搜索

[15658] 2020-07-27_用户端设备ONU被肉鸡攻击实例浅析

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2020-07-27_用户端设备ONU被肉鸡攻击实例浅析 用 户 端 设 备 O N U 被 肉 鸡 攻 击 实 例 浅 析 原 创   沃 行 山 水 3 6 9   F r e e B u f   2 0 2 0 - 0 7 - 2 7 本 案 例 主 要 分 析 终 端 设 备 O N U 通 过 某 端 口 被 植 入 恶 意 程 序 ， 导 致 上 网 感 知 慢 、 测 速 不 达 标 、 被 强 推 广 告 等 的 异 常 上 网 现 象 。 通 过 网 络 报 文 和 设 备 l o g 打 印 信 息 帮 助 定 位 故 障 是 目 前 O N U 排 查 问 题 的 重 要 手 段 。 通 过 l o g 可 以 发 现 设 备 的 运 行 情 况 以 及 进 程 是 否 正 常 ， 通 过 网 络 报 文 可 以 判 断 网 络 协 议 是 否 运 行 正 常 ， 是 否 有 异 常 流 量 。 本 例 中 就 是 通 过 l o g 打 印 信 息 看 出 O N U 被 植 入 恶 意 程 序 ， 从 而 发 现 O N U   C P U 被 占 用 导 致 无 法 进 行 硬 件 加 速 ， 从 而 出 现 测 速 不 达 标 以 及 网 速 慢 等 现 象 。 一 、 案 例 描 述 一 、 案 例 描 述 1 、 对 问 题 网 络 拓 扑 进 行 查 看 和 简 单 分 析 、 对 问 题 网 络 拓 扑 进 行 查 看 和 简 单 分 析 图 1 为 基 本 网 络 拓 扑 及 简 单 分 析 2 、 原 因 分 析 、 主 要 关 键 行 为 措 施 、 原 因 分 析 、 主 要 关 键 行 为 措 施 经 对 问 题 O N U 进 行 分 析 ， 发 现 运 行 进 程 列 表 里 多 了 几 个 可 疑 程 序 ， 分 别 / b i n / i n i t _ m o n 、 / b i n / p r o t e c t 、   s s k 。
这 些 可 疑 程 序 无 法 k i l l 掉 ， 每 次 k i l l 掉 后 它 立 即 被 拉 起 。 对 系 统 程 序 启 动 脚 本 i n i t t a b 进 行 排 查 ， 发 现 有 添 加 / b i n / i n i t _ m o n 启 动 命 令 ， 命 令 被 设 置 成 r e s p a w n （ : : r e s p a w n 的 含 意 是 如 果 程 序 关 闭 ， 重 新 拉 起 ) 。 所 以 i n i t _ m o n 可 能 是 守 护 进 程 ， 其 它 进 程 可 以 由 其 拉 起 。 对 问 题 O N U 的 防 火 墙 规 则 进 行 检 查 ， 与 正 常 O N U 的 规 则 进 行 对 比 ， 发 现 问 题 O N U 被 添 加 了 特 殊 的 处 理 规 则 。
上 图 红 框 中 的 处 理 规 则 会 把 h t t p 协 议 报 文 劫 持 到 应 用 层 处 理 。 当 用 户 访 问 一 个 正 常 网 页 时 ， 上 述 规 则 会 导 致 正 常 上 网 数 据 经 由 可 疑 程 序 后 台 处 理 ， 在 用 户 的 设 备 上 出 现 异 常 的 网 页 跳 转 。 其 次 这 些 规 则 使 h t t p 数 据 不 再 走 O N U 设 备 的 硬 加 速 ， 转 由 设 备 的 C P U 进 行 处 理 。 当 有 大 量 的 h t t p 数 据 需 要 处 理 时 ， 设 备 就 会 出 现 C P U 占 用 率 过 高 ， 数 据 无 法 及 时 处 理 的 情 况 。 因 此 ， 基 于 h t t p 数 据 的 网 页 测 速 不 达 标 。 通 过 以 上 的 分 析 ， 可 以 确 认 设 备 已 被 植 入 木 马 。 实 地 现 常 挂 测 问 题 O N U 设 备 ， 抓 取 到 入 侵 过 程 报 文 ， 发 现 有 异 常 的 智 能 客 户 端 交 互 数 据 , 这 也 是 用 户 电 脑 被 强 制 弹 出 广 告 的 原 因 。 2 . 1 入 侵 过 程 分 析 挂 测 过 程 中 抓 到 了 入 侵 报 文 ， 远 端 通 过 O N U   W A N 侧 的 某 端 口 （ 该 端 口 主 要 是 维 护 人 员 使 用 A P P 调 试 O N U 使 用 ， 此 端 口 在 O N U 上 网 链 接 （ i n t e r n e t ） 为 路 由 模 式 时 会 在 w a n 侧 打 开 ， 桥 接 模 式 下 则 不 会 打 开 ） 完 成 了 入 侵 。 A P P 调 测 从 L A N 侧 连 接 每 台 O N U 需 输 入 唯 一 的 认 证 信 息 登 陆 ， 而 W A N 侧 没 有 做 这 个 认 证 。 具 体 过 程 如 下 ： 入 侵 端 访 问 O N U 的 W A N 侧 1 7 9 9 8 端 口 并 与 设 备 的 m o b i l e a p p 进 程 交 互 。 在 交 互 报 文 中 嵌 入 了 w g e t 命 令 下 载 ， 欺 骗 O N U 下 载 可 执 行 程 序 到 O N U 的 / t m p / m ， 并 赋 予 m 可 执 行 权 限 。 O N U 执 行 该 程 序 后 会 从 h t t p : / / 1 . 6 3 . X X . X X : 1 9 0 1 0 / t m p / s / f l a s h e r 下 载 另 一 段 可 执 行 程 序 运 行 。 2 . 2   入 侵 后 的 后 台 程 序 行 为 分 析 O N U 被 入 侵 后 ， 原 先 正 常 的 程 序 f t p 、 s a m b a 、 m o b i l e a p p 被 关 闭 ， 然 后 被 植 入 了 i n i t _ m o n 、 p r o t e c t 、 s s k 三 个 后 台 程 序 。 i n i t _ m o n 、 p r o t e c t 无 法 k i l l ， 伪 装 进 程 S S K 与 系 统 S S K 进 程 同 名 。 伪 装 的 S S K 进 程 运 行 时 会 与 境 外 的 I P 地 址 建 立 连 接 ， 但 连 接 都 是 加 密 的 无 法 获 取 具 体 的 交 互 的 内 容 。 伪 装 的 S S K 进 程 ：
故 障 O N U 启 动 时 向 国 外 的 D N S 服 务 器 请 求 地 址 ： O N U 访 问 g i t h u b 下 载 并 执 行 恶 意 程 序 ， 从 而 被 完 全 控 制 ， 成 为 肉 鸡 ， 对 黑 客 是 美 味 至 极 ， 对 自 己 却 是 后 患 无 穷 。 3 . 解 决 方 案 解 决 方 案 （ 1 ） 在 端 口 处 进 行 封 堵 T C P 1 7 9 9 8 ， 阻 止 恶 意 程 序 的 进 一 步 扩 散 以 及 破 坏 。 （ 2 ）   在 条 件 允 许 下 ， 可 进 一 步 对 恶 意 程 序 进 行 溯 源 ， 对 攻 击 源 头 进 行 定 位 ， 才 能 进 一 步 分 析 和 解 决 问 题 。 （ 3 ） 对 于 O N U 进 行 安 全 （ 防 火 墙 ） 策 略 加 固 。
二 、 分 析 总 结 二 、 分 析 总 结 起 于 安 全 ， 不 止 于 安 全 。 信 息 网 络 发 展 和 应 用 不 断 深 入 ， 为 经 济 社 会 带 来 进 步 机 遇 的 同 时 也 带 来 了 风 险 挑 战 。 网 络 安 全 威 胁 日 益 突 出 ， 以 隐 蔽 化 、 多 样 化 、 复 杂 化 的 形 态 挑 战 着 网 络 空 间 秩 序 和 公 私 利 益 。 当 今 宽 带 O N U 终 端 设 备 （ 光 猫 ） 在 运 行 过 程 中 容 易 受 到 网 络 数 据 的 干 扰 以 及 恶 意 程 序 的 攻 击 而 导 致 安 全 问 题 。 为 保 证 业 务 的 正 常 接 入 及 设 备 的 稳 定 运 行 ， 应 关 注 在 网 设 备 相 关 安 全 防 护 参 数 的 设 置 。 分 析 O N U 打 印 信 息 和 网 络 报 文 是 帮 助 定 位 故 障 的 重 要 手 段 之 一 。 通 过 打 印 信 息 可 以 看 出 设 备 存 在 哪 些 问 题 ， 如 业 务 盘 报 错 、 O N U 反 复 注 册 、 数 据 配 置 错 误 以 及 安 全 问 题 漏 洞 等 等 。 本 例 中 就 是 通 过 打 印 信 息 和 网 络 报 文 发 现 O N U 内 部 木 马 进 程 以 及 网 络 协 议 异 常 ， 从 而 发 现 用 户 O N U 被 恶 意 程 序 侵 入 成 为 肉 鸡 ， 导 致 出 现 上 网 异 常 现 象 。 细 思 俱 恐 ， 网 络 安 全 就 是 国 家 安 全 ， 网 络 安 全 为 人 民 。 网 络 安 全 靠 人 民 ！ 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理