搜索

[10472] 2016-09-06_一次对个人服务器入侵事件的调查

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2016-09-06_一次对个人服务器入侵事件的调查 一 次 对 个 人 服 务 器 入 侵 事 件 的 调 查 c l o u d s   F r e e B u f   2 0 1 6 - 0 9 - 0 6 这 一 切 还 要 从 我 收 到 的 通 知 邮 件 ： 这 一 切 还 要 从 我 收 到 的 通 知 邮 件 ： “ Y o u r   s e r v e r   i s   s e n d i n g   s p a m ” 说 起 。 首 先 要 说 的 是 ， 这 台 服 务 器 是 用 来 运 行 之 前 项 目 的 说 起 。 首 先 要 说 的 是 ， 这 台 服 务 器 是 用 来 运 行 之 前 项 目 的 静 态 网 站 ， 并 不 保 存 关 键 信 息 。 由 于 不 经 常 使 用 ， 即 使 有 静 态 网 站 ， 并 不 保 存 关 键 信 息 。 由 于 不 经 常 使 用 ， 即 使 有 J o o m l a 和 和 W o r d P r e s s 这 样 的 高 危 程 序 ， 我 都 懒 得 忘 记 定 期 更 新 了 。 这 样 的 高 危 程 序 ， 我 都 懒 得 忘 记 定 期 更 新 了 。 这 可 能 就 是 导 致 被 入 侵 的 原 因 。 这 可 能 就 是 导 致 被 入 侵 的 原 因 。 1   通 知 邮 件 通 知 邮 件 经 过 一 夜 的 狂 欢 聚 会 后 ， 我 收 到 了 服 务 器 提 供 商 O V H 的 通 知 邮 件 ， 邮 件 告 知 我 的 服 务 器 成 为 了 垃 圾 邮 件 发 送 源 ， 其 中 还 提 及 了 一 些 细 节 ： K e n a G a r d 是 我 之 前 创 建 的 公 司 ， 现 在 已 经 不 运 行 了 ， 但 是 基 于 J o o m l a 的 公 司 网 站 w w w . k e n a g a r d . c o m 仍 然 可 以 访 问 ， 并 且 使 用 的 还 是 老 版 本 的 J o o m l a ！ 我 想 问 题 有 可 能 就 出 在 J o o m l a 上 。 J o o m l a 的 问 题 的 问 题 我 立 即 进 入 网 站 目 录 查 看 可 疑 情 况 ：
最 后 两 行 是 我 之 前 执 行 过 的 合 法 操 作 ， 之 后 的 操 作 就 不 得 而 知 了 ， 我 想 我 的 服 务 器 已 经 变 成 瑞 士 奶 酪 了 ！ 入 侵 行 为 可 能 发 生 于 2 0 1 6 - 0 2 - 2 5 、 2 0 1 6 - 0 2 - 2 9 、 2 0 1 6 - 0 8 - 2 1 三 个 时 间 点 的 操 作 。 探 究 入 侵 操 作 探 究 入 侵 操 作 2 0 1 6 - 0 8 - 2 1 的 入 侵 操 作 中 包 含 了 文 件 j t e m p l a t e . p h p ： 该 P H P 文 件 是 经 过 加 密 的 代 码 ， 经 过 U n P H P 解 密 之 后 可 以 看 到 部 分 信 息 ： 实 际 上 ， 上 述 代 码 的 功 能 如 下 ：
B a s e 6 4 和 s t r _ r o t 1 3 为 加 密 混 淆 函 数 ， 起 到 逃 避 安 全 软 件 和 迷 惑 分 析 的 作 用 。 a s s e r t 函 数 在 这 里 ， 它 被 当 成 一 个 提 权 命 令 来 使 用 ， 用 来 上 传 攻 击 载 荷 和 其 它 黑 客 工 具 。 P H P 一 句 话 木 马 ！ 探 究 入 侵 深 度 探 究 入 侵 深 度 在 该 网 站 设 置 中 ， 只 有 w w w - d a t a 用 户 组 才 能 执 行 p h p 代 码 文 件 。 而 且 ， 我 发 现 很 难 通 过 a p t 方 式 来 安 装 软 件 ， 所 以 想 要 更 新 系 统 也 变 成 了 一 件 几 乎 不 可 能 的 事 了 ！ 现 在 ， 好 像 整 个 服 务 器 已 经 不 属 于 我 的 了 ！ 另 外 ， 我 很 难 发 现 攻 击 者 的 提 权 操 作 痕 迹 ， 所 以 ， 只 能 通 过 日 期 和 p s   a u x 命 令 来 查 看 系 统 异 常 。 另 外 ， 我 还 发 现 了 第 四 条 关 于 W o r d P r e s s 的 异 常 操 作 ， 虽 然 不 能 确 定 攻 击 者 意 图 ， 但 是 看 上 去 仍 属 于 入 侵 操 作 。 而 且 网 站 系 统 内 每 个 目 录 文 件 夹 内 都 有 类 似 文 件 ： l o g o _ i m g . p h p ,   i m a g e s / m b a i g / e m k w g . p h p ,   d i r 3 2 . p h p ,   . h t a c c e s s 。 其 中 某 个 文 件 不 仅 用 来 执 行 远 程 代 码 ， 还 向 远 程 地 址 4 l m b k p q r k l q v . n e t 发 送 信 息 ， 经 查 询 ， 域 名 4 l m b k p q r k l q v . n e t 归 属 一 位 乌 克 兰 人 N i k o l a y   P o h o m o v 所 有 。 2   解 决 方 法 解 决 方 法 啊 ， 在 那 分 钟 ， 我 真 想 砸 了 这 台 机 器 ！ 升 级 J o o m l a ， 升 级 W o r d P r e s s ，   格 式 化 ， 重 装 … . ， 天 哪 ， 饶 了 我 吧 ， 我 哪 有 这 么 多 时 间 。 所 以 我 决 定 采 取 一 些 保 守 的 安 全 解 决 对 策 。 停 止 向 外 发 送 垃 圾 邮 件 停 止 向 外 发 送 垃 圾 邮 件 p s   a u x 命 令 显 示 了 很 多 垃 圾 邮 件 发 送 进 程 ， 使 用 以 下 命 令 来 终 止 ： 清 空 邮 件 发 送 队 列 清 空 邮 件 发 送 队 列 禁 止 禁 止 C M S 系 统 系 统 P O S T 数 据 提 交 数 据 提 交 因 为 该 系 统 网 站 已 经 停 止 更 新 了 ， 所 以 禁 止 P O S T 方 式 ， 能 简 单 阻 塞 攻 击 者 提 交 的 数 据 。 在 n g i n x 中 简 单 进 行 以 下 配 置 ： 最 后 ， 别 忘 记 服 务 重 启 命 令 s e r v i c e   n g i n x   r e l o a d 。 清 除 攻 击 者 后 门 清 除 攻 击 者 后 门 禁 止 P O S T 方 式 不 能 完 全 堵 塞 攻 击 者 通 道 ， 你 必 须 清 除 攻 击 者 在 系 统 上 留 下 的 相 关 黑 客 工 具 和 文 件 。 3   其 它 信 息 其 它 信 息 通 过 日 志 分 析 ， 发 现 进 行 j t e m p l a t e . p h p 操 作 的 I P 为 乌 克 兰 I P 1 8 5 . 9 3 . 1 8 7 . 6 6 ， 但 是 ， 貌 似 这 个 I P 没 有 提 交 过 P O S T 数 据 。 p s   a u x | g r e p   - v   g r e p | g r e p   s e n d m a i l | a w k   { p r i n t   $ 2 }   |   x a r g s   k i l l   - 9 r m   / v a r / s p o o l / m q u e u e / *
另 外 ， 我 还 发 现 一 个 可 能 属 于 A m a z o n 的 可 疑 I P 的 操 作 ： 因 此 ， 我 决 定 把 目 录 / a d m i n i s t r a t o r   ( J o o m l a ! )   和 / w p - a d m i n   ( W o r d P r e s s ) 用 以 下 方 式 做 限 制 访 问 。 最 后 ， 别 忘 记 重 启 命 令 s e r v i c e   n g i n x   r e l o a d
4   总 结 总 结 由 于 我 不 是 专 业 的 安 全 人 士 ， 对 于 这 些 经 常 不 更 新 的 老 旧 系 统 ， 我 能 想 到 唯 一 防 止 黑 客 攻 击 的 方 法 可 能 就 是 使 用 D o c k e r 了 。 以 下 是 网 友 对 我 这 篇 博 客 的 一 些 评 论 ： 以 下 是 网 友 对 我 这 篇 博 客 的 一 些 评 论 ： 你 的 服 务 器 已 经 被 入 侵 了 ， 所 以 请 别 用 家 庭 电 脑 远 程 连 接 来 处 理 这 类 安 全 事 件 在 重 装 系 统 过 程 中 使 用 默 认 配 置 可 以 使 用 恶 意 程 序 检 测 工 具 L i n u x   M a l w a r e   D e t e c t s 和 脚 本 c t i m e r . p h p 在 防 火 墙 上 开 启 仅 系 统 所 需 的 端 口 * 本 文 编 译 ： c l o u d s ， 编 译 来 源 ： t h e d a r k s i d e ， 未 经 许 可 禁 止 转 载 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理