搜索

[13288] 2018-10-11_记一次安全应急响应中遇到的利用SSH日志触发的后门分析

文档创建者：s7ckTeam
浏览次数：45
最后更新：2025-01-18
2018-10-11_记一次安全应急响应中遇到的利用SSH日志触发的后门分析 记 一 次 安 全 应 急 响 应 中 遇 到 的 利 用 S S H 日 志 触 发 的 后 门 分 析 F o r r e s t X 3 8 6   F r e e B u f   2 0 1 8 - 1 0 - 1 1 * 本 文 作 者 ： F o r r e s t X 3 8 6 ， 本 文 属   F r e e B u f   原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 。 前 言 前 言 前 段 时 间 ， 在 一 次 安 全 应 急 响 应 案 例 中 遇 到 一 个 利 用 前 段 时 间 ， 在 一 次 安 全 应 急 响 应 案 例 中 遇 到 一 个 利 用 s s h   日 志 作 为 触 发 点 的 后 门 ， 觉 得 有 意 思 ， 写 下 来 ， 分 享 日 志 作 为 触 发 点 的 后 门 ， 觉 得 有 意 思 ， 写 下 来 ， 分 享 一 下 ， 欢 迎 各 位 大 佬 的 拍 砖 与 讨 论 。 一 下 ， 欢 迎 各 位 大 佬 的 拍 砖 与 讨 论 。 案 例 分 析 案 例 分 析 据 客 户 反 映 ， 其 最 近 发 现 s s h 的 登 录 日 志 中 有 很 多 失 败 的 登 录 尝 试 ， 形 如 ： 如 上 图 ， 这 些 失 败 的 登 录 用 户 名 都 很 奇 怪 ， 都 是 以 L E G O 开 头 的 后 面 加 上 一 串 随 机 字 符 。 感 觉 有 点 奇 怪 ， 要 是 S S H   暴 力 猜 解 攻 击 的 话 ， 不 应 该 用 这 样 的 用 户 名 啊 。 而 且 隔 断 时 间 就 会 有 同 样 的 失 败 登 录 尝 试 ， 每 次 就 一 次 ， 这 也 不 像 是 暴 力 猜 解 啊 ， 有 点 费 解 。 在 客 户 授 权 登 录 的 情 况 下 ， 去 服 务 器 看 了 下 ： 从 干 净 的 系 统 上 提 取 了 p s 、 l s o f 等 工 具 ， 先 后 排 查 了 是 否 有 p a m   库 后 门 、 p a m 配 置 文 件 后 门 、 s s h d 后 门 ， r s y s l o g   配 置 文 件 后 门 ， 均 无 果 ， 后 又 检 查 定 时 任 务 也 没 有 问 题 ； 利 用 p s   、 t o p 等 工 具 查 看 进 程 信 息 也 没 有 异 常 ， 还 真 是 有 点 意 思 。 再 检 查 下 动 态 库 有 木 有 被 劫 持 了 吧 ， 一 查 果 然 有 问 题 ： 先 去 掉 这 个 环 境 变 量 试 下 ， 发 现 了 异 常 进 程 ： 后 又 跟 客 户 确 认 ， 没 有 用 到 这 个 L D _ P R E L O A D 环 境 变 量 ， 基 本 可 以 确 认 是 攻 击 者 增 加 的 用 于 隐 藏 进 程 的 动 态 库 。 利 用 l s o f   查 一 下 进 程 有 木 有 关 联 相 关 文 件 ：
进 一 步 确 认 1 7 7 a 就 是 p e r l ： 再 去 查 下 / t m p / 1 7 7 f   这 个 文 件 ： 怎 么 这 么 面 熟 ， 这 不 就 是 / v a r / l o g / s e c u r e 的 内 容 吗 ? 对 比 下 两 个 文 件 的 i n o d e   i d ， 发 现 是 一 致 的 ， 原 来 / t m p / 1 7 7 f   指 向 的 就 是 / v a r / l o g / s e c u r e 文 件 ： 再 去 看 下 p r o c 下 1 1 7 5 1 8 这 个 可 疑 进 程 的 f d 信 息 ， 发 现 标 准 输 入 被 重 定 向 到 / t m p / 1 7 7 f   也 就 是 / v a r / l o g / s e c u r e 这 个 文 件 ： 至 此 基 本 弄 清 了 可 疑 进 程 执 行 如 下 命 令 ： 这 里 的 L E G O 是 个 匹 配 字 符 串 ， $ 1 指 的 是 L E G O 后 面 匹 配 到 的 字 符 ， 也 即 ( w + ) 匹 配 到 的 字 符 ， 大 致 意 思 就 是 从 / v a r / l o g / s e c u r e   读 取 每 一 行 的 内 容 ， 然 后 匹 配 到 L E G O 后 面 的 字 符 串 ， 然 后 执 行 p a c k   函 数 返 回 的 结 果 。 看 来 ， / v a r / l o g / s e c u r e / l o g 中   形 如 L E G O 6 9 6 4   的 登 录 账 户 名 都 是 p a y l o a d （ 后 又 提 取 / v a r / l o g / s e c u r e / l o g /   中 形 如 L E G O * 的 登 录 名 ， u n p a c k 之 后 ， 发 现 是 个 反 弹 s h e l l ， 因 隐 私 问 题 ， 这 里 就 不 发 表 了 ） 。
这 里 可 以 确 定 ， 这 是 个 后 门 了 ， 利 用 s s h   登 录 日 志 作 为 后 门 触 发 点 ， 攻 击 者 每 一 次 使 用 特 定 的 账 户 名 登 录 就 会 触 发 后 门 获 取 反 弹 s h e l l 。 后 面 接 着 排 查 发 现 ， 这 次 入 侵 是 因 为 r e d i s 未 授 权   端 口 开 放 导 致 的 （ r e d i s   是 以 r o o t 运 行 的 ， 也 是 没 谁 了 。 。 ） 总 结 总 结 攻 击 者 有 点 粗 心 了 ， 可 能 是 忘 记 删 除 / v a r / l o g / s e c u r e   中 的 登 录 痕 迹 了 ， 要 不 然 会 更 晚 才 能 发 现 异 常 ， 排 查 也 许 会 绕 些 弯 子 。 笔 者 这 次 分 享 在 大 佬 们 眼 中 可 能 略 显 简 单 ， 不 过 对 我 来 说 ， 确 学 到 了 不 少 东 西 ， 也 希 望 更 多 的 人 分 享 自 己 的 响 应 经 历 ， 希 望 大 佬 们 分 享 更 牛 逼 的 响 应 经 历 * 本 文 作 者 ： F o r r e s t X 3 8 6 ， 本 文 属   F r e e B u f   原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理