搜索

[16437] 2021-02-13_蓝队应急响应之“雄鸡夜鸣”

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2021-02-13_蓝队应急响应之“雄鸡夜鸣” 蓝 队 应 急 响 应 之 “ 雄 鸡 夜 鸣 ” 队 员 编 号 0 4 4   F r e e B u f   2 0 2 1 - 0 2 - 1 3 一 、 一 、   背 景 介 绍 背 景 介 绍 简 单 自 我 介 绍 一 下 ， 我 是 一 个 安 全 工 程 师 ， 也 是 一 个 人 的 “ 安 全 部 ” 。 一 个 周 五 的 晚 上 ， 我 正 在 和 小 伙 伴 们 在 游 戏 中 厮 杀 ， 还 沉 浸 在 躺 赢 快 乐 中 的 我 突 然 接 到 紧 急 短 信 。
因 为 我 重 置 过 短 信 告 警 条 件 ， 只 有 行 为 出 现 漏 洞 扫 描 、 入 侵 警 告 的 达 到 触 发 值 ， 才 允 许 发 送 短 信 。 所 以 我 们 接 到 短 信 后 要 立 即 回 公 司 处 理 。 二 、 二 、   评 估 评 估 登 录 态 势 感 知 平 台 ， 一 台 服 务 器 在 疯 狂 发 包 ， 对 内 网 主 机 发 起 扫 描 。 直 觉 告 诉 我 ， 这 种 扫 描 行 为 与 正 常 业 务 请 求 无 关 ， 因 为 这 个 时 间 没 有 业 务 提 交 过 排 期 ， 所 以 很 可 能 该 已 失 陷 。 时 间 已 入 深 夜 ， 我 匆 忙 的 叫 上 运 维 同 学 来 到 公 司 定 位 失 陷 所 关 联 的 主 机 。 可 是 奇 怪 的 是 这 个 经 过 第 一 眼 的 推 测 应 该 属 于 区 域 ， 因 为 这 个 区 域 的 地 址 段 是 ， 为 了 更 精 准 又 去 找 的 小 伙 伴 一 起 确 认 。 经 过 最 终 确 认 运 维 同 学 的 记 录 中 却 并 没 有 这 个 的 记 录 。 这 给 我 们 排 查 添 了 大 的 麻 烦 ， 只 能 让 运 维 同 学 找 业 务 同 学 一 起 排 查 这 个 地 址 的 归 属 。 此 时 的 我 们 是 又 累 又 困 的 。 排 查 陷 入 了 僵 局 ， 因 为 从 资 产 管 理 档 案 中 ， 无 法 寻 找 到 该 主 机 的 相 关 人 员 的 登 记 历 史 记 录 。 所 以 只 能 回 到 态 势 感 知 系 统 上 翻 一 翻 态 势 感 知 的 信 息 。 通 过 关 联 攻 击 I P 行 为 ， 发 现 该 地 址 存 在 对 线 上 的 一 台 暴 力 破 解 。 做 信 息 安 全 的 我 第 一 时 间 猜 想 ， 是 不 是 和 这 台 服 务 器 上 的 业 务 有 所 关 联 ？ I P I P i p d m z * . 2 2 I P I P t o m c a t
叫 上 运 维 同 学 和 业 务 同 学 来 到 机 房 ， 由 运 维 同 事 进 入 服 务 器 系 统 检 查 。 首 先 检 查 一 下 日 志 ， 此 文 件 默 认 存 放 目 录 中 。 从 上 述 记 录 可 以 看 到 ， 有 用 户 在 试 图 猜 测 口 令 ， 时 间 分 别 在 某 年 某 月 某 日 凌 晨 ， 地 址 来 源 分 别 是 。 检 查 端 口 ， 的 信 息 也 存 在 猜 测 口 令 记 录 。 t o m c a t t o m c a t [ t o m c a t   h o m e ] l o g s t o m c a t 0 1 ： 2 7 I P * . * . * . 1 2 1 2 2
经 过 初 步 判 断 ， 内 网 机 器 疑 似 遭 受 黑 客 入 侵 。 攻 击 者 入 侵 后 扫 描 了 内 网 弱 口 令 进 行 横 向 移 动 的 尝 试 ， 从 图 中 的 暴 力 破 解 可 以 感 知 到 。 这 个 地 址 不 属 于 服 务 器 范 围 。 我 询 问 同 在 旁 边 的 业 务 同 学 是 否 能 够 确 定 是 哪 个 在 使 用 这 一 个 ， 业 务 同 学 不 能 确 定 。 此 时 有 点 慌 ~ 因 为 出 现 了 类 似 的 “ 。 网 络 灵 异 ” 事 件 几 经 波 折 ， 终 于 在 运 维 和 业 务 同 学 的 配 合 下 定 位 到 这 台 机 器 。 原 来 是 一 个 外 包 项 目 组 用 的 服 务 器 。 随 后 辗 转 战 场 ， 我 们 在 机 房 里 找 到 了 这 台 主 机 。 这 台 是 由 外 包 项 目 组 实 施 项 目 的 时 候 临 时 搭 建 ， 并 未 迁 移 到 服 务 器 网 段 ， 所 以 没 有 记 录 在 我 们 的 资 产 表 中 。 由 于 外 包 人 员 不 规 范 的 操 作 ， 让 我 们 错 过 了 最 宝 贵 的 一 段 时 间 。 三 、 控 制 三 、 控 制 当 即 通 知 业 务 将 这 台 设 备 进 行 隔 离 ， 随 后 我 立 即 把 遇 到 的 情 况 和 处 理 结 果 通 过 邮 件 上 报 给 领 导 。 四 、 消 除 四 、 消 除 可 是 这 台 机 器 究 竟 出 什 么 问 题 了 呢 ？ 为 了 弄 清 楚 真 相 ， 我 们 决 定 对 这 台 系 统 进 行 取 证 分 析 。 检 查 进 程 检 查 进 程 i p I P j e n k i n s J e n k i n s j e n k i n s
先 用 命 令 查 看 系 统 进 程 列 表 ， 显 示 如 下 ： 只 有 3 个 系 统 进 程 正 在 运 行 ， 这 很 不 正 常 。 通 过 命 令 列 出 目 前 系 统 上 面 所 有 可 能 被 更 改 过 的 文 件 ， 如 、 、 等 命 令 已 经 被 替 换 。 因 为 此 前 有 过 类 似 文 件 被 篡 改 的 经 历 ， 不 想 历 史 重 演 ， 所 以 在 上 线 前 运 维 同 事 就 已 经 在 目 录 下 加 密 保 存 了 一 些 重 要 的 系 统 文 件 的 副 本 。 开 放 端 口 分 析 开 放 端 口 分 析 只 有 ， 端 口 对 外 开 放 ， 网 络 连 接 层 面 正 常 。 账 号 分 析 账 号 分 析 仅 有 一 个 用 户 具 有 r o o t 权 限 ， 未 被 注 入 超 级 权 限 。 可 登 录 用 户 可 登 录 用 户 只 有 两 个 用 户 可 以 使 用 S S H 方 式 进 行 登 录 ： 、 可 以 看 出 账 号 层 面 正 常 。 定 时 任 务 定 时 任 务 通 过 分 析 系 统 未 创 建 定 时 任 务 h o s t s   文 件 分 析 文 件 分 析 文 件 正 常 。 启 动 项 分 析 启 动 项 分 析 启 动 项 记 录 系 统 自 启 动 的 情 况 ， 若 攻 击 者 入 侵 植 入 木 马 或 者 后 门 ， 为 了 维 持 服 务 器 控 制 ， 会 在 启 动 项 中 发 现 他 的 蛛 丝 马 迹 。 启 动 项 无 异 常 。 历 史 命 令 分 析 t o p r p m   - V a t o p n e t s t a t p s h o m e n e t s t a t   – a n p 8 0 8 0 5 0 0 0 0 a w k   - F :   ' $ 3 = = 0 { p r i n t   $ 1 } '   / e t c / p a s s w d r o o t j e n k i n s c a t   / e t c / p a s s w d   | g r e p   – E   “ / b i n / b a s h & ” m o r e   / e t c / h o s t s h o s t s s y s t e m c t l   l i s t - u n i t - f i l e s   | g r e p   e n a b l e d
H i s t o r y 历 史 命 令 被 清 空 ， 等 程 序 被 替 换 攻 击 者 对 痕 迹 进 行 了 清 理 ， 对 系 统 排 查 似 乎 理 不 出 什 么 头 绪 。 我 决 定 换 一 个 思 路 ， 从 上 尝 试 突 破 。 从 日 志 排 查 。 J e n k i n s 日 志 日 志 异 常 文 件 异 常 文 件 日 志 信 息 正 常 ， 但 是 我 们 找 到 了 一 些 有 趣 的 文 件 。 通 过 分 析 这 些 文 件 ， 发 现 这 是 攻 击 者 的 使 用 的 横 向 移 动 脚 本 ， 通 过 这 些 脚 本 进 行 横 向 移 动 。 从 这 里 可 以 确 定 这 台 已 经 失 陷 。 t o p J e n k i n s J e n k i n s j e n k i n s
J e n k i n s 简 介 简 介 是 美 国 公 司 的 一 套 基 于 开 发 的 持 续 集 成 工 具 。 该 产 品 主 要 用 于 监 控 持 续 的 软 件 版 本 发 布 / 测 试 项 目 和 一 些 定 时 执 行 的 任 务 。 通 过 分 析 ， 系 统 使 用 ， 查 看 配 置 文 件 分 析 ， 发 现 其 版 本 为 。 通 过 G o o g l e 搜 索 响 应 漏 洞 ， 发 现 该 版 本 重 大 漏 洞 ， 可 利 用 ， 和 组 合 ， 拿 到 服 务 器 权 限 。 远 程 命 令 执 行 漏 洞 远 程 命 令 执 行 漏 洞 使 用 框 架 开 发 ， 其 允 许 用 户 通 过 来 调 用 一 次 方 法 。 由 于 这 个 过 程 没 有 做 限 制 ， 攻 击 者 可 以 构 造 一 些 特 殊 的 来 执 行 一 些 敏 感 的 方 法 。 通 过 这 个 漏 洞 ， 我 们 可 以 找 到 很 多 可 供 利 用 的 利 用 链 。 其 中 最 严 重 的 就 是 绕 过 导 致 未 授 权 用 户 可 执 行 任 意 命 令 ： 在 沙 盒 中 执 行 前 会 先 检 查 脚 本 是 否 有 错 误 ， 检 查 操 作 是 没 有 沙 盒 的 ， 攻 击 者 可 以 通 过 的 方 式 ， 在 检 查 这 个 步 骤 时 执 行 任 意 命 令 。 参 考 链 接 ： l o u d B e e s   J e n k i n s （ H u d s o n   L a b s ） C l o u d B e e s J a v a J e n k i n s c o n f i g . x m l J e n k i n s 2 . 1 3 8 C V E - 2 0 1 8 - 1 0 0 0 8 6 1 C V E - 2 0 1 9 - 1 0 0 3 0 0 5 C V E - 2 0 1 9 - 1 0 0 3 0 2 9 g e t s h e l l J e n k i n s （ （ C V E - 2 0 1 8 - 1 0 0 0 8 6 1 ） ） J e n k i n s S t a p l e r U R L   P A T H p u b l i c P A T H J a v a G r o o v y 沙 盒 J e n k i n s G r o o v y M e t a - P r o g r a m m i n g h t t p : / / b l o g . o r a n g e . t w / 2 0 1 9 / 0 1 / h a c k i n g - j e n k i n s - p a r t - 1 - p l a y - w i t h - d y n a m i c - r o u t i n g . h t m l
使 用 给 出 的 p o c ， 发 送 如 下 请 求 即 可 成 功 执 行 命 令 ： p o c 地 址 ： 迷 雾 重 重 迷 雾 重 重 到 现 在 为 止 已 经 可 以 确 定 这 台 机 器 被 入 侵 ， 因 为 从 态 势 感 知 上 关 联 的 攻 击 行 为 和 历 史 记 录 、 日 志 文 件 被 清 理 的 异 常 现 象 来 看 这 台 主 机 已 经 失 陷 。 但 是 是 内 网 的 系 统 ， 并 未 放 给 公 网 ， 攻 击 者 通 过 什 么 途 径 入 侵 撕 开 到 内 网 的 入 口 呢 ？ 对 此 一 筹 莫 展 的 我 们 决 定 下 楼 抽 支 烟 顺 便 理 一 下 思 路 。 由 于 放 在 区 域 ， 最 有 可 能 的 攻 击 路 径 有 两 条 ： 通 过 钓 鱼 入 侵 ： 攻 击 者 已 经 拿 到 办 公 网 机 器 ， 入 侵 到 j e n k i n s 。 通 过 外 部 服 务 器 ： 攻 击 者 通 过 外 部 漏 洞 拿 到 应 用 服 务 器 权 限 ， 横 向 移 动 入 侵 到 j e n k i n s 。 云 开 雾 释 云 开 雾 释 当 即 我 们 兵 分 两 路 ， 对 邮 件 服 务 器 和 下 可 以 访 问 公 网 的 服 务 器 进 行 排 查 。 还 真 让 我 们 有 了 新 的 发 现 ， 发 现 一 台 服 务 器 存 在 反 连 外 部 恶 意 域 名 的 行 为 。 排 查 并 没 有 发 现 异 常 邮 件 ， 那 么 这 一 台 服 务 器 就 有 可 能 存 在 问 题 。 夜 尽 天 明 夜 尽 天 明 登 录 这 台 服 务 器 查 看 日 志 ， 发 现 尝 试 疑 似 木 马 后 门 上 传 ， 但 根 据 日 志 中 状 态 码 反 馈 ， 均 已 反 馈 失 败 ， 猜 测 这 台 服 务 器 可 能 已 经 被 攻 击 者 攻 破 。 随 后 我 们 对 这 台 机 器 进 行 溯 源 。 攻 击 源 统 计 如 下 ： 攻 击 者 上 传 木 马 失 败 日 志 h t t p : / / b l o g . o r a n g e . t w / 2 0 1 9 / 0 2 / a b u s i n g - m e t a - p r o g r a m m i n g - f o r - u n a u t h e n t i c a t e d - r c e . h t m l h t t p s : / / 0 x d f . g i t l a b . i o / 2 0 1 9 / 0 2 / 2 7 / p l a y i n g - w i t h - j e n k i n s - r c e - v u l n e r a b i l i t y . h t m l @ o r a n g e t w h t t p : / / * . * . * . 1 : 8 0 8 0 / s e c u r i t y R e a l m / u s e r / a d m i n / d e s c r i p t o r B y N a m e / o r g . j e n k i n s c i . p l u g i n s . s c r i p t s e c u r i t y . s a n d b o x . g r o o v y . S e c u r e G r o o v y S c r i p t / c h e c k S c r i p t ? s a n d b o x = t r u e & v a l u e = p u b l i c   c l a s s   x   {     p u b l i c   x ( ) {         " t o u c h   / t m p / t m p " . e x e c u t e ( )     } } [ h t t p s : / / g i t h u b . c o m / o r a n g e t w / a w e s o m e - j e n k i n s - r c e - 2 0 1 9 ] ( h t t p s : / / g i t h u b . c o m / o r a n g e t w / a w e s o m e - j e n k i n s - r c e - 2 0 1 9 ) j e n k i n s j e n k i n s d m z j e n k i n s l i n u x l i n u x l i n u x W e b 4 0 5 I P I P
攻 击 者 通 过 威 胁 情 报 反 馈 如 下 ： 读 取 访 问 日 志 ， 发 现 攻 击 者 尝 试 痕 迹 控 制 服 务 器 日 志 分 析 控 制 服 务 器 日 志 ， 发 现 利 用 反 序 列 化 漏 洞 经 常 出 现 的 几 个 异 常 类 类 I P w e b l o g i c w e b l o g i c w e b l o g i c . r j v m . t 3 . M u x a b l e S o c k e t T 3 . d i s p a t c h j a v a . i o . O b j e c t I n p u t S t r e a m . r e a d O b j e c t
反 序 列 化 缓 存 文 件 这 个 是 网 上 的 一 个 轮 子 ， 刚 好 入 侵 者 是 没 有 去 修 改 这 些 特 征 。 附 带 链 接 ： 网 络 反 序 列 化 文 件 通 过 检 测 控 制 服 务 器 发 现 漏 洞 。 定 位 到 的 黑 客 攻 击 路 径 为 ： e x p [ h t t p : / / p o l a r i s - l a b . c o m / i n d e x . p h p / a r c h i v e s / 9 8 / ] ( h t t p : / / p o l a r i s - l a b . c o m / i n d e x . p h p / a r c h i v e s / 9 8 / ) w e b l o g i c e x p w e b l o g i c C V E - 2 0 1 8 - 2 8 9 3
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理