搜索

[11779] 2017-09-14_一款功能丰富的Perl后门程序分析

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2017-09-14_一款功能丰富的Perl后门程序分析 一 款 功 能 丰 富 的 P e r l 后 门 程 序 分 析 d o u w a n h u   F r e e B u f   2 0 1 7 - 0 9 - 1 4 * 本 文 原 创 作 者 d o u w a n h u ， 属 于 F r e e B u f 原 创 奖 励 计 划 ， 禁 止 转 载 最 近 通 过 最 近 通 过 C o w r i e 蜜 罐 捕 获 一 枚 有 趣 的 后 门 程 序 ， 此 程 序 用 蜜 罐 捕 获 一 枚 有 趣 的 后 门 程 序 ， 此 程 序 用 p e r l 语 言 编 写 。 功 能 包 括 ： 语 言 编 写 。 功 能 包 括 ： D D o S （ （ u d p f l o o d 、 、 t c p f l o o d 、 、 h t t p f l o o d 、 、 s q l f l o o d ） 、 ） 、 h a c k i n g （ 端 口 扫 描 、 信 息 收 集 、 本 地 （ 端 口 扫 描 、 信 息 收 集 、 本 地 r o o t 、 日 志 清 理 等 ） 情 报 信 息 搜 集 、 日 志 清 理 等 ） 情 报 信 息 搜 集 （ （ p a c k e t s t o r m 、 、 m i l w 0 r m ） 等 ） 等 一 、 样 本 信 息 ： 一 、 样 本 信 息 ： 蜜 罐 日 志 显 示 黑 客 使 用 密 码 猜 解 成 功 登 陆 S S H 后 用 w g e t 命 令 下 载 了 程 序 ： 文 件 信 息 ： C R C - 3 2   f b 9 c f d c b M D 5   H a s h   8 7 5 6 f 1 9 b 4 3 8 5 c b 2 e 6 b 6 1 2 3 d a 1 6 8 a c a 3 8 S H A 1   H a s h   a a 9 4 8 9 9 1 5 7 9 c 2 f 4 e 7 4 5 4 f d 3 f e c f 7 c 1 2 5 5 a 1 7 c 8 3 5 S H A 2 5 6   H a s h   a 4 2 4 c 0 f c 1 a c 5 2 e 3 4 e 6 b f d 6 8 7 0 7 7 2 0 a c 9 0 1 4 8 a 8 d c 6 4 5 0 4 0 9 e 8 5 c 1 d c f 2 4 a a 7 b f 8 b V i r u s T o t a l   检 测 信 息
二 、 行 为 分 析 ： 二 、 行 为 分 析 ： 程 序 启 动 后 调 用 c o n e c t a r 函 数 建 立 与 远 程 服 务 器 的 连 接 ， 服 务 器 I P 地 址 ： 1 1 8 . 1 7 8 . 1 9 0 . 1 3 8   端 口 ： 9 9 8 1
测 试 机 运 行 效 果 ： 然 后 读 取 远 程 服 务 器 端 传 入 的 指 令 ：
调 用 p a r s e 函 数 解 析 指 令 ， 并 调 用 b f u n c 函 数 执 行 相 应 的 任 务 。 此 程 序 核 心 内 容 皆 在 b f u n c 函 数 里 ， 因 此 后 续 主 要 分 析 这 个 函 数 。 b f u n c 函 数 依 据 传 入 的 指 令 参 数 有 如 下 功 能 ： ① ① 结 束 进 程 : ② ② 列 出 可 处 理 的 指 令 ： ③ ③ 进 行 常 见 的 D D o S 攻 击 ： 攻 击 ： 可 以 看 到 访 问 h x x p : / / s e r v e r . p e r p e t u a l . p w / s y n . c 下 载 源 文 件 然 后 调 用 G C C 编 译 器 进 行 编 译 ， 删 除 后 使 用 命 令 行 . / s y n   + [ ] + [ ] + [ ] 执 行 D D o S 攻 击 。 经 测 试 这 个 下 载 站 点 已 经 失 效 。 U d p f l o o d
可 以 看 到 如 果 收 到 的 指 令 包 含   u d p   , 则 根 据 收 到 的 I P 地 址 构 造 U D P 包 ， 持 续 向 目 标 地 址 和 端 口 发 包 ， 直 至 给 定 的 结 束 时 间 。 T c p f l o o d   如 果 收 到 的 指 令 包 含 t c p f l o o d   ， 则 调 用 t c p f l o o d e r 函 数 进 行 持 续 时 间 为 的 t c p f l o o d 攻 击 ， t c p f l o o d e r 函 数 如 下 ： 实 现 方 法 很 简 单 ， 即 根 据 传 入 的 I P 地 址 、 端 口 、 持 续 时 间 利 用 s o c k e t 方 法 构 造 T C P 包 在 持 续 时 间 内 连 续 对 目 标 发 送 建 立 连 接 的 请 求 。 S q l f l o o d :
如 果 传 入 的 指 令 包 含 ： s q l f l o o d   ， 则 根 据 接 收 的 I P 地 址 建 立 至 目 标 I P 地 址 3 3 0 6 端 口 的 T C P 连 接 ， 持 续 时 间 为 。 H t t p f l o o d :   如 果 传 入 的 指 令 包 含 ： h t t p f l o o d   ， 则 根 据 接 收 的 I P 地 址 建 立 至 目 标 I P 地 址 8 0 端 口 的 T C P 连 接 ， 持 续 时 间 为 。 ④ ④ 进 行 常 见 的 h a c k i n g 功 能 ， 如 ： 端 口 扫 描 、 功 能 ， 如 ： 端 口 扫 描 、 s o c k s 5 代 理 、 本 地 r o o t 提 权 、 提 权 、 G o o g l e   h a c k i n g 等 。 端 口 扫 描 端 口 扫 描 ： 如 果 解 析 出 指 令 包 含 p o r t s c a n   ， 则 根 据 给 定 I P 地 址 对 端 口 列 表 进 行 创 建 t c p 连 接 遍 历 ， 获 得 开 放 的 端 口 号 。 S o c k s 5 代 理 代 理 ： 可 以 看 出 如 果 收 到 的 指 令 为 s o c k s 5 ， 则 下 载 m o c k s 安 装 包 ， 并 调 用 s y s t e m 函 数 执 行 命 令 自 动 化 m o c k 的 安 装 与 配 置 完 成 s o c k s v 5 的 安 装 ， 然 后 获 取 I P 地 址 ：
简 单 的 通 过 调 用 i f c o n f i g 命 令 获 取 , 提 示 可 以 连 接 的 I P 地 址 和 端 口 。 本 地 本 地 r o o t 提 权 提 权 ： 如 果 读 取 的 指 令 包 含 r o o t m e 则 调 用 ” u n a m e   - r ” 和 ” w h o a m i ” 命 令 查 看 L i n u x 版 本 号 及 当 前 用 户 。 然 后 根 据 版 本 号 寻 找 可 用 的 r o o t 工 具 ， 版 本 号 列 表 及 对 应 的 r o o t 工 具 存 在 名 为 ” h ” 的 哈 希 中 ： 由 于 太 长 只 截 取 一 部 分 ， 剩 余 的 r o o t e x p l o i t s 还 有 ： ” e l f d u m p ” , ”   e x p a n d _ s t a c k ”   , ”   h 0 0 l y s h i t ” , ”   k d u m p ” , ”   k m 2 ” , ” k r a d ” , ” k r a d 3 ” , ”   k r a d 3 ” , ”   l o k o ” , ”   m r e m a p _ p t e ” , ”   n e w l o c a l ” , ”   o n g _ b a k ” , ”   p t r a c e ” , ” p t r a c e _ k m o d ” , ”   p t r a c e 2 4 ” , ”
p w n e d ” , ”   p y 2 ” , ”   r a p t o r _ p r c t l ” , ”   p r c t l 3 ” , ”   r e m a p ” , ” r i p ” , ”   s t a c k g r o w 2 ” , ”   u s e l i b 2 4 ” , ”   u s e l i b 2 4 ” , ”   s m p r a c e r ” , ” s m p r a c e r ” , ”   e x p . s h ” , ” k m d x ” , ”   r a p t o r ” , ”   r a p t o r 2 ” 。 这 部 分 功 能 该 脚 本 仅 是 查 询 到 宿 主 系 统 可 以 用 列 表 中 的 哪 个 e x p l o i t 工 具 提 权 ， 没 有 后 续 的 提 权 动 作 。 发 送 邮 件 发 送 邮 件 ： 可 以 看 出 程 序 利 用 l i n u x s e n d m a i l 发 送 邮 件 ， 接 收 指 令 格 式 为 ： s e n d m a i l   。 利 用 各 搜 索 引 擎 利 用 各 搜 索 引 擎 d o r k 技 巧 查 询 情 报 （ 技 巧 查 询 情 报 （ g o o g l e h a c k i n g 、 、 y a h o o 、 、 m s n 、 、 f i r e b a l l 等 ） 等 ） 如 果 接 收 的 指 令 为   m u l t i s c a n   ， 则 根 据 给 定 的 v u l n 和 查 询 字 段 d o r k 遍 历 各 大 搜 索 引 擎 的 搜 索 结 果 。
由 于 各 个 函 数 原 理 相 同 只 是 查 询 的 u r l 和 条 数 略 有 区 别 ， 因 此 这 里 只 拿 G o o g l e 做 说 明 ， 其 他 类 似 ， g o o g l e 函 数 ： 查 询 记 录 条 数 限 制 在 1 0 0 条 。 其 他 函 数 皆 类 似 。 擦 除 痕 迹 ， 清 理 日 志 ： 擦 除 痕 迹 ， 清 理 日 志 ： 使 用 s y s t e m 函 数 调 用 r m 命 令 删 除 日 志 信 息 和 历 史 文 件 。 ⑤ ⑤ 情 报 搜 集 ： 安 全 站 点 安 全 站 点 n e w s 搜 集 搜 集
如 果 接 收 的 指 令 为 ”   m i l w 0 r m ” 则 会 访 问 m i l w 0 r m 站 点 搜 集 最 新 的 e x p l o i t s 信 息 ， 同 样 的 如 果 接 收 到 指 令 p a c k e t s t o r m ， 则 会 访 问 w w w . p a c k e t s t o r m s e c u r i t y . o r g 获 取 最 新 情 报 利 用 利 用 g o o g l e   h a c k i n g 技 术 搜 集 含 有 技 术 搜 集 含 有 s q l 漏 洞 的 站 点 漏 洞 的 站 点
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理