搜索

[8717] 2015-03-04_记一次Linux服务器被入侵后的检测过程

文档创建者：s7ckTeam
浏览次数：10
最后更新：2025-01-17
2015-03-04_记一次Linux服务器被入侵后的检测过程 记 一 次 L i n u x 服 务 器 被 入 侵 后 的 检 测 过 程 F r e e B u f   2 0 1 5 - 0 3 - 0 4 微 信 号 ： 微 信 号 ： f r e e b u f 0 x 0 0   前 言 前 言 故 事 是 这 样 的 ， 大 年 初 一 ， 客 户 反 应 他 们 服 务 器 无 法 访 问 ， 查 看 路 由 ， 发 现 某 故 事 是 这 样 的 ， 大 年 初 一 ， 客 户 反 应 他 们 服 务 器 无 法 访 问 ， 查 看 路 由 ， 发 现 某 o r a c l e + t o m c a t 服 务 器 服 务 器 U D P 流 量 超 大 ， 流 量 超 大 ， 把 带 宽 占 完 了 ， 过 年 嘛 ， 客 户 那 边 先 找 了 当 地 的 技 术 人 员 弄 了 几 天 没 搞 定 ， 然 后 没 办 法 大 年 初 三 的 找 我 们 弄 把 带 宽 占 完 了 ， 过 年 嘛 ， 客 户 那 边 先 找 了 当 地 的 技 术 人 员 弄 了 几 天 没 搞 定 ， 然 后 没 办 法 大 年 初 三 的 找 我 们 弄 . . . 顾 客 顾 客 是 上 帝 ！ 是 上 帝 ！ 其 实 吧 以 前 也 遇 到 过 这 类 攻 击 ， 当 时 某 I D C 都 被 打 瘫 了 ， 只 不 过 马 儿 不 在 我 们 的 设 备 上 ， 所 以 没 过 多 关 注 . . . 0 x 0 1   查 找 木 马 查 找 木 马 首 先 S S H 登 陆 ， t o p 查 看 进 程 ， 发 现 奇 怪 名 字 的 命 令 g e j f h z t h b p , 一 看 就 感 觉 有 问 题 。 l s o f   – c   g e j f h z t h b p 查 看 关 联 文 件 ， 发 现 对 外 的 t c p 连 接 ， 不 知 道 是 不 是 反 向 s h e l l . . .
执 行 命 令 W h e r e i s   g e j f h z t h b p l s   - a l   g e j f h z t h b p 查 看 文 件 路 径 。 并 查 看 文 件 创 建 时 间 ， 与 入 侵 时 间 吻 合 。 顺 便 把 文 件 拷 贝 下 来 放 到 k a l i 虚 拟 机 试 了 下 威 力 ， 几 秒 钟 的 结 果 如 下 . . . 之 前 还 以 为 是 外 国 人 搞 的 ， 这 应 该 能 证 明 是 国 人 搞 的 了 之 前 还 以 为 是 外 国 人 搞 的 ， 这 应 该 能 证 明 是 国 人 搞 的 了 . . .
0 x 0 2   恢 复 业 务 恢 复 业 务 首 先 k i l l 进 程 ， 结 果 肯 定 没 那 么 简 单 ， 进 程 换 个 名 字 又 出 来 了 中 间 尝 试 过 很 多 过 程 ， p s   – e f   | g r e p   发 现 父 进 程 每 次 不 一 样 ， 关 联 进 程 有 时 是 s s h d ， 有 时 是 p w d ， l s ， 中 间 装 了 个 V N C 连 接 ， 然 后 关 闭 s s h 服 务 ， 同 样 无 效 ， 而 且 k i l l 几 次 之 后 发 现 父 进 程 变 成 了 1   ， 水 平 有 限 ， 生 产 服 务 器 ， 还 是 保 守 治 疗 ， 以 业 务 为 主 吧 . . . 既 然 被 人 入 侵 了 ， 首 先 还 是 把 防 火 墙 的 既 然 被 人 入 侵 了 ， 首 先 还 是 把 防 火 墙 的 S S H 映 射 关 掉 吧 ， 毕 竟 服 务 器 现 在 还 要 用 ， 还 是 写 几 条 映 射 关 掉 吧 ， 毕 竟 服 务 器 现 在 还 要 用 ， 还 是 写 几 条 i p t a b l e s 规 则 吧 规 则 吧 i p t a b l e s   - A   O U T P U T   - o   l o   - j   A C C E P T 允 许 本 机 访 问 本 机
i p t a b l e s   - A   O U T P U T   - m   s t a t e   - - s t a t e   E S T A B L I S H E D   - j   A C C E P T 允 许 主 动 访 问 本 服 务 器 的 请 求 i p t a b l e s   - A   O U T P U T   – p   t c p   – d   1 9 2 . 1 6 8 . 1 . 2 3 5   - j A C C E P T 允 许 服 务 器 主 动 访 问 的 I P 白 名 单 i p t a b l e s   - A   D R O P 拒 绝 对 外 访 问 到 此 ， 业 务 恢 复 正 常 。 到 此 ， 业 务 恢 复 正 常 。 0 x 0 3   查 找 原 因 查 找 原 因 其 实 原 因 一 开 始 我 就 意 识 到 了 是 S S H 的 问 题 ， 只 是 先 要 帮 人 把 业 务 恢 复 了 再 说 ， w e b 端 口 方 面 就 只 有 t o m c a t 的 ， w e b 漏 洞 都 查 过 了 ， 什 么 s t r u t s 2 ， m a n a g e r 页 面 ， 还 有 一 些 常 规 w e b 漏 洞 均 不 会 存 在 ， 除 非 有 0 d a y … .   O r a c l e 也 不 外 连 ， 只 有 个 S S H 基 于 这 一 点 ， 我 直 接 查 r o o t 账 户 s s h 登 陆 日 志 ， 翻 啊 翻 ， 终 于 . . . . c d   / v a r / l o g   l e s s   s e c u r e
如 上 图 ， 使 用 印 尼 I P 爆 破 成 功 ， 而 后 面 服 务 器 内 网 I P 登 陆 竟 然 是 失 败 ， 问 了 客 户 ， 算 是 明 白 了 怎 么 回 事 ， 他 们 年 底 加 设 备 ， 给 服 务 器 临 时 改 了 弱 密 码 方 便 各 种 第 三 方 技 术 人 员 调 试 ， 然 后 估 计 忘 了 改 回 来 ， 结 果 悲 剧 了 ， 被 坏 人 登 陆 了 不 说 ， r o o t 密 码 还 被 改 ， 自 己 都 登 不 上 . . . 不 知 道 他 们 老 板 知 不 知 道 . . . 继 续 查 看 h i s t o r y 文 件 ， 看 人 家 都 干 了 些 什 么 。
坏 人 的 操 作 过 程 基 本 就 在 这 里 了 ， 他 执 行 了 好 多 脚 本 ， 谁 知 道 他 干 了 多 少 事 ， 还 是 建 议 客 户 重 装 系 统 吧 . . . 0 x 0 4   后 记 后 记 主 要 还 是 自 己 经 验 尚 浅 ， l i n u x 运 维 玩 的 不 熟 ， 不 知 道 怎 么 把 马 儿 彻 底 赶 出 去 . . . 大 牛 勿 喷 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理