： c o p y - i n 模 式 ， 还 原 - d ： 还 原 时 自 动 新 建 目 录 - v ： 显 示 还 原 过 程 文 件 提 取 还 原 案 例 ：   r p m     - q f   / b i n / l s     查 询 l s 命 令 属 于 哪 个 软 件 包 m v     / b i n / l s   / t m p     r p m 2 c p i o   / m n t / c d r o m / P a c k a g e s / c o r e u t i l s - 8 . 4 - 1 9 . e l 6 . i 6 8 6 . r p m   |   c p i o   - i d v   . / b i n / l s   提 取 r p m 包 中 l s 命 令 到 当 前 目 录 的 / b i n / l s 下 c p   / r o o t / b i n / l s     / b i n /   把 l s 命 令 复 制 到 / b i n / 目 录   修 复 文 件 丢 失 挂 载 命 令 r p m 包 ： m k d i r     / m n t / c h r o m /     建 立 挂 载 点 m o u n t   - t   i s o 9 6 6 0   / d e v / c d r o m     / m n t / c d r o m /     挂 在 光 盘 m o u n t / d e v / s r 0   / m n t / c d r o m / 卸 载 命 令 u m o u n t     设 备 文 件 名 或 挂 载 点 u m o u n t   / m n t / c d r o m / 本 文 由 B y p a s s 原 创 发 布 ， 转 载 请 保 留 出 处 。 欢 迎 关 注 我 的 个 人 微 信 公 众 号 ： B y p a s s - - ， 浏 览 更 多 精 彩 文 章 。 B y p a s s A b o u t   M e 一 个 网 络 安 全 爱 好 者 ， 对 技 术 有 着 偏 执 狂 一 样 的 追 求 。 致 力 于 分 享 原 创 高 质 量 干 货 ， 包 括 但 不 限 于 ： 渗 透 测 试 、 W A F 绕 过 、 代 码 审 计 、 安 全 运 维 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理