搜索

[12874] 2018-06-26_记一次服务器被入侵的调查取证

文档创建者：s7ckTeam
浏览次数：8
最后更新：2025-01-18
2018-06-26_记一次服务器被入侵的调查取证 记 一 次 服 务 器 被 入 侵 的 调 查 取 证 原 创   f i s h 1 9 8 3   F r e e B u f   2 0 1 8 - 0 6 - 2 6 * 本 文 原 创 作 者 ： f i s h 1 9 8 3 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 0 × 1   事 件 描 述 事 件 描 述 小 小 Z 所 在 公 司 的 信 息 安 全 建 设 还 处 于 初 期 阶 段 ， 而 且 只 有 小 所 在 公 司 的 信 息 安 全 建 设 还 处 于 初 期 阶 段 ， 而 且 只 有 小 Z 新 来 的 一 个 信 息 安 全 工 程 师 ， 所 以 常 常 会 碰 到 一 些 新 来 的 一 个 信 息 安 全 工 程 师 ， 所 以 常 常 会 碰 到 一 些 疑 难 问 题 。 一 天 ， 小 疑 难 问 题 。 一 天 ， 小 Z 接 到 运 维 同 事 的 反 映 ， 一 台 接 到 运 维 同 事 的 反 映 ， 一 台 t o m c a t   的 的 w e b 服 务 器 虽 然 安 装 了 杀 软 ， 但 是 还 是 三 天 两 头 会 出 服 务 器 虽 然 安 装 了 杀 软 ， 但 是 还 是 三 天 两 头 会 出 现 杀 软 病 毒 报 警 ， 希 望 他 能 查 下 原 因 。 现 杀 软 病 毒 报 警 ， 希 望 他 能 查 下 原 因 。 小 Z 首 先 设 想 了 三 种 可 能 性 : 1 . 存 在 系 统 漏 洞 2 . 由 于 前 期 运 维 在 服 务 器 上 装 了 一 些 工 具 软 件 ， 会 不 会 工 具 软 件 引 入 的 病 毒 3 . 应 用 层 漏 洞 。 于 是 ， 他 从 这 三 方 面 开 始 了 调 查 。 首 先 ， 小 Z 用 更 新 库 的 漏 扫 对 系 统 层 面 的 漏 洞 检 测 ， 未 发 现 任 何 异 常 ； 由 于 会 有 开 发 连 接 进 这 台 服 务 器 ， 他 去 开 发 那 里 收 集 工 具 软 件 进 行 查 毒 处 理 ， 也 没 发 现 异 常 ， 排 除 通 过 软 件 带 入 病 毒 的 可 能 ； 那 难 道 是 通 过 应 用 层 漏 洞 进 来 的 ？ 因 为 系 统 上 线 前 都 会 经 过 w e b 渗 透 测 试 ， 文 件 上 传 ， S Q L 注 入 等 常 规 漏 洞 已 经 修 复 ， 虽 然 这 样 ， 小 Z 还 是 重 新 验 证 了 一 遍 漏 洞 ， 没 有 问 题 ， 又 用 D 盾 w e b s h e l l 检 测 工 具 进 行 了 扫 面 ， 未 发 现 任 何 w e b s h e l l 。 那 病 毒 是 怎 么 产 生 的 ？ 0 × 2   溯 源 准 备 溯 源 准 备 由 于 病 毒 无 法 清 干 净 ， 也 不 清 楚 黑 客 是 已 经 在 机 器 上 做 了 哪 些 手 脚 ， 业 务 方 要 求 小 Z 重 新 搭 建 一 个 干 净 的 环 境 ， 给 系 统 打 好 最 新 的 补 丁 ， 交 给 开 发 重 新 放 入 生 产 。 由 于 前 期 没 有 在 主 机 端 做 日 志 收 集 类 工 具 ， 缺 乏 主 机 端 的 攻 击 溯 源 手 段 ， 小 Z 临 时 搭 建 了 s p l u n k 日 志 分 析 系 统 ， 并 在 新 搭 建 的 服 务 器 上 安 装 了 s y s m o n 日 志 收 集 工 具 ， 对 主 机 层 面 进 行 了 日 志 收 集 。 过 了 一 星 期 左 右 ， 小 Z 发 现 系 统 进 程 里 面 居 然 多 了 个 叫 w c m o y e 的 进 程 ， 凭 感 觉 这 不 是 个 正 常 程 序 ， 那 就 先 从 这 个 程 序 开 始 入 手 调 查 吧 。 0 × 3   常 规 排 查 常 规 排 查 常 规 排 查 还 是 采 用 了 微 软 经 典 系 统 工 具 s y s t e m i n t e r n a l s 套 件 ， 分 别 对 启 动 项 ， 系 统 进 程 ， 网 络 连 接 等 简 单 做 了 排 查 。 启 动 项 除 了 s e r v i c e s 这 一 项 发 现 了 一 个 奇 怪 的 S t u v w x A b c d e f g   J k l ， 其 他 没 有 特 别 值 得 注 意 的 地 方 。
进 程 排 查 就 是 那 个 叫 w c m o y e . e x e 的 进 程 进 程 依 赖 于 S t u v w x A b c d e f g h   J k l 这 个 服 务 网 络 通 信 ： 用 t c p v i e w 观 察 w c m o y e . e x e 会 不 定 时 连 接 一 公 网 i p 的 9 9 9 9 端 口 同 时 会 有 一 些 注 册 表 及 文 件 系 统 上 的 行 为 ， 确 定 w c m o y e 躲 在 C : w i n d o w s s y s w o w 6 4 目 录 下 初 步 排 查 得 出 的 结 论 是 ： w c m o y e 进 程 依 赖 于 名 叫 S t u v w x   A b c d e f g   J k l 系 统 服 务 ， 去 s y n 链 接 公 网 i p 的 9 9 9 9 端 口 ， 是 个 木 马 程 序 。 在 对 w c m o y e 有 了 一 定 认 识 之 后 ， 小 Z 想 它 是 从 哪 里 来 的 ， 这 时 ， 小 Z 之 前 搭 建 的 日 志 分 析 系 统 派 上 了 用 场 。 0 × 4   日 志 排 查 日 志 排 查 这 个 问 题 得 从 w c m o y e . e x e 在 系 统 中 产 生 的 第 一 时 间 着 手 调 查 。 于 是 打 开 s p l u n k 开 始 搜 索 ： 通 过   w c m o y e 关 键 字 的 搜 索 ， 发 现 6 月 6 日 2 0 ： 2 4 发 生 如 下 可 疑 事 件 ：
2 0 ： 2 4 ： 1 1   T o m c a t 目 录 下 有 一 个 叫 N e w R a t 的 可 执 行 文 件 生 成 w c m o y e . e x e ， 原 来 w c m o y e 是 有 一 个 叫 N e w R a t 的 可 执 行 文 件 生 成 的 ， 但 是 回 到 T o m c a t 目 录 下 查 看 ， 并 没 有 发 现 N e w R a t . e x e 这 个 文 件 . 不 急 ， 进 一 步 搜 索 N e w R a t ， 小 Z 发 现 了 更 大 的 信 息 量 : 在 w c m o y e 被 创 建 的 前 一 秒   2 0 ： 2 4 ： 1 0 ， t o m c a t 7 . e x e 去 调 用 c m d . e x e 执 行 了 一 段 比 较 长 的 脚 本 ， 随 着 时 序 跟 踪 事 件 的 发 展 ， 发 现 在 2 0 ： 2 4 ： 1 2   调 用 c m d . e x e 删 除 了 N e w R a t . e x e 同 时 还 观 察 到 s e r v i c e s . e x e 的 执 行 ， 系 统 服 务 创 建
关 注 s y s m o n 的 E v e n t C o d e   3   ， w c m o y e 的 进 程 会 与 下 载 N e w R a t 的 那 个 公 网 i p 的 9 9 9 9 端 口 有 通 信 日 志 ， 其 实 到 这 里 ， w c m o y e 是 从 哪 里 进 来 的 已 经 基 本 搞 清 楚 了 ， 接 下 来 的 问 题 就 是 为 什 么 会 进 来 ？ T o m c a t 为 什 么 去 执 行 这 些 恶 意 命 令 ？ 现 在 唯 一 的 线 索 就 是 日 志 中 的 那 个 f t p 登 陆 的 i p 以 及 账 号 密 码 了 ， 继 续 吧 。 0 × 5   顺 藤 摸 瓜 顺 藤 摸 瓜 小 Z 带 着 好 奇 心 ， 继 续 探 索 过 程 ， 直 接 进 入 了 这 个 f t p 服 务 器 !
使 用 F i l e Z i l l a 进 入 f t p 服 务 器 的 目 录 ， 以 一 目 十 行 地 速 度 快 速 扫 了 一 遍 ， 首 先 蹦 入 小 Z 眼 帘 的 就 是 N e w R a t . e x e ， 不 错 ， 和 前 面 的 调 查 结 果 相 吻 合 ， N e w R a t 就 安 静 地 躺 在 这 里 。 还 有 个 独 特 专 版 s t 2 - 0 4 5   w i n l i n u x 小 组 版 文 件 夹 ， 潜 意 识 告 诉 小 Z 这 个 文 件 夹 里 面 很 可 能 有 谜 底 的 答 案 ， 先 直 接 百 度 一 下 好 家 伙 ， 双 系 统 传 马 还 K i l l 国 内 外 主 流 杀 毒 软 件 ， 关 键 是 s t 2 - 0 4 5 这 个 就 是 远 程 代 码 执 行 （ R C E ） 漏 洞 ( S 2 - 0 4 5 , C V E -
2 0 1 7 - 5 6 3 8 ) ， 小 Z 不 禁 一 颤 ， 之 前 居 然 没 想 到 测 试 这 个 高 危 的 提 权 漏 洞 。 s t a r t . b a t 开 始 看 吧 有 一 个 叫 w i n c m d . t x t 的 文 件 ， 是 w i n o w s 平 台 下 的 执 行 脚 本 ， 红 框 的 内 容 和 前 面 s p l u n k 日 志 中 的 那 段 日 志 一 模 一 样 ， 也 就 是 帮 小 Z 引 导 到 这 里 的 那 段 关 键 日 志 。
L i n u x 平 台 的 脚 本 ： 关 闭 防 火 墙 ， 下 载 一 个 叫 t a t a d a 的 E L F 文 件 ， 把 n e t s t a t 等 系 统 命 令 改 名 ， 清 空 日 志 等 等 R e s u l t . t x t 文 件 ， 记 录 着 一 些 扫 描 到 的 i p 的 端 口 开 放 情 况
W i n d o w s . t x t 和 l i n u x . t x t 里 面 貌 似 都 是 存 在 漏 洞 的 网 址 。 。 。 而 且 其 中 有 一 个 关 键 的 发 现 ， 就 是 小 Z 所 在 公 司 的 网 站 接 口 居 然 在 一 个 叫 h t t p . t x t 的 l i s t 里 面 到 这 里 ， 小 Z 已 经 大 致 猜 得 出 自 己 的 公 司 网 站 是 怎 么 被 盯 上 的 了 。 再 看 下 几 个 可 执 行 文 件 : S . e x e 就 是 扫 描 器
I D A 载 入 s t r 0 4 5
看 得 出 S t r 0 4 5 . e x e 就 是 s t r u t s 2 - 0 4 5 的 利 用 脚 本 程 序 ， 他 会 去 读 取 S . e x e 扫 描 出 的 i p 及 端 口 开 放 情 况 的 文 件 ， 组 合 d o ， a c t i o n 等 开 启 多 线 程 去 e x p l o i t ， 然 后 根 据 被 攻 击 的 系 统 版 本 ， 去 执 行 相 应 的 脚 本 ， 像 小 Z 公 司 的 这 台 w e b 服 务 器 是 w i n d o w s 的 ， 就 会 去 执 行 w i n c m d . t x t 。 0 × 6   网 络 架 构 网 络 架 构 目 前 调 查 到 的 种 种 迹 象 让 小 Z 坚 信 黑 客 是 通 过 s t r u t s 2 - 4 5 漏 洞 进 来 的 ！ 于 是 小 Z 去 网 上 下 载 了 一 个 最 新 的 s t r u t s 漏 洞 检 查 工 具 ， 直 接 对 网 站 的 8 0 端 口 进 行 检 测 ， 但 结 果 出 乎 意 料 ， 居 然 没 有 漏 洞 报 警 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理