搜索

[13944] 2019-04-03_记一次入侵应急响应分析

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2019-04-03_记一次入侵应急响应分析 记 一 次 入 侵 应 急 响 应 分 析 原 创   T a o P r o   F r e e B u f   2 0 1 9 - 0 4 - 0 3 一 、 情 况 简 介 一 、 情 况 简 介 1 . 1 发 现 存 在 入 侵 发 现 存 在 入 侵 2 0 1 8 年 年 1 2 月 月 0 6 日 ， 我 司 日 ， 我 司 “ 云 悉 云 悉 ” 互 联 网 安 全 监 测 平 台 监 测 到 某 政 府 单 位 网 站 存 在 被 植 入 恶 意 链 接 。 我 司 互 联 网 安 全 监 测 平 台 监 测 到 某 政 府 单 位 网 站 存 在 被 植 入 恶 意 链 接 。 我 司 “ 捕 影 捕 影 ” 应 应 急 响 应 小 组 进 行 分 析 后 确 认 为 真 实 入 侵 事 件 后 ， 立 即 进 入 应 急 响 应 。 急 响 应 小 组 进 行 分 析 后 确 认 为 真 实 入 侵 事 件 后 ， 立 即 进 入 应 急 响 应 。 1 . 2 应 急 处 理 分 析 结 果 应 急 处 理 分 析 结 果 经 过 分 析 ， 判 断 此 次 事 件 为 黑 客 恶 意 攻 击 所 致 ， 通 过 日 志 分 析 等 ， 目 前 得 到 以 下 结 论 : 1 、 使 用 弱 口 令 登 录 后 台 修 改 网 站 S E O 信 息 为 博 彩 信 息 2 、 服 务 器 使 用 S N A T 技 术 导 致 源 I P 为 同 一 I P ， 无 法 溯 源 分 析 黑 客 I P 3 、 部 分 日 志 被 黑 客 清 除 ， 建 议 后 期 增 加 第 三 方 日 志 审 计 平 台 4 、 通 过 弱 口 令 登 录 管 理 后 台 ， 仅 增 加 博 彩 信 息 、 未 上 传 W e b s h e l l 二 、 入 侵 分 析 二 、 入 侵 分 析 2 . 1 入 侵 现 象 入 侵 现 象 2 0 1 8 年 1 2 月 0 6 日 ， 我 司 “ 云 悉 ” 互 联 网 安 全 监 测 平 台 监 测 到 该 用 户 W e b 服 务 器 被 植 入 博 彩 内 容 ， 具 体 如 下 ： 初 步 判 断 结 果 如 下 ： 网 站 被 入 侵 ， 植 入 博 彩 信 息 ， 属 于 黑 帽 S E O 手 法 ， 我 司 “ 捕 影 ” 应 急 响 应 小 组 立 即 协 助 用 户 进 行 入 侵 分 析 。
2 . 2 系 统 分 析 系 统 分 析 2 . 2 . 1   账 号 及 用 户 组 分 析 账 号 及 用 户 组 分 析 对 系 统 账 号 进 行 分 析 ， 目 前 发 现 系 统 存 在 以 下 账 号 ： A d m i n i s t r a o t r x c 2 0 1 8 、 g u e s t 2 3 4 用 户 ， g u e s t 2 3 4 用 户 被 禁 用 ， 其 中 管 理 员 组 用 户 为 a d m i n n i s t r a t o r x c 2 0 1 8 , 未 发 现 异 常 。 对 系 统 隐 藏 用 户 和 克 隆 用 户 进 行 分 析 ： 未 发 现 隐 藏 账 号 和 克 隆 账 号 后 门 。 2 . 2 . 2   进 程 及 资 源 分 析 进 程 及 资 源 分 析
未 发 现 系 统 高 资 源 进 程 ， 可 初 步 判 断 未 植 入 挖 矿 程 序 。 2 . 2 . 3   开 放 端 口 分 析 开 放 端 口 分 析 序 号 序 号 端 口 端 口 对 应 服 务 对 应 服 务 说 明 说 明 1 8 0 h t t p I I S W e b 应 用 服 务 2 1 3 5 R P C 病 毒 与 系 统 漏 洞 经 常 利 用 该 端 口 ， 建 议 关 闭 3 1 3 9 S a m b a 病 毒 与 系 统 漏 洞 经 常 利 用 该 端 口 ， 建 议 关 闭 4 4 4 5 C I F S 病 毒 与 系 统 漏 洞 经 常 利 用 该 端 口 ， 建 议 关 闭 5 1 4 3 4 S q l s e r v e r S q l s e r v e r 数 据 库 6 2 1 9 8 M X a g e n t . e x e M X a g e n t 7 2 3 8 3 M s m d s r v . e x e M i c r o s o f t   S Q L   S e r v e r   A n a l y s i s   S e r v i c e s 8 2 5 2 5 T i n a _ d a e m o n T i n a   d a e m o n 9 3 3 8 9 M s t s c . e x e W i n d o w s 远 程 桌 面 服 务 1 0 5 5 5 5 G 0 1 政 府 网 防 G 0 1 系 统 1 1 5 9 3 9 t e a m v i w e r T e a m v i w e r 1 2 1 0 0 0 0 Y u n d e t e c t S e r v i c e 百 度 云 管 家 ， 建 议 关 闭 1 3 3 7 7 7 7 I g d a g e n t . e x e 管 理 系 统 1 4 4 9 1 5 2 W n i n i t . e x e W i n d o w s 启 动 应 用 程 序 1 5 4 9 1 5 3   1 9 1 5 4   4 9 1 5 6 s v c h o s t W i n d o w s 服 务 主 进 程 1 6 4 9 1 5 5 l s a s s . e x e L o c a l   S e c u r i t y   A u t h o r i t y   P r o c e s s 1 7 4 9 1 6 6 S e r v i c e s . e x e 服 务 和 控 制 器 应 用 程 序 建 议 关 闭 1 3 5 、 1 3 9 、 4 4 5 、 1 0 0 0 0 等 端 口 ， 其 他 端 口 需 要 根 据 业 务 需 求 来 决 定 是 否 关 闭 。 2 . 2 . 3   其 他 分 析 其 他 分 析 对 该 服 务 器 的 连 接 、 安 装 软 件 、 关 键 配 置 文 件 、 启 动 项 分 析 ， 目 前 未 发 现 异 常 。
2 . 2 . 4   系 统 分 析 小 结 系 统 分 析 小 结 主 机 系 统 未 发 现 明 显 异 常 ， 建 议 关 闭 不 必 要 的 危 险 端 口 三 、 三 、 W E B 应 用 分 析 应 用 分 析 3 . 1   博 彩 页 面 分 析 博 彩 页 面 分 析 3 . 1 . 1   常 见 植 入 博 彩 方 法 与 原 理 常 见 植 入 博 彩 方 法 与 原 理 通 过 内 容 分 析 ， 发 现 此 次 黑 客 为 S E O 性 质 的 。 其 主 要 目 的 在 于 通 过 黑 帽 S E O 获 取 经 济 利 益 ， 一 般 情 况 下 ， 黑 客 植 入 博 彩 内 容 有 以 下 途 径 ： 1 、 前 端 劫 持 前 端 劫 持 一 般 都 是 在 网 站 的 相 应 页 面 中 插 入 J S 脚 本 ， 通 过 J S 来 进 行 跳 转 劫 持 。 也 有 发 现 黑 客 直 接 修 改 相 应 的 页 面 内 容 的 。 2 、 服 务 器 端 劫 持 服 务 器 端 劫 持 也 称 为 后 端 劫 持 ， 其 是 通 过 修 改 网 站 动 态 语 言 文 件 , 如 g l o b a l . a s a x 、 g l o b a l . a s a 、 c o n n . a s p 、 c o n n . p h p 这 种 文 件 。 这 些 文 件 是 动 态 脚 本 每 次 加 载 时 都 会 加 载 的 配 置 文 件 ， 如 访 问 x . p h p 时 会 加 载 c o n n . p h p 。 这 样 的 话 ， 只 需 要 修 改 这 些 全 局 的 动 态 脚 本 文 件 ( 如 g l o b a l . a s a x ) ， 访 问 所 有 的 a s p x 文 件 时 都 会 加 载 这 个 g l o b a l . a s a x 文 件 ， 可 以 达 到 全 局 劫 持 的 效 果 。 针 对 以 上 两 种 劫 持 技 术 ， 可 以 直 接 查 看 飞 鸟 前 期 的 技 术 分 析 ： h t t p : / / w w w . f r e e b u f . c o m / a r t i c l e s / w e b / 1 5 3 7 8 8 . h t m l 3 、 D N S 劫 持 D N S 劫 持 又 称 域 名 劫 持 ， 入 侵 者 通 过 社 工 或 弱 口 令 或 其 他 手 段 拿 到 被 入 侵 者 域 名 服 务 商 的 相 关 权 限 ， 修 改 D N S 指 向 ， 将 正 常 域 名 解 析 至 博 彩 网 站 或 色 情 网 站 。 细 腻 者 可 加 J S 代 码 判 断 访 问 者 是 否 为 百 度 谷 歌 等 机 器 人 爬 虫 ， 若 为 爬 虫 则 跳 转 至 博 彩 页 面 ， 正 常 访 问 则 跳 转 至 正 常 页 面 。 这 种 方 式 在 被 入 侵 者 服 务 器 中 无 任 何 入 侵 迹 象 ， 隐 蔽 性 高 ， 陷 入 思 维 误 区 时 难 以 被 发 现 。 3 . 1 . 2   博 彩 分 析 博 彩 分 析 ( 1 ) 前 端 劫 持 分 析 对 用 户 网 站 进 行 请 求 分 析 ， 未 发 现 可 疑 J S 请 求 。
对 网 站 页 面 源 码 进 行 分 析 ， 未 发 现 可 疑 代 码 。 ( 2 ) 后 端 分 析 进 入 后 台 页 面 可 发 现 网 站 S E O 信 息 篡 改 ， 其 对 应 后 端 文 件 为 G O L O B A L . A S P 文 件 ， 通 过 页 面 分 析 未 发 现 劫 持 ， 暗 链 等 情 况 ， 应 急 处 理 后 恢 复 正 常 。 确 定 黑 客 仅 利 用 后 台 配 置 添 加 博 彩 信 息 。 3 . 1 . 3   应 急 处 理 应 急 处 理 删 除 相 关 博 彩 信 息 ， 并 修 改 为 正 常 信 息 。
3 . 1 . 4   W e b s h e l l 分 分 析 析 利 用 D 盾 及 深 信 服 的 W e b s h e l l 查 杀 工 具 对 目 标 服 务 器 W e b 应 用 进 行 查 杀 ， 未 发 现 W e b s h e l l 四 、 日 志 分 析 四 、 日 志 分 析
分 析 网 站 后 台 日 志 ， 未 发 现 异 常 ， 但 推 测 日 志 记 录 已 被 黑 客 清 理 。 分 析 i i s 系 统 日 志 ， 发 现 2 0 1 8 年 1 2 月 6 日 日 志 数 据 量 明 显 异 常 ， 为 保 证 数 据 准 确 性 与 非 偶 然 性 ， 选 择 4 ， 5 ， 6 日 日 志 数 据 进 行 分 析 。 1 2 月 4 号 日 志 分 析   1 2 月 5 号 日 志 分 析 1 2   月 6 号 日 志 分 析   根 据 日 志 i p 分 析 结 果 ， 可 知 服 务 器 使 用 了 S N A T 源 地 址 转 换 ， 导 致 无 法 溯 源 黑 客 i p 。 （ 此 分 析 利 用 了 秋 式 日 志 分 析 工 具 ） 登 录 后 台 ， 模 拟 进 行 修 改 网 站 S E O 信 息 操 作 ， 抓 包 分 析 更 改 基 本 信 息 的 请 求 格 式 与 特 征
发 现 当 进 行 更 改 网 站 基 本 信 息 时 所 发 生 的 请 求 数 据 包 具 有 如 下 特 征 ： P O S T   / w h i r _ s y s t e m / m o d u l e / s e t t i n g / s e o s e t t i n g . a s p x ? t i m e = 5 1 9 H T T P / 1 . 1 1 、 以 P O S T 方 式 发 生 请 求 2 、 请 求 地 址 为 / w h i r _ s y s t e m / m o d u l e / s e t t i n g / s e o s e t t i n g . a s p x 3 、 请 求 时 所 附 带 的 参 数 为 t i m e = 根 据 以 上 几 条 特 征 ， 对 日 志 进 行 分 析 。 根 据 时 间 线 分 析 ， 我 司 人 员 于 1 2 月 6 日 晚 9 时 至 1 2 时 与 1 2 月 7 日 对 该 服 务 器 进 行 应 急 响 应 。 日 志 格 式 为 w 3 c 格 式 ， 采 用 G M T 时 间 ， 而 我 国 采 用 G M T + 8 时 间 ， 因 此 ， 1 2 月 7 日 与 1 2 月 6 日 1 4 点 - 1 6 点 间 日 志 所 执 行 的 操 作 为 我 司 人 员 应 急 响 应 操 作 。 我 司 云 悉 互 联 网 安 全 监 测 平 台 于 2 0 1 8 年 1 2 月 6 日 1 6 : 4 0 : 0 0 发 出 预 警 信 息 ， 在 此 时 间 之 前 ， 约 1 5 时 G M T 时 间 7 时 左 右 发 现 可 疑 请 求 。 对 照 网 站 后 台 操 作 日 志 可 发 现 ， 该 时 间 段 网 站 后 台 日 志 记 录 被 删 除 。 由 于 使 用 了 S N A T 技 术 ， 无 法 根 据 I P 进 行 关 联 分 析 ， 锁 定 入 侵 者 U A 进 行 分 析 入 侵 者 U A ：
发 现 入 侵 者 访 问 过 后 台 更 改 管 理 员 密 码 业 务 。 未 发 现 上 传 文 件 操 作 ， 及 尝 试 连 接 木 马 操 作 。 日 志 分 析 结 论 ： 1 、 黑 客 于 2 0 1 8 年 1 2 月 6 日 1 5 时 左 右 黑 入 客 户 服 务 器 并 修 改 网 站 基 本 配 置 信 息 为 博 彩 信 息 ， 并 将 后 台 操 作 日 志 删 除 ， 未 删 除 I I S 系 统 日 志 。 2 、 客 户 采 用 S N A T 技 术 ， 无 法 溯 源 黑 客 I P 。 3 、 系 统 日 志 分 析 未 发 现 异 常 。 五 、 分 析 总 结 五 、 分 析 总 结 通 过 以 上 的 分 析 ， 可 以 得 出 以 下 结 论 ： 序 号 序 号 分 析 内 容 分 析 内 容 存 在 问 题 存 在 问 题 1 W e b 1 、 后 台 管 理 员 账 号 为 弱 口 令 2 、 部 分 后 台 日 志 被 清 除   3 、 黑 客 于 2 0 1 8 年 1 2 月 6 日 1 5 时 左 右 利 用 弱 口 令 登 录 后 台 修 改 网 站 基 本 信 息 为 博 彩 信 息 。   |   |   2   | 系 统   |   采 用 S N A T 技 术 将 I P 转 换 为 同 一 I P ， 无 法 溯 源 黑 客 I P   |   |   3   |   端 口   |   端 口 开 放 过 多 ， 其 中 1 3 5 、 1 3 9 、 4 4 5 等 端 口 建 议 关 闭   |   |   4   |   W e b s h e l l   |   未 发 现 W e b s h e l l   |   |   5   |   博 彩 页 面   |   后 台 网 站 基 本 信 息 被 修 改 为 博 彩 信 息   | 注 1 ： 初 出 茅 庐 的 处 女 作 ， 第 一 次 进 行 实 战 入 侵 分 析 ， 有 很 多 地 方 分 析 的 不 到 位 不 全 面 ， 还 请 各 位 大 大 多 多 指 教 注 2 ： 本 次 分 析 中 用 到 的 工 具 有 D 盾 ， 深 信 服 w e b s h e l l s k i l l , 秋 式 日 志 分 析 工 具 ， 微 软 l o g p a r s e r * 本 文 作 者 ： 本 文 作 者 ： T a o P r o ， 本 文 属 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 M o z i l l a / 5 . 0 + ( W i n d o w s + N T + 1 0 . 0 ; + W i n 6 4 ; + x 6 4 ) + A p p l e W e b K i t / 5 3 7 . 3 6 + ( K H T M L , + l i k e + G e c k o ) + C h r o m e / 7 0 . 0 . 3 5 3 8 . 7 7 + S a f a r i / 5 3 7 . 3 6  
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理