搜索

[13367] 2018-11-02_Linux应急故事之四两拨千斤：黑客一个小小玩法，如何看瞎双眼

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2018-11-02_Linux应急故事之四两拨千斤：黑客一个小小玩法，如何看瞎双眼 L i n u x 应 急 故 事 之 四 两 拨 千 斤 ： 黑 客 一 个 小 小 玩 法 ， 如 何 看 瞎 双 眼 千 里 目 安 全 实 验 室   F r e e B u f   2 0 1 8 - 1 1 - 0 2 前 言 前 言 某 日 ， 深 信 服 刘 同 学 ， 一 位 办 事 处 拥 有 多 年 应 急 经 验 的 老 手 ， 像 往 常 一 样 忙 碌 而 娴 熟 的 处 理 所 在 区 域 的 各 种 安 某 日 ， 深 信 服 刘 同 学 ， 一 位 办 事 处 拥 有 多 年 应 急 经 验 的 老 手 ， 像 往 常 一 样 忙 碌 而 娴 熟 的 处 理 所 在 区 域 的 各 种 安 全 应 急 事 件 。 突 然 ， 某 客 户 求 助 ， 称 深 信 服 的 安 全 感 知 产 品 检 测 到 了 异 常 威 胁 ， 需 要 协 助 分 析 处 置 。 全 应 急 事 件 。 突 然 ， 某 客 户 求 助 ， 称 深 信 服 的 安 全 感 知 产 品 检 测 到 了 异 常 威 胁 ， 需 要 协 助 分 析 处 置 。 0 x 0 1   刘 同 学 刘 同 学 刘 同 学 打 开 安 全 感 知 平 台 ， 找 到 对 应 主 机 ， 发 现 报 的 是 虚 拟 货 币 挖 矿 。 刘 同 学 会 心 一 笑 ， 挖 矿 检 测 有 近 乎 1 0 0 % 的 准 确 率 ， 抓 个 挖 矿 小 病 毒 ， 跟 日 常 打 怪 一 样 简 单 。 但 是 接 下 来 的 事 情 ， 突 破 了 刘 同 学 的 认 知 ， 差 点 看 瞎 他 的 双 眼 。 0 x 0 2   看 瞎 双 眼 看 瞎 双 眼 那 是 一 台 L i n u x 服 务 器 ， 刘 同 学 通 过 p s 命 令 就 轻 易 定 位 到 了 挖 矿 进 程 ， 但 是 接 下 来 的 事 情 并 不 轻 松 ， 他 尝 试 了 各 种 方 式 ， 始 终 无 法 找 到 挖 矿 进 程 对 应 的 文 件 。 这 种 不 合 常 理 的 现 象 ， 令 他 百 思 不 得 其 解 ， 甚 至 怀 疑 中 了 r o o t k i t 病 毒 ， 但 尝 试 r o o t k i t 扫 描 工 具 ， 仍 然 一 无 所 获 。 挖 矿 进 程 对 应 文 件 指 向 两 处 ， 一 处 是   / u s r / s b i n / a p a c h e   ， 一 处 是   / t m p / . I C E - u n i x / .   . / m   。 但 是 无 论 他 使 用 何 种 命 令 ， 甚 至 逐 一 检 查 了 r c . d 、 c r o n t a b 、 i n i t 下 面 的 各 种 启 动 项 ， 翻 遍 了 临 时 目 录 、 用 户 目 录 、 进 程 目 录 … … 花 费 了 很 多 时 间 ， 望 眼 欲 穿 ， 都 无 法 找 到 哪 怕 一 个 病 毒 文 件 。 c d 到 对 应 目 录 ， 使 用 l s   - a l 就 是 看 不 到 任 何 可 疑 文 件 ， 按 道 理 应 该 不 会 自 删 除 。
刘 同 学 向 总 部 请 求 协 助 的 时 候 ， 表 示 自 己 “ 已 经 瞎 了 ” ！ 0 x 0 3   柳 暗 花 明 柳 暗 花 明 总 部 E D R 安 全 团 队 接 到 这 个 协 助 请 求 的 时 候 ， 还 是 有 很 大 压 力 的 ， 同 时 也 联 合 了 安 全 感 知 的 安 全 专 家 参 与 分 析 。 刘 同 学 一 直 是 娴 熟 的 应 急 人 员 ， 能 让 他 “ 看 瞎 ” 的 ， 并 不 多 ， 可 能 水 比 较 深 。 总 部 安 全 专 家 远 程 接 入 后 ， 也 按 照 刘 同 学 提 供 的 信 息 ， 进 行 一 一 确 认 ， 同 样 也 没 有 找 到 有 效 信 息 。 接 下 来 ， 使 用 大 法 ， 直 接 把 挖 矿 进 程 的 内 存 d u m p 出 来 ， 观 察 其 关 键 字 符 串 。 使 用 s t r i n g s   - n   8 将 字 符 串 过 滤 出 来 ， 看 到 如 下 信 息 ：
这 引 起 了 我 们 的 警 觉 ， 总 感 觉 哪 里 不 对 。 我 们 重 新 再 c d 到 / t m p / . I C E - u n i x / ， 再 一 次 使 用 l s   - a l 查 看 该 目 录 下 面 所 有 文 件 。 停 在 这 里 （ 上 图 ） ， 大 概 盯 了 有 好 几 分 钟 时 间 ， 陷 入 了 沉 思 … … 突 然 ， 再 一 猛 看 ， 端 倪 就 出 来 了 ， 某 个 字 符 貌 似 不 对 。 仔 细 观 察 上 图 （ 后 期 特 意 放 大 了 几 倍 ） ， 倒 数 第 三 行 ， 貌 似 不 对 ， 它 的 两 个 点 “ 空 隙 ” 比 别 的 稍 微 “ 大 ” 了 那 么 一 丢 丢 （ 要 拿 尺 子 量 的 那 种 大 ， 目 测 毫 米 级 别 ）   。 真 实 远 程 界 面 ， 一 般 字 体 都 非 常 小 ， 上 面 是 正 常 的 画 面 （ 大 屏 小 字 体 ） ， 这 边 后 期 加 了 黑 色 背 景 来 体 现 差 异 。 所 以 ， 每 次 进 入 到 这 个 目 录 ， 刘 同 学 就 自 然 而 然 的 以 为 只 有 “ . ” 和 “ . . ” ， 殊 不 知 ， 还 有 一 个 “ .   . ” （ 这 里 面 的 两 个 点 之 间 是 有 一 个 空 格 的 ） 。
一 个 点 是 当 前 目 录 ， 两 个 点 是 上 级 目 录 ， 两 个 点 加 个 空 格 就 是 一 个 全 新 的 目 录 。 再 往 上 翻 ， d u m p 内 存 引 起 我 们 警 觉 的 那 一 行 ， 回 头 一 想 ， A S C I I 码 4 0 就 是 表 示 空 格 啊 ！ 0 x 0 4   样 本 剖 析 样 本 剖 析 要 进 入 那 个 吊 诡 的 文 件 夹 ， 还 不 能 直 接 c d   .   . ( 注 意 ， 这 两 点 之 间 有 空 格 ) ， 需 要 c d   “ .   . ” ， 即 加 一 个 双 引 号 ， 防 止 转 义 。 该 文 件 夹 下 一 共 有 1 0 个 文 件 ， 其 中 x 、 a 、 u 、 r 为 恶 意 脚 本 ， ? 、 b 、 c 、 d ， h 和 m 恶 意 可 执 行 文 件 。 执 行 流 程   x   - >   a   - >   u   - >   r   - >   h   （ 隐 藏   &   运 行   m   ）   - >   m   （ 挖 矿 ） ， 为 了 执 行 真 正 的 挖 矿 ， 绕 了 一 大 圈 。 入 口 脚 本 x   （ 以 下 所 有 # 标 注 的 汉 字 ， 均 为 我 们 后 期 备 注 说 明 ） 释 放 脚 本 a 清 除 脚 本 u
启 动 脚 本 r ， 如 下 图 ， 进 程 路 径 同 时 也 伪 装 成 了 / u s r / s b i n / a p a c h e ， 是 一 个 不 存 在 的 路 径 。 . / h 是 进 程 伪 装 工 具 X H i d e ， 网 上 有 开 源 代 码 ， 那 个 / u s r / s b i n / a p a c h e 路 径 就 是 X H i d e 伪 装 的 。 原 理 也 很 简 单 ， 调 用 e x e c v 创 建 目 标 进 程 。
挖 矿 病 毒 就 是 开 源 的 x m r i g ， 从 c o n f i g . j s o n 中 读 取 钱 包 地 址 后 开 始 挖 矿 。 为 了 做 隐 藏 ， 黑 客 做 了 一 些 小 技 巧 ， 一 个 是 利 用 肉 眼 视 觉 惯 性 和 疲 劳 ， 创 建 了 一 个 肉 眼 难 以 察 觉 的 目 录 ， 另 外 一 个 小 技 巧 ， 就 是 利 用 X h i d e 黑 客 工 具 伪 装 出 了 一 个 不 存 在 的 文 件 位 置 / u s r / s b i n / a p a c h e ， 放 了 一 个 烟 雾 弹 。 仔 细 想 想 ， 黑 客 做 的 这 些 小 技 巧 ， 确 实 蒙 蔽 了 大 多 数 的 人 ， 也 起 到 了 四 两 拨 千 斤 的 效 果 ！ 0 x 0 5   追 根 溯 源 追 根 溯 源 隐 藏 的 根 因 我 们 已 经 挖 到 了 ， 入 侵 根 因 呢 ？ 我 们 在 / v a r / l o g / s e c u r e 日 志 当 中 发 现 了 有 端 倪 的 现 象 ， 这 个 L i n u x 系 统 安 全 日 志 ， 记 录 用 户 和 工 作 组 变 化 情 况 、 用 户 登 陆 认 证 情 况 ， 其 有 大 量 认 证 失 败 的 日 志 。 源 地 址 为 X X 的 I P 大 量 尝 试 了 不 同 的 用 户 名 与 密 码 。 从 2 3 日 凌 晨 开 始 一 直 在 持 续 ， 用 户 名 是 按 照 字 符 排 序 进 行 尝 试 ， 于 凌 晨 X X 点 X X 分 X X 秒 时 刻 成 功 爆 破 。 0 x 0 6   回 首 总 结 回 首 总 结 这 里 ， 我 们 再 一 次 回 顾 这 个 事 件 。 有 一 点 ， 用 户 做 得 特 别 好 ， 就 是 及 时 关 注 了 深 信 服 安 全 感 知 平 台 的 安 全 事 件 ， 极 早 了 排 除 安 全 隐 患 。 挖 矿 病 毒 是 当 前 安 全 事 件 中 最 为 流 行 的 一 种 病 毒 ， 深 信 服 安 全 感 知 对 这 类 病 毒 有 近 乎 1 0 0 % 的 准 确 率 。 此 外 ， 建 议 用 户 对 L i n u x 主 机 进 行 安 全 基 线 的 加 固 ， 增 加 密 码 的 复 杂 度 与 帐 号 锁 定 策 略 。 这 里 还 有 一 点 ， 如 果 用 户 部 署 了 深 信 服 终 端 检 测 响 应 平 台 （ E D R ） ， 那 么 用 户 将 直 接 可 以 对 告 警 主 机 进 行 查 杀 ， 无 需 人 工 干 预 ， 即 可 做 到 快 速 处 置 。 对 于 肉 眼 难 以 发 现 的 空 格 隐 藏 问 题 ， 必 然 是 无 障 碍 清 理 的 ！ 再 也 不 用 担 心 “ 眼 瞎 ” 了 。
0 x 0 7   相 关 相 关 I O C B B D 8 0 7 B C C 2 5 9 6 F D 7 E E C 3 8 B F C B E D 9 F 5 A 5 6 0 1 0 3 B 3 D 5 F D 5 2 4 B B D A 4 6 8 2 E 5 B 0 C 6 5 6 0 E * 本 文 作 者 ： 千 里 目 安 全 实 验 室 ， 转 载 请 注 明 来 自 本 文 作 者 ： 千 里 目 安 全 实 验 室 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理