搜索

[18284] 2021-02-10_一次服务器被黑的全过程排查和思考

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2021-02-10_一次服务器被黑的全过程排查和思考 一 次 服 务 器 被 黑 的 全 过 程 排 查 和 思 考 H A C K 之 道   2 0 2 1 - 0 2 - 1 0 以 下 文 章 来 源 于 H e l l o C o d e r   ， 作 者 H a C 前 一 阵 子 腾 讯 云 搞 活 动 ， 哈 C 我 买 了 个 轻 量 级 的 服 务 器 ， 部 署 了 自 己 的 网 站 。 一 切 都 井 然 有 条 的 进 行 中 。 直 到 某 天 清 晨 ， 我 一 如 既 往 的 打 开 我 的 网 站 ， 发 现 网 站 竟 然 打 不 开 了 。 于 是 我 进 行 了 一 系 列 的 排 查 。 1 、 排 查 日 志 、 排 查 日 志 第 一 时 间 想 到 的 就 是 登 录 服 务 器 ， 查 看 异 常 登 录 的 日 志 。 好 家 伙 ， 我 发 现 服 务 器 竟 然 无 法 登 录 了 ！ 1 ） ） V N C 登 录 服 务 器 登 录 服 务 器 H e l l o C o d e r   . 让 技 术 ， 化 繁 为 简 。
第 一 时 间 想 到 的 应 该 是 密 码 登 录 密 码 登 录 被 禁 用 了 。 于 是 我 在 腾 讯 云 后 台 使 用 V N C 登 录 。 无 法 通 过 客 户 端 S S H 远 程 登 录 时 ， 可 以 通 过 V N C 登 录 来 登 录 服 务 器 . 2 ） 查 看 ） 查 看 s s h d _ c o n f i g 文 件 文 件 查 看 了 文 件 后 ， 发 现 果 然 是 被 修 改 了 ： P a s s w o r d A u t h e n t i c a t i o n   n o   # 表 示 不 允 许 密 码 登 录 禁 用 了 密 码 登 录 ， 那 应 该 就 是 用 被 使 用 私 钥 登 录 了 。 先 改 成 y e s ， 然 后 重 启 s s h d 3 ） 使 用 终 端 重 新 登 录 ） 使 用 终 端 重 新 登 录 修 改 完 之 后 ， 再 本 地 使 用 终 端 工 具 重 新 登 录 ， 因 为 V N C 登 录 工 具 实 在 太 难 用 了 。 发 现 可 以 登 录 了 。 / e t c / s s h / s s h d _ c o n f i g s y s t e m c t l   r e s t a r t   s s h d
查 看 文 件 好 家 伙 ， 不 讲 码 德 ！ 给 我 的 服 务 器 加 了 秘 钥 对 ： 4 ） 查 看 登 录 日 志 ） 查 看 登 录 日 志 使 用   l a s t   和   h i s t o r y   命 令   查 看 一 下 登 录 日 志 和 操 作 日 志 a u t h o r i z e d _ k e y s   v i   / r o o t / . s s h / a u t h o r i z e d _ k e y s
l a s t   # 查 看 所 有 登 录 的 i p h i s t o r y     # 查 看 操 作 的 命 令 记 录 发 现 并 没 有 异 常 的 I P ， 这 倒 是 不 奇 怪 ， 假 如 真 的 被 登 录 了 ， 登 录 日 志 被 删 除 的 可 能 性 也 是 很 大 的 。 再 用   l a s t b   命 令 查 看 一 下 : l a s t b   # 用 于 列 出 登 入 系 统 失 败 的 用 户 相 关 信 息 图 一
图 二 结 果 解 释 ： 以 上 结 果 表 示 ， 服 务 器 被 暴 力 撞 库 暴 力 撞 库 了 。 I P 应 该 是 通 过 代 理 的 ， 第 二 张 图 对 方 直 接 使 用 r o o t 作 为 用 户 名 不 断 的 去 撞 库 ， 看 来 是 找 对 了 用 户 名 ， 最 后 真 的 是 登 录 了 然 后 修 改 了 我 的 秘 钥 对 。 查 一 下 I P ： l a s t b 第 一 列 ： 用 户 名 第 二 列 ： 终 端 位 置 第 三 列 ： 登 录 i p 或 者 内 核 第 四 列 ： 开 始 时 间 第 五 列 ： 结 束 时 间 （ s t i l l   l o g i n   i n   还 未 退 出     d o w n   直 到 正 常 关 机   c r a s h   直 到 强 制 关 机 ） 第 六 列 ： 持 续 时 间
I P 是 国 外 的 ， 很 难 查 到 位 置 ， 也 有 可 能 是 代 理 I P 。 2 、 找 到 木 马 文 件 、 找 到 木 马 文 件 1 ） 使 用 ） 使 用 t o p 命 令 看 一 下 命 令 看 一 下 普 通 的 命 令 根 本 无 法 显 示 木 马 进 程 ， 看 起 来 像 是 很 正 常 的 样 子 ， 因 为 命 令 很 可 能 已 经 被 入 侵 者 修 改 ： 普 通 t o p 命 令 2 ） ） b u s y b o x   命 令 命 令 t o p t o p
运 行 可 以 看 到 隐 藏 的 占 用 C P U 的 进 程 ， 原 始 的 已 经 被 修 改 ， 不 能 显 示 病 毒 的 进 程 ， 必 须 在 中 执 行 下 载 腾 讯 云 给 的 排 查 工 具 ， 抓 到 了 木 马 文 件 ： b u s y b o x   t o p t o p b u s y b o x b u s y b o x [ r o o t @ V M - 8 - 8 - c e n t o s   ~ ] #   w g e t   h t t p s : / / t a o - 1 2 5 7 1 6 6 5 1 5 . c o s . a p - c h e n g d u . m y q c l o u d . c o m / b u s y b o x - - 2 0 2 0 - 1 2 - 1 4   1 5 : 1 2 : 5 9 - -     h t t p s : / / t a o - 1 2 5 7 1 6 6 5 1 5 . c o s . a p - c h e n g d u . m y q c l o u d . c o m / b u s y b o x R e s o l v i n g   t a o - 1 2 5 7 1 6 6 5 1 5 . c o s . a p - c h e n g d u . m y q c l o u d . c o m   ( t a o - 1 2 5 7 1 6 6 5 1 5 . c o s . a p - c h e n g d u . m y q c l o u d . c o m ) . . .   1 3 2 . 2 3 2 . 1 7 6 . 6 ,   1 3 2 . 2 3 2 . 1 7 6 . 7 ,   1 3 9 . 1 5 5 . 6 0 . 2 0 5 ,   . . . C o n n e c t i n g   t o   t a o - 1 2 5 7 1 6 6 5 1 5 . c o s . a p - c h e n g d u . m y q c l o u d . c o m   ( t a o - 1 2 5 7 1 6 6 5 1 5 . c o s . a p - c h e n g d u . m y q c l o u d . c o m ) | 1 3 2 . 2 3 2 . 1 7 6 . 6 | : 4 4 3 . . .   c o n n e c t e d . H T T P   r e q u e s t   s e n t ,   a w a i t i n g   r e s p o n s e . . .   2 0 0   O K L e n g t h :   1 0 0 1 1 1 2   ( 9 7 8 K )   [ a p p l i c a t i o n / o c t e t - s t r e a m ] S a v i n g   t o :   ‘ b u s y b o x . 1 ’ 1 0 0 % [ = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = > ]   1 , 0 0 1 , 1 1 2       1 . 3 6 M B / s       i n   0 . 7 s [ r o o t @ V M - 8 - 8 - c e n t o s   ~ ] #   c p   b u s y b o x   / u s r / b i n / [ r o o t @ V M - 8 - 8 - c e n t o s   ~ ] #   b u s y b o x   t o p - b a s h :   / u s r / b i n / b u s y b o x :   P e r m i s s i o n   d e n i e d [ r o o t @ V M - 8 - 8 - c e n t o s   ~ ] #   c d   / u s r / b i n / [ r o o t @ V M - 8 - 8 - c e n t o s   b i n ] #   c h m o d   7 7 7   / u s r / b i n / b u s y b o x [ r o o t @ V M - 8 - 8 - c e n t o s   ~ ] #   b u s y b o x   t o p
b u s y b o x   t o p 命 令 以 上 看 到 C P U 占 用 率 达 到 了 近 1 0 0 % ， 挖 矿 无 疑 了 。 最 后 和 腾 讯 云 的 技 术 一 起 排 查 了 大 半 天 ， 终 于 揪 出 了 以 下 几 个 木 马 文 件 ， 目 录 ： 最 后 锁 定 这 个 挖 矿 进 程 名 称 是 p a m d i c k s ， 接 下 来 把 木 马 进 程 杀 掉 ， 然 后 把 木 马 文 件 删 除 ， 应 该 就 可 以 了 。 如 果 不 输 入 全 称 ， 文 件 查 看 命 令 是 根 本 不 会 显 示 这 个 木 马 文 件 的 ： / t m p / . X 2 5 - u n i x / . r s y n c / c / t s m 6 4 / t m p / . X 2 5 - u n i x / . r s y n c / c / t s m 3 2 / t m p / . X 2 5 - u n i x / . r s y n c / a / k s w a p d 0 / u s r / b i n / s y s t e m d - n e t w o r k / u s r / b i n / k s w a p e d l s 、 l l 、 l s a t t r
无 法 显 示 木 马 文 件 ， 需 要 全 名 才 行 删 除 前 看 看 这 个 挖 矿 的 进 程 究 竟 是 啥 ： 这 个 p a m d i c k s 进 程 有 6 个 子 线 程 ： 最 后 追 踪 到 是 个 二 进 制 文 件 ， 触 及 到 知 识 范 围 了 ， 无 法 打 开 ， 就 直 接 删 除 吧 。 3 、 删 除 木 马 文 件 、 删 除 木 马 文 件 l s   - l h   / p r o c / 5 4 4 5 / f d   t o p   - H   - p   5 4 4 5
1 ） 修 改 ） 修 改 a u t h o r i z e d _ k e y s 先 把 文 件 的 公 钥 删 除 。 当 我 执 行 命 令 的 时 候 ， 入 侵 者 把 我 的 文 件 加 了 锁 ， 不 允 许 删 除 ， s o   s a d ： c h a t t r   + i   / e t c / a u t h o r i z e d _ k e y s         表 示 文 件 不 能 删 除 ， 不 能 更 改 ， 不 能 移 动 真 的 是 不 讲 码 德 ， 把 我 服 务 器 的 命 令 也 删 除 了 ， 服 务 器 被 黑 ， 删 服 务 器 被 黑 ， 删 命 令 是 常 见 的 操 作 命 令 是 常 见 的 操 作 。 果 真 找 不 到 c h a t t r 命 令 了 ： 只 能 手 动 把 装 回 来 ， 安 装 过 程 ： a u t h o r i z e d _ k e y s r m a u t h o r i z e d _ k e y s + i c h a t t r c h a t t r c h a t t r c e n t o s y u m   i n s t a l l   e 2 f s p r o g s
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理