搜索

[11354] 2017-05-16_某云用户网站入侵应急响应

文档创建者：s7ckTeam
浏览次数：8
最后更新：2025-01-18
2017-05-16_某云用户网站入侵应急响应 某 云 用 户 网 站 入 侵 应 急 响 应 f e i n i a o   F r e e B u f   2 0 1 7 - 0 5 - 1 6 * 本 文 原 创 作 者 ： f e i n i a o ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 1 、 情 况 概 述 该 案 例 是 前 期 应 急 处 置 的 一 起 因 安 全 问 题 导 致 的 内 网 不 稳 定 的 情 况 。 写 下 来 ， 和 大 家 一 起 讨 论 应 急 响 应 的 一 些 思 路 及 其 中 间 遇 到 的 一 些 坑 ， 欢 迎 大 牛 指 点 、 讨 论 。 情 况 是 这 样 的 ： 某 用 户 发 现 在 网 络 经 常 出 现 内 网 中 断 的 情 况 ， 经 其 内 部 分 析 ， 初 步 判 定 可 能 为 其 在 云 上 的 一 台 虚 拟 服 务 器 ( L i n u x ) 异 常 导 致 ， 但 是 前 期 对 这 台 虚 拟 主 机 进 行 常 规 的 安 全 检 查 与 数 据 包 分 析 ， 并 没 有 发 现 其 有 异 常 情 况 。 但 是 用 户 发 现 只 要 这 台 虚 拟 主 机 接 入 网 络 就 会 不 定 期 出 现 内 网 中 断 。 该 服 务 器 对 外 只 开 放         s s h 和 8 0 。 用 户 为 保 证 其 他 服 务 器 的 安 全 及 可 用 性 ， 把 这 台 虚 拟 主 机 给 下 线 了 ， 但 是 这 台 虚 拟 主 机 是 否 存 在 异 常 ？ 为 什 么 接 入 网 络 会 导 致 中 断 ？ 在 初 步 分 析 没 有 结 论 的 情 况 下 ， 我 方 介 入 协 助 分 析 。 2 、 整 体 分 析 2 . 1   数 据 包 分 析 与 与 1 8 3 . 6 1 . 1 7 1 . 1 5 4 异 常 交 互 异 常 交 互 我 方 介 入 后 ， 根 据 实 际 情 况 ， 将 这 台 异 常 虚 拟 主 机 全 部 拷 备 放 到 一 台 暂 时 没 有 使 用 的 服 务 器 中 ， 前 期 考 虑 可 能 是 发 送 恶 意 报 文 导 致 某 用 户 内 网 服 务 器 中 断 ， 所 以 前 期 采 用 的 方 法 是 对 这 台 虚 拟 机 的 流 量 进 行 抓 取 分 析 ， 但 是 在 抓 取 一 段 时 间 后 ， 并 没 发 现 异 常 。 考 虑 到 可 能 是 不 定 期 发 包 ， 因 此 决 定 进 行 长 期 抓 包 与 系 统 全 面 分 析 的 方 法 进 行 分 析 。 下 面 是 我 方 进 行 抓 包 分 析 情 况 ：
抓 了 近 两 天 的 数 据 包 ， 总 共 包 大 小 为 7 5 . 3 M ， 从 数 量 上 看 ， 包 的 数 量 相 对 较 少 ， 应 该 没 有 进 行 大 流 量 攻 击 行 为 。 继 续 深 入 分 析 数 据 包 : 从 数 据 包 中 发 现 有 一 处 报 文 交 互 存 在 可 疑 ， 对 其 深 入 分 析 ， 发 现 在 2 0 1 6 年 1 0 月 2 7 日 1 3 : 5 5 : 5 0 时 这 台 虚 拟 主 机 主 动 外 连 1 8 3 . 6 1 . 1 7 1 . 1 5 4 这 台 主 机 的 5 8 9 6 端 口 ， 并 下 载 了 一 下 b c . p l 的 文 件 ， 其 源 端 口 为 3 7 5 6 8 ， 但 是 由 于 分 析 时 ， 该 端 口 已 无 会 话 信 息 ， 所 以 无 法 分 析 当 时 是 哪 个 进 程 。 下 面 是 这 个 过 程 的 情 况 ： 报 文 交 互 过 程 交 互 信 息 文 件 存 放 路 径
对 b c . p l 文 件 查 看 ， 其 源 码 如 下 ： b c . p l 源 码 根 据 源 码 分 析 ， 其 使 用 有 s o c k e t 函 数 ， 并 定 义 一 些 r e m o e t _ i p , r e m o t e _ p o r t 等 关 键 字 ， 初 步 判 定 其 为 一 个 进 行 远 程 控 制 用 的 恶 意 远 控 程 序 的 部 分 文 件 。 对 1 8 3 . 6 1 . 1 7 1 . 1 5 4 这 个 目 的 I P 进 行 分 析 ， 发 现 其 存 在 被 僵 尸 网 络 控 制 等 情 况 ， 这 台 主 机 可 能 并 不 是 真 正 的 原 始 攻 击 者 ， 攻 击 者 通 过 这 台 主 机 作 为 跳 板 来 攻 击 其 他 主 机 。 但 是 我 们 对 这 个   I P 的 分 析 ， 可 以 证 明 上 面 的 会 话 的 确 存 在 异 常 。
对 其 反 向 D N S 解 析 ， 分 析 曾 经 有 哪 些 域 名 挂 在 这 个 I P 上 ， 可 以 看 出 这 个 I P 。       频 繁 的 更 换 其 对 应 域 名 ， 说 明 这 个 I P 对 应 的 主 机 可 能 早 已 被 黑 客 控 制 ， 用 来 进 行 黑 客 行 为 。 下 面 是 其 反 向 D N S 信 息 汇 总 ： 继 续 深 入 分 析 ， 看 看 1 8 3 . 6 1 . 1 7 1 . 1 5 4 这 台 主 机 上 是 否 存 在 恶 意 文 件 ， 通 过 下 图 可 以 看 出 1 8 3 . 6 1 . 1 7 1 . 1 5 4 这 台 主 机 存 在 较 多 恶 意 脚 本 。 1 8 3 . 6 1 . 1 7 1 . 1 5 4 存 在 恶 意 样 本 分 析 通 过 上 面 分 析 ， 可 以 看 出 1 8 3 . 6 1 . 1 7 1 . 1 5 4 这 台 存 在 恶 意 脚 本 ， 判 断 为 被 黑 客 控 制 的 机 器 ， 黑 客 使 用 这 台 作 为 跳 板 来 入 侵 其 他 设 备 ， 因 此 某 用 户 外 连 这 台 主 机 并 下 载 b c . p l   这 个 文 件 ， 通 过 各 方 面 综 合 分 析 ， 判 定   b c . p l 是 一 个 用 来 进 行 远 程 控 制 的 恶 意 文 件 。
与 与 6 5 . 1 1 8 . 1 2 3 . 1 6 2 异 常 交 互 异 常 交 互 直 接 分 析 H T T P 数 据 包 ， 发 现 除 了 上 面 介 绍 下 载 的 b c . p l 文 件 以 外 ， 还 有 大 量 的   H T T P   请 求 ， 请 求 的 内 容 都 为 外 连 一 个 p l 文 件 。 异 常 交 互 情 况 提 取 相 关 信 息 ， 汇 总 如 下 ：
上 图 可 以 看 出 6 5 . 1 1 8 . 1 2 3 . 1 6 2 这 个 I P 存 在 被 僵 尸 网 络 及 威 胁 流 量 的 情 况 。 和 上 方 一 样 ， 这 个   I P   可 能 也 不 是 黑 客 真 实 的 I P ， 黑 客 控 制 这 台 主 机 ， 然 后 再 通 过   6 5 . 1 1 8 . 1 2 3 . 1 6 2 这 台 作 为 跳 板 ， 再 入 侵 其 他 设 备 。 继 续 对 6 5 . 1 1 8 . 1 2 3 . 1 6 2 深 入 分 析 ， 反 向 D N S 查 看 一 下 ， 可 以 看 出 这 台 主 机 位 于 美 国 ， 并 且 其 域 名 在 不 断 变 更 。
通 过 上 文 ， 我 们 可 以 看 出 某 用 户 的 这 台 服 务 器 不 定 期 与 6 5 . 1 1 8 . 1 2 3 . 1 6 2 这 个 存 在 被 僵 尸 网 络 控 制 的 主 机 进 行 交 互 ， 并 且 都 是 G e t   其 一 个   p l 文 件 。 通 过 对 目 标 主 机 进 行 分 析 ， 判 断 该 会 话 为 恶 意 交 互 ， 但 是 因 为 抓 包 时 ， 没 有 及 时 分 析 该 端 口 所 对 应 的 进 程 ， 所 以 暂 时 没 有 办 法 分 析 是 哪 个 程 序 导 致 。 后 期 如 果 需 要 分 析 ， 可 以 进 行 实 时 抓 包 ， 找 到 该 端 口 号 所 对 应 的 进 程 ， 然 后 把 该 进 程 杀 掉 即 可 。 2 . 2   可 疑 文 件 分 析 根 据 上 面 的 分 析 ， 发 现 在 b c . p l 存 放 在 / t m p 目 录 下 ， 对 这 个 目 录 下 的 分 析 进 行 分 析 ， 发 现 几 个 可 疑 文 件 ： 直 接 c a t 这 个 文 件 ， 可 以 发 现 一 些 很 有 意 思 的 事 情 ：
1 .             直 接 把 主 机 防 火 墙 关 闭 2 .             从 1 2 3 . 2 4 9 . 7 . 1 9 8 : 8 8 3 1 上 下 载   1 2 3 这 个 文 件 3 .             赋 予 1 2 3 这 个 文 件   7 7 7   的 权 限 4 .             执 行 1 2 3 这 个 文 件 这 里 面 可 以 看 到 黑 客 通 过 这 个 脚 本 下 载 并 执 行 1 2 3 这 个 文 件 ， 如 果 存 在 1 2 3 这 个 文 件 ， 可 以 说 明   c m d . n   这 个 文 件 是 有 执 行 的 权 限 的 ， 但 是 通 过 上 文 我 们 可 以 看 到 c m d . n 这 个 文 件 并 没 有 执 行 的 权 限 ， 这 可 能 是 黑 客 相 对 聪 明 的 地 方 ， 执 行 完 以 后 把 这 个 文 件 降 点 权 限 。 一 方 面 可 以 迷 惑 分 析 者 ， 另 一 方 面 不 会 被 其 他 黑 客 来 控 制 。 我 们 接 着 来 分 析 ， 既 然 黑 客 下 载 并 执 行 了   1 2 3   这 个 文 件 ， 那 么 在 系 统 中 肯 定 存 在 这 个 文 件 ， 我 们 来 查 找 一 下 ： 查 找 找 到 1 2 3 这 个 文 件 ， 在 根 目 录 中 ， 直 接 进 根 目 录 中 查 找 分 析 ， 发 现 除 了 1 2 3 这 个 文 件 ， 还 有   1   、 1 2 3 1 2 3 、         1 2 5 3 这 三 个 文 件 名 非 常 类 似 ， 但 是   1 2 3 这 个 文 件   c a t 不 了 ， 直 接 下 载 下 来 ， 丢 到 分 析 平 台 中 分 析 。 可 疑 文 件 通 过 杀 软 平 台 分 析 ， 基 本 上 判 定 该 文 档 存 在 病 毒 ：
杀 毒 分 析 情 况 同 样 ， 对 其 他 文 件 进 行 查 杀 ， 结 果 如 下 ： 运 行 进 程 分 析 对 1 0 月 1 7 号 这 段 时 间 上 传 的 文 件 进 行 导 出 分 析 ， 发 现 另 外 一 个 文 件     c o n f . n   ， 通 过 上 传 时 间 分 析 ， 其 也 是 1 0 月         1 7 日   1 点   2 5 分 上 传 上 去 的 。 在 这 段 时 间 上 传 有 两 个 文 件 ， 一 个 为 c m d . n ， 另 一 个 为   c o n f . n         ， 已 分 析   c m d . n 为 一 个 异 常 文 件 ， 那 么 我 们 推 断 c o n f . n 这 个 文 件 肯 定 也 为 恶 意 文 件 。
这 个 文 件 位 于 / u s r / b i n / b s d - p o r t / 目 录 下 ， 直 接 查 看 这 个 文 件 ， 发 现 文 件 做 过 特 殊 处 理 ， 无 法 直 接 查 看 。 直 接 g o o g l e   一 下 ， 看 是 否 有 相 关 资 料 ， 果 然 有 被 这 个 马 搞 过 的 案 例 。 至 此 ， 我 们 已 经 没 有 必 要 继 续 分 析 了 ， 基 本 上 可 以 判 定   c o n f . n         是 一 个 恶 意 文 件 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理