搜索

[15153] 2020-03-20_记录并浅析一次服务器被黑事件

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2020-03-20_记录并浅析一次服务器被黑事件 记 录 并 浅 析 一 次 服 务 器 被 黑 事 件 原 创   c g f 9 9   F r e e B u f   2 0 2 0 - 0 3 - 2 0 0 x 1   基 本 情 况 基 本 情 况 偶 然 发 现 一 台 偶 然 发 现 一 台 w e b 服 务 器 很 怪 异 ， 其 网 站 页 面 上 增 加 了 一 堆 外 文 的 页 面 链 接 ， 点 击 一 篇 进 去 之 后 ， 内 容 如 下 图 服 务 器 很 怪 异 ， 其 网 站 页 面 上 增 加 了 一 堆 外 文 的 页 面 链 接 ， 点 击 一 篇 进 去 之 后 ， 内 容 如 下 图 所 示 ： 所 示 ：
该 网 站 是 中 文 网 站 ， 绝 不 可 能 存 在 上 述 的 页 面 内 容 ， 同 时 页 面 中 嵌 入 一 堆 的 J S 代 码 。 很 明 显 ， 该 网 站 已 经 被 黑 ， 未 避 免 遭 受 进 一 步 的 危 害 ， 紧 急 采 取 措 施 让 服 务 器 下 线 。 由 于 该 台 服 务 器 部 署 于 单 位 异 地 远 程 机 房 ， 下 线 后 无 法 直 接 对 服 务 器 进 行 分 析 ， 只 是 采 取 远 程 协 同 分 析 日 志 文 件 的 方 式 （ 拿 到 一 些 w e b 日 志 文 件 ， 以 及 一 些 异 常 P H P 文 档 ） ， 因 此 无 法 实 施 深 入 分 析 。 服 务 器 是 w i n d o w s 系 统 ， 使 用 A p a c h e 作 为 w e b 服 务 器 ， 网 站 基 于 P H P + W o r d P r e s s 开 发 。 服 务 器 基 本 情 况 ： 0 x 2   页 面 简 单 分 析 页 面 简 单 分 析 上 图 中 的 J S 代 码 如 下 表 所 示 ： 经 过 简 单 分 析 ， 很 明 显 上 表 中 的 这 段 代 码 应 该 是 攻 击 者 的 X S S 跨 站 漏 洞 利 用 代 码 ， 主 要 用 于 获 取 访 问 该 页 面 的 用 户 的 c o o k i e 信 息 ， 根 据 函 数 名 称 g e t C o o k i e 也 很 容 易 得 知 其 功 能 。 上 述 代 码 中 b a s e 6 4 加 密 部 分 解 密 后 后 内 容 如 下 ： 可 知 ， 攻 击 者 X S S 服 务 器 为 1 9 3 . 2 3 8 . 4 6 . 5 7 ， 地 址 查 询 如 下 图 所 示 ， 目 前 该 页 面 无 法 访 问 。 0 x 3   日 志 分 析 日 志 分 析
1 、 、 a c c e s s . l o g 日 志 日 志 分 析 该 日 志 ， 发 现 了 密 码 暴 力 猜 解 记 录 、 漏 洞 攻 击 历 史 记 录 、 w o r d p r e s s 登 陆 操 作 、 网 页 爬 虫 等 记 录 。 a )   大 量 暴 力 破 解 或 大 量 暴 力 破 解 或 D D O S 攻 击 报 文 攻 击 报 文 通 过 查 看 日 志 发 现 ， 每 天 有 大 量 的 I P 访 问 w o r d p r e s s 网 站 x m l r p c . p h p 文 件 。 利 用 P O S T 方 式 提 交 发 送 数 据 ， 由 于 日 志 中 无 法 看 到 P O S T 数 据 报 文 内 容 ， 猜 测 应 该 是 用 于 暴 力 密 码 穷 举 ； w o r d p r e s s 管 理 登 陆 接 口 做 了 防 暴 力 破 解 防 护 ， 利 用 x m l r p c . p h p 接 口 可 以 绕 过 上 述 登 陆 限 制 ， 可 以 通 过 p o s t 数 据 到 x m l r p c . p h p 进 行 密 码 破 解 尝 试 ， 该 行 为 也 导 致 服 务 器 资 源 损 耗 严 重 。 b )   大 量 漏 洞 攻 击 记 录 大 量 漏 洞 攻 击 记 录 日 志 中 同 样 发 现 大 量 的 漏 洞 攻 击 记 录 ， 尤 其 是 对 T h i n k P H P 5 远 程 代 码 执 行 漏 洞 的 利 用 尝 试 ， 说 明 恶 意 网 络 攻 击 行 为 很 频 繁 。 下 表 是 服 务 器 一 天 中 遭 受 漏 洞 攻 击 的 情 况 ： 提 取 恶 意 U R L 列 表 如 下 ： c )   W o r d p r e s s 登 陆 操 作 登 陆 操 作 从 a c c e s s . l o g   中 发 现 了 一 些 W o r d p r e s s 后 台 管 理 成 功 登 陆 的 操 作 ， 说 明 W o r d p r e s s 的 账 户 密 码 已 失 陷 ， 根 据 时 间 和 登 陆 I P 判 断 不 属 于 管 理 员 。 同 时 这 些 操 作 重 复 次 数 多 ， 且 发 生 操 作 的 I P 也 不 定 ， 因 此 怀 疑 本 台 服 务 器 的 攻 击 者 不 止 一 个 ， 可 能 是 遭 受 多 个 自 动 化 的 网 络 攻 击 行 动 所 致 。 d )   网 页 爬 虫 记 录 网 页 爬 虫 记 录 分 析 一 天 的 日 志 文 件 ， 从 中 发 现 了 如 下 的 爬 虫 信 息 ， 如 下 表 所 示 ， 其 中 S E M r u s h B o t 和 头 条 爬 虫 在 这 一 天 中 最 为 活 跃 。
S E M r u s h B o t M o z i l l a / 5 . 0   ( c o m p a t i b l e ;   S e m r u s h B o t / 6 ~ b l ; + h t t p : / / w w w . s e m r u s h . c o m / b o t . h t m l ) 百 度 爬 虫 M o z i l l a / 5 . 0   ( c o m p a t i b l e ;   B a i d u s p i d e r / 2 . 0 ;   + h t t p : / / w w w . b a i d u . c o m / s e a r c h / s p i d e r . h t m l ) 头 条 爬 虫 M o z i l l a / 5 . 0   ( L i n u x ;   A n d r o i d   5 . 0 )   A p p l e W e b K i t / 5 3 7 . 3 6   ( K H T M L ,   l i k e   G e c k o )   M o b i l e   S a f a r i / 5 3 7 . 3 6   ( c o m p a t i b l e ; B y t e s p i d e r ;   h t t p s : / / z h a n z h a n g . t o u t i a o . c o m / ) B i n g 爬 虫 M o z i l l a / 5 . 0   ( c o m p a t i b l e ;   b i n g b o t / 2 . 0 ;   + h t t p : / / w w w . b i n g . c o m / b i n g b o t . h t m ) 谷 歌 爬 虫 M o z i l l a / 5 . 0   ( L i n u x ;   A n d r o i d   6 . 0 . 1 ;   N e x u s   5 X   B u i l d / M M B 2 9 P )   A p p l e W e b K i t / 5 3 7 . 3 6   ( K H T M L ,   l i k e   G e c k o )   C h r o m e / 8 0 . 0 . 3 9 8 7 . 9 2   M o b i l e S a f a r i / 5 3 7 . 3 6   ( c o m p a t i b l e ;   G o o g l e b o t / 2 . 1 ;   + h t t p : / / w w w . g o o g l e . c o m / b o t . h t m l ) M o z 爬 虫 M o z i l l a / 5 . 0   ( c o m p a t i b l e ;   D o t B o t / 1 . 1 ;   h t t p : / / w w w . o p e n s i t e e x p l o r e r . o r g / d o t b o t ,   h e l p @ m o z . c o m ) 神 马 搜 索 M o z i l l a / 5 . 0   ( W i n d o w s   N T   6 . 1 ;   W i n 6 4 ;   x 6 4 )   A p p l e W e b K i t / 5 3 7 . 3 6   ( K H T M L ,   l i k e   G e c k o )   C h r o m e / 6 9 . 0 . 3 4 9 7 . 8 1   Y i s o u S p i d e r / 5 . 0   S a f a r i / 5 3 7 . 3 6 对 于 网 站 运 营 者 来 说 ， 发 现 网 站 被 黑 后 采 取 措 施 对 被 黑 服 务 器 系 统 进 行 清 理 。 但 是 其 实 由 于 “ 搜 索 引 擎 爬 虫 ” 的 不 辞 辛 劳 的 卖 力 干 活 ， 其 实 网 站 被 黑 的 页 面 已 被 爬 取 并 留 存 证 据 。 2 、 、 e r r o r . l o g 日 志 日 志 查 看 e r r o r . l o g 发 现 了 一 些 问 题 ， 比 如 大 批 量 的 错 误 提 示 在 一 堆 怪 异 英 文 名 字 命 名 的 P H P 文 件 中 “ 找 不 到 “ c h e c k _ i s _ b o t . p h p ” 文 件 ， 最 早 出 现 的 提 示 是 2 0 1 8 年 1 月 2 0 日 ， 说 明 服 务 器 早 在 2 年 前 就 已 经 被 黑 ， 如 下 表 ： 于 是 ， 跑 到 C : p h p S t u d y W W W w o r d p r e s s 2 w p - c o n t e n t p l u g i n s a n y t h i n g - o r d e r - b y - t e r m s m o d u l e s ， 发 现 目 录 下 确 实 多 了 一 堆 怪 异 英 文 名 字 的 P H P 文 件 。 a n y t h i n g - o r d e r - b y - t e r m s 是 一 个 w o r d p r e s s 插 件 ， 通 过 该 插 件 ， 可 以 在 管 理 屏 幕 上 的 内 置 列 表 中 轻 松 拖 放 来 安 排 任 何 帖 子 类 型 和 术 语 。 （ 使 用 者 已 不 知 道 是 否 自 己 安 装 ） 改 名 下 总 共 有 4 3 0 多 个 P H P 文 件 以 及 几 十 个 p h p . s u s p e c t e d 文 件 ， 一 些 p h p 文 件 名 列 表 如 下 图 所 示 ： 同 时 ， 发 现 这 些 文 件 的 生 成 时 间 是 ： 2 0 1 8 年 1 月 1 2 日 1 5 ： 2 9 分 钟 。 于 是 到 往 前 追 溯 ， 发 现 1 月 1 2 日 1 3 ： 3 3 有 异 常 的 错 误 日 志 ， 关 联 到 4 0 4 . p h p
此 外 ， 在 这 些 目 录 下 面 ， 确 实 发 现 c h e c k _ i s _ b o t . p h p 相 关 的 文 件 ： c h e c k _ i s _ b o t . p h p . s u s p e c t e d ， 同 时 在 目 录 下 也 发 现 了 其 他 的 一 堆 以 p h p . s u s p e c t e d 结 尾 的 文 件 ， 如 下 图 所 示 ， 判 断 应 该 是 被 杀 毒 软 件 重 命 名 了 。 c h e c k _ i s _ b o t . p h p 的 文 件 内 容 如 下 ： 解 码 后 的 P H P 代 码 如 下 图 所 示 ： 打 开 任 意 一 个 怪 异 英 文 名 p h p 文 件 ， 发 现 其 实 是 一 个 h t m l 页 面 ， 其 中 每 个 页 面 首 部 都 添 加 了 一 段 P H P 代 码 ， 用 于 包 含 c h e c k _ i s _ b o t . p h p ， 并 且 执 行 一 段 j s 代 码 。 如 下 表 所 示 ： j s c s . m i n . j s 的 内 容 查 看 如 下 ： 简 单 分 析 代 码 ， 先 对 M 5 s 字 符 串 进 行 处 理 ， 处 理 的 代 码 如 下 ， 即 每 隔 2 个 字 节 经 过 p a r s e I n t 转 换 ， 再 转 换 成 字 符 串 ， 接 着 调 用 s e t T i m e o u t 执 行 。 0 x 4   小 结 小 结 本 次 分 析 只 是 简 单 记 录 服 务 器 被 黑 的 情 况 ， 由 于 网 站 本 身 对 外 提 供 服 务 功 能 有 限 ， 日 常 访 问 使 用 人 数 不 多 ， 导 致 运 营 者 基 本 没 有 维 护 管 理 ， 从 几 年 都 没 有 发 现 问 题 可 以 看 出 。 相 信 这 种 情 况 ， 很 多 单 位 都 存 在 ， 有 些 小 网 站 系 统 由 于 一 时 的 业 务 需 要 ， 利 用 开 源 框 架 架 设 完 毕 后 ， 功 能 能 用 就 放 着 不 管 了 ， 后 续 不 会 投 入 资 源 进 行 更 新 、 维 护 和 管 理 ， 甚 至 都
不 记 得 有 这 个 网 站 系 统 。 随 着 网 络 安 全 监 督 力 度 加 大 ， 这 些 容 易 被 忽 视 的 网 站 很 容 易 出 现 违 法 违 规 情 况 ， 如 果 遭 受 网 络 攻 击 后 造 成 不 良 影 响 ， 可 能 影 响 企 业 的 正 常 经 营 活 动 ， 建 议 必 须 投 入 资 源 关 注 ： 1 、 汇 总 摸 清 单 位 所 有 对 外 服 务 器 的 情 况 ； 2 、 明 确 各 个 服 务 器 使 用 和 管 理 责 任 部 门 和 人 员 ； 3 、 实 施 网 站 日 常 巡 查 制 度 ； 4 、 勤 更 新 升 级 补 丁 ； 5 、 限 制 网 站 后 台 管 理 ； 6 、 定 期 实 施 网 络 安 全 评 估 ； 7 、 投 入 资 源 建 设 、 升 级 网 站 安 全 防 护 软 硬 件 系 统 。 * 本 文 原 创 作 者 ： 本 文 原 创 作 者 ： c g f 9 9 ， 本 文 属 于 ， 本 文 属 于 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理