搜索

[21404] 2020-11-12_Linux入侵后应急事件追踪分析

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-18
2020-11-12_Linux入侵后应急事件追踪分析 L i n u x 入 侵 后 应 急 事 件 追 踪 分 析 转 载 于 安 全 先 师   L e m o n S e c   2 0 2 0 - 1 1 - 1 2 0 x 0 1   情 况 概 述 情 况 概 述 监 控 软 件 监 控 到 服 务 器 存 在 异 常 的 访 问 请 求 ， 故 对 此 服 务 器 进 行 安 全 检 查 。 通 过 提 供 的 材 料 发 现 内 网 机 器 对 某 公 网 网 站 存 监 控 软 件 监 控 到 服 务 器 存 在 异 常 的 访 问 请 求 ， 故 对 此 服 务 器 进 行 安 全 检 查 。 通 过 提 供 的 材 料 发 现 内 网 机 器 对 某 公 网 网 站 存 在 异 常 的 访 问 请 求 ， 网 络 环 境 存 在 着 异 常 的 网 络 数 据 的 访 问 情 况 。 针 对 其 服 务 器 进 行 综 合 分 析 发 现 了 病 毒 文 件 两 例 ， 内 网 在 异 常 的 访 问 请 求 ， 网 络 环 境 存 在 着 异 常 的 网 络 数 据 的 访 问 情 况 。 针 对 其 服 务 器 进 行 综 合 分 析 发 现 了 病 毒 文 件 两 例 ， 内 网 扫 描 器 两 例 ， 通 过 以 上 的 发 现 证 实 服 务 器 已 被 黑 客 入 侵 。 扫 描 器 两 例 ， 通 过 以 上 的 发 现 证 实 服 务 器 已 被 黑 客 入 侵 。 0 x 0 2   取 证 情 况 取 证 情 况 2 . 1   目 标 网 络 情 况 下 文 中 的 内 网 内 i p 以 及 公 网 i p 为 替 换 后 的 脱 敏 i p 。 I P 所 属 所 属 操 作 系 统 操 作 系 统 1 . 1 6 8 . x x x . x x x 某 业 务 员 服 务 器 L i n u x 2 . 6 . 3 2   x 8 6 _ 6 4 操 作 系 统 1 9 2 . 1 6 8 . 0 . 0 / 2 4 D M Z 区 L i n u x & w i n d o w s 1 0 . 1 0 . 0 . 0 / 2 4 核 心 区 L i n u x & w i n d o w s 防 火 墙 2 . 2   针 对 x x x 服 务 器 中 间 件 的 检 测 监 测 存 在 异 常 的 服 务 器 开 放 了 8 0 端 口 和 2 1 端 口 ， 安 装 了 t o m c a t 中 间 件 。 首 先 进 行 t o m c a t 中 间 件 的 排 查 ， 查 询 得 知 服 务 器 对 外 开 t o m c a t 文 件 夹 路 径 为   ， 查 询 t o m c a t 未 使 用 弱 密 码 ： / h o m e / X X X / t o m c a t / X X X   _ t o m c a t
针 对 t o m c a t 部 署 服 务 进 行 检 查 ， 未 发 现 可 疑 部 署 组 件 ： 2 . 3   针 对 x x x 服 务 器 进 程 及 端 口 的 检 测 针 对 目 标 服 务 器 进 行 了 进 程 以 及 端 口 的 检 测 ， 发 现 了 可 疑 现 象 入 下 图 所 示 ：
发 现 可 疑 现 象 后 查 找 “ l ” 所 在 的 路 径 ， 入 下 图 所 示 ： 在 / d e v / s h m 路 径 下 发 现 存 在 “ l ” 与 “ c o n f . n ” 文 件
将 “ l ” 与 “ c o n f . n ” 下 载 到 本 地 进 行 分 析 ， “ l ” 程 序 为 i n u x 远 控 木 马 L i n u x . D D O S . F l o o d . L ， 经 本 地 分 析 “ l ” 程 序 为 l i n u x 下 僵 尸 木 马 ， 同 时 具 有 远 控 的 功 能 通 过 继 续 分 析 目 标 服 务 器 中 的 可 以 进 程 与 端 口 占 用 情 况 ， 发 现 另 外 可 疑 文 件 ， 如 下 图 所 示 ： 将 可 疑 文 件 进 行 本 地 分 析 ， 证 实 此 文 件 为 病 毒 文 件 ：
2 . 4   发 现 攻 击 者 的 攻 击 操 作 针 对 目 标 环 境 进 行 彻 底 排 查 ， 发 现 攻 击 者 使 用 w g e t 操 作 从   h t t p : / / 1 1 1 . 2 0 5 . 1 9 2 . 5 : 2 3 5 6 服 务 器 中 下 载 “ l ” 病 毒 文 件 ， 并 执 行 了 “ 7 7 7 ” 加 权 的 操 作 。 其 记 录 文 件 如 下 图 所 示 ：
通 过 进 一 步 的 对 可 疑 。 通 过 分 析 目 标 服 务 器 日 志 文 件 ， 发 现 攻 击 者 下 载 病 毒 文 件 后 又 使 用 内 网 扫 描 软 件 “ . x ” 调 用 其 “ p a s c a n ” 和 “ s c a n s s h ” 模 块 进 行 内 网 s s h 扫 描 ， 通 过 分 析 发 现 攻 击 者 收 集 到 了 目 标 网 络 环 境 中 的 常 用 密 码 来 进 行 针 对 性 的 扫 描 测 试 。 如 下 图 所 示 ：
通 过 继 续 对 扫 描 软 件 进 行 深 入 挖 掘 ， 发 现 攻 击 者 使 用 扫 描 软 件 得 到 的 其 他 内 网 的 i p 地 址 （ 部 分 ） ： 尝 试 使 用 此 地 址 中 的 1 9 2 . 1 6 8 . 2 1 . 2 3 1 和 1 9 2 . 1 6 8 . 2 1 . 2 1 8 进 行 s s h 登 录 ， 可 使 用 成 功 进 行 s s h 连 接 （ 其 他 地 址 及 口 令 不 再 进 行 测 试 ） ， 并 在 内 网 机 器 中 发 现 使 用 弱 口 令 “ 1 2 3 4 5 6 ” 并 发 现 了 同 样 的 “ l ” 病 毒 文 件 。 其 记 录 文 件 如 下 图 所 示 ： r o o t : h u a w e i
在 扫 描 器 中 发 现 了 攻 击 者 使 用 的 “ p a s s f i l e ” 字 典 文 件 ， 从 中 可 以 发 现 攻 击 者 使 用 的 字 典 具 有 很 强 的 针 对 性 （ 初 步 断 定 攻 击 者 为 在 网 络 环 境 中 通 过 查 询 密 码 文 件 等 操 作 获 取 的 相 关 密 码 ） ： 隐 私 信 息 - - 此 处 不 贴 图 通 过 继 续 对 日 志 文 件 进 行 排 查 ， 发 现 攻 击 者 使 用 扫 描 器 进 行 攻 击 的 历 史 记 录 ， 验 证 了 搜 集 到 的 信 息 ：
通 过 即 系 分 析 ， 发 现 攻 击 者 在 进 入 目 标 服 务 器 后 ， 又 进 行 了 防 火 墙 权 限 修 改 、 “ u d f ” 权 限 提 升 、 远 程 连 接 等 其 他 操 作 。 其 中 “ u d f 病 毒 文 件 ” 未 在 目 标 服 务 器 中 发 现 ， 在 后 期 进 行 反 追 踪 中 在 攻 击 者 服 务 器 中 获 取 到 “ u d f ” 文 件 ， 进 行 本 地 检 测 后 病 毒 文 件 。 其 记 录 文 件 如 下 图 所 示 ：
通 过 对 攻 击 者 完 整 的 攻 击 取 证 ， 可 证 实 攻 击 者 通 过 S S H 连 接 的 方 式 使 用 用 户 而 和 用 户 进 行 远 程 连 接 ， 连 接 之 后 使 用 W g e t 方 式 下 载 并 种 植 在 目 标 服 务 器 中 “ l ” 和 “ v k g d q d d u s x ” 病 毒 文 件 ， 并 使 用 “ u d f ” 进 行 进 一 步 的 权 限 操 作 ， 然 后 使 用 “ . x ” 扫 描 软 件 配 合 针 对 性 极 强 的 密 码 字 典 进 行 内 网 的 扫 描 入 侵 ， 并 以 目 标 服 务 器 为 跳 板 使 用 r o o t 和 x x x 账 户 登 录 了 内 网 中 的 其 他 机 器 在 入 侵 过 程 中 入 侵 者 将 部 分 相 关 日 志 进 行 了 清 除 操 作 。 0 x 0 3   溯 源 操 作 溯 源 操 作 3 . 1   关 于 攻 击 者 的 反 向 检 测 在 取 证 过 程 中 发 现 攻 击 者 服 务 器 使 用 以 下 三 个 i p x x x . x x x . x x x . x 、 x x x . x x x . x x x . x x x 、 x x x . x x . x x x . x x （ 打 个 马 赛 克 ） 通 过 对 这 三 个 I P 进 行 溯 源 找 到 h t t p : / / 1 1 1 . 2 0 5 . 1 9 2 . 5 : 2 3 5 6 /   网 站 使 用 h f s 服 务 器 搭 建 ， 文 件 服 务 器 内 存 储 着 各 种 病 毒 文 件 ， 其 中 找 到 了 在 “ l ” “ u d f ” 等 病 毒 文 件 ， 证 实 前 文 中 的 判 断 。 g u e s t _ c m r o o t
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理