设为首页收藏本站
切换到窄版

 找回密码
 立即注册
搜索
热搜: 活动 交友 discuz
Nmaps Club»论坛 › Pentests Wiki › Wiki › 数据库 › [25745] 2016-11-21_你的数据库已被锁死，发送5个比特币 ...
返回列表 发新帖
查看: 0|回复: 0

[25745] 2016-11-21_你的数据库已被锁死，发送5个比特币到这个地址！

[复制链接]
s7ckTeam

6万

主题

-6万

回帖

-58

积分

管理员

积分
-58
发表于 4 天前 | 显示全部楼层 |阅读模式
2016-11-21_你的数据库已被锁死，发送5个比特币到这个地址！ 你 的 数 据 库 已 被 锁 死 ， 发 送 5 个 比 特 币 到 这 个 地 址 ！ L i n u x 中 国   2 0 1 6 - 1 1 - 2 1 近 期 ， 比 特 币 勒 索 攻 击 卷 土 重 来 ， 有 用 户 在 登 录 O r a c l e 数 据 库 时 出 现 如 下 勒 索 警 告 信 息 ， 被 要 求 上 交 5 个 比 特 币 来 换 取 解 锁 数 据 库 的 服 务 。 安 华 金 和 数 据 库 攻 防 实 验 室 经 过 排 查 发 现 ， 原 来 是 有 人 在 C S D N 等 网 站 上 ， 故 意 散 播 携 带 勒 索 病 毒 的 P L   S Q L   D e v e l o p e r 软 件 程 序 ， 引 诱 下 载 从 而 发 起 勒 索 攻 击 。 勒 索 者 此 次 攻 击 的 目 标 人 群 是 数 据 库 管 理 人 员 （ D B A ） ， 而 P L   S Q L   D e v e l o p e r 软 件 几 乎 是 每 个 D B A 必 备 的 工 具 ， 同 时 ， C S D N 又 是 技 术 人 员 最 常 光 顾 的 网 站 之 一 ， 这 大 大 提 高 了 本 次 勒 索 攻 击 的 危 害 范 围 。 现 已 确 认 存 在 问 题 的 P L   S Q L   D e v e l o p e r 版 本 是 1 1 . 0 . 6 中 文 绿 色 注 册 版 （ 免 O r a c l e 1 1 g 客 户 端 ） 。 请 各 位 不 要 再 去 下 载 ， 并 检 查 自 己 是 否 使 用 过 这 个 名 字 的 P L   S Q L   D e v e l o p e r 。 全 面 解 析 攻 击 原 理 全 面 解 析 攻 击 原 理 我 们 发 现 ， 存 在 问 题 的 P L   S Q L   D e v e l o p e r 解 压 后 主 目 录 的 A f t e r C o n n e c t . S Q L 文 件 存 在 异 常 。 官 方 的 P L   S Q L   D e v e l o p e r 下 A f t e r C o n n e c t . S Q L 是 空 文 件 ， 而 异 常 的 A f t e r C o n n e c t . S Q L 中 存 在 恶 意 存 储 过 程 和 触 发 器 总 共 3 5 K B 左 右 。 打 开 文 件 后 可 以 看 到 包 含 4 个 存 储 过 程 和 3 个 触 发 器 。 存 储 过 程 分 别 是 ： D B M S _ S U P P O R T _ I N T E R N A L D B M S _ S Y S T E M _ I N T E R N A L D B M S _ S T A N D A R D _ F U N 9 D B M S _ C O R E _ I N T E R N A L 触 发 器 则 是 ： 数 据 库 启 动 后 触 发 器 数 据 库 启 动 后 触 发 器 D B M S _ S U P P O R T _ I N T E R N A L
数 据 库 登 陆 触 发 器 数 据 库 登 陆 触 发 器 D B M S _ S Y S T E M _ I N T E R N A L 和 和 D B M S _ C O R E _ I N T E R N A L 直 接 打 开 A f t e r C o n n e c t . S Q L 显 示 一 串 乱 码 和 3 个 触 发 器 ， 但 严 格 讲 这 并 不 是 乱 码 ， 而 是 按 照 O r a c l e   w r a p 加 密 后 的 结 果 。 O r a c l e 数 据 库 内 置 了 w r a p 对 应 的 解 密 算 法 。 勒 索 者 虽 然 是 以 密 文 形 式 传 入 数 据 库 保 存 为 存 储 过 程 ， 但 在 执 行 过 程 中 o r a c l e 数 据 库 会 自 动 把 它 转 回 明 文 执 行 。 上 面 A f t e r C o n n e c t . S Q L 文 件 中 的 3 个 触 发 器 和 4 个 存 储 过 程 都 会 在 P L   S Q L   D e v e l o p e r 连 接 数 据 库 的 过 程 中 ， 被 当 前 用 户 创 建 在 数 据 库 服 务 器 中 。 这 三 个 触 发 器 可 以 在 数 据 库 启 动 后 执 行 D B M S _ S U P P O R T _ I N T E R N A L ， 或 者 在 数 据 库 登 陆 后 执 行 D B M S _ S Y S T E M _ I N T E R N A L 或 D B M S _ C O R E _ I N T E R N A L 。 触 发 器 本 身 没 有 问 题 ， 问 题 出 在 这 三 个 主 要 的 存 储 过 程 上 。 在 我 们 发 现 的 样 本 中 ，   D B M S _ S Y S T E M _ I N T E R N A L 中 只 有 弹 窗 语 句 ， 并 未 发 现 明 显 修 改 数 据 库 的 语 句 ， 而 D B M S _ S U P P O R T _ I N T E R N A L 和 D B M S _ C O R E _ I N T E R N A L 这 两 个 存 储 过 程 中 均 有 明 显 的 修 改 数 据 库 行 为 。 所 以 D B M S _ S U P P O R T _ I N T E R N A L 和 D B M S _ C O R E _ I N T E R N A L 这 两 个 存 储 过 程 是 此 次 分 析 的 重 点 。 D B M S _ S U P P O R T _ I N T E R N A L 的 主 要 核 心 部 分 是 下 图 中 标 号 的 两 组 S Q L 。 第 第 1 条 条 S Q L 语 句 ： 语 句 ：   S E L E C T   N V L ( T O _ C H A R ( S Y S D A T E - C R E A T E D   ) , 0 )   I N T O   D A T E 1   F R O M   V $ D A T A B A S E ;   I F     语 句 含 义 ： 语 句 含 义 ： 根 据 创 建 数 据 库 时 间 和 当 前 时 间 差 值 做 决 定 ： 是 立 刻 入 侵 数 据 库 实 施 勒 索 ， 还 是 先 保 持 潜 伏 直 到 条 件 成 熟 再 爆 发 进 行 勒 索 。 判 断 条 件 为 数 据 库 实 例 创 建 时 间 距 今 是 否 满 足 1 2 0 0 天 ， 一 旦 满 足 并 重 启 数 据 库 实 例 则 执 行 第 2 条 S Q L 语 句 。
第 第 2 条 条 S Q L 语 语 句 ： 句 ： E X E C U T E   I M M E D I A T E   ' c r e a t e   t a b l e   O R A C H K ' | | S U B S T R ( S Y S _ G U I D , 1 0 ) | | '   t a b l e s p a c e   s y s t e m     a s   s e l e c t   *   f r o m   s y s . t a b $ ' ; D E L E T E   S Y S . T A B $   W H E R E D A T A O B J #   I N   ( S E L E C T   D A T A O B J #   F R O M   S Y S . O B J $   W H E R E   O W N E R #   N O T   I N   ( 0 , 3 8 ) )   ; 语 句 含 义 语 句 含 义 ： 勒 索 者 首 先 对 t a b $ 中 的 文 件 进 行 备 份 ， 然 后 再 删 除 t a b $ 表 中 的 部 分 内 容 清 理 数 据 库 的 备 份 文 件 后 ， 向 用 户 弹 窗 实 施 勒 索 。 存 储 过 程 D B M S _ C O R E _ I N T E R N A L 和 D B M S _ S U P P O R T _ I N T E R N A L 采 用 了 不 同 的 思 路 ， 核 心 部 分 为 下 图 中 标 号 的 地 方 。 第 第 1 条 语 句 条 语 句 ： S E L E C T   N V L ( T O _ C H A R ( S Y S D A T E - M I N ( L A S T _ A N A L Y Z E D ) ) , 0 )   I N T O   D A T E 1   F R O M   A L L _ T A B L E S   W H E R E   T A B L E S P A C E _ N A M E   N O T   I N ( ' S Y S T E M ' , ' S Y S A U X ' , ' E X A M P L E ' ) ; I F   ( D A T E 1 > = 1 2 0 0 )   T H E N 语 句 含 义 语 句 含 义 ： 根 据 表 空 间 中 表 的 最 小 统 计 信 息 收 集 时 间 和 当 前 时 间 比 决 定 ， 是 入 侵 数 据 库 实 施 勒 索 ， 还 是 先 保 持 潜 伏 直 到 条 件 成 熟 再 进 行 勒 索 。 判 断 依 据 为 ： 当 收 集 时 间 满 足 1 2 0 0 天 的 条 件 则 执 行 第 2 条 S Q L 语 句 。   第 第 2 条 语 句 ： 条 语 句 ： S T A T : = ' t r u n c a t e   t a b l e   ' | | U S E R | | ' . ' | | I . T A B L E _ N A M E 语 句 含 义 ： 语 句 含 义 ： 勒 索 者 对 表 执 行 t r u n c a t e 操 作 ， 清 掉 用 户 数 据 ， 最 后 向 用 户 弹 窗 实 施 勒 索 。 修 复 方 法 ： 治 标 或 是 治 本 修 复 方 法 ： 治 标 或 是 治 本 虽 然 是 一 样 的 报 错 信 息 ， 但 不 一 样 的 原 因 ， 解 决 起 来 也 不 可 混 为 一 谈 。 针 对 D B M S _ S U P P O R T _ I N T E R N A L 的 问 题 ， 把 备 份 在 O R A C H K ’ | | S U B S T R ( S Y S _ G U I D , 1 0 ) 中 的 备 份 信 息 插 入 回 到 $ t a b 中 。 就 可 以 修 复 D B M S _ S U P P O R T _ I N T E R N A L 带 来 的 危 害 。 而 对 于 D B M S _ C O R E _ I N T E R N A L 则 需 要 动 用 o r a c l e 数 据 库 的 d u l 工 具 恢 复 。 如 果 我 们 只 把 此 次 数 据 库 勒 索 事 件 看 成 一 个 孤 立 的 事 件 ， 至 此 治 标 的 方 法 已 经 介 绍 完 毕 ， 但 这 种 后 知 后 觉 的 修 复 方 法 ， 无 法 避 免 数 据 库 再 次 被 类 似 攻 击 所 入 侵 ， 数 据 库 的 安 全 防 护 ， 绝 不 能 采 用 头 疼 治 头 ， 脚 痛 治 脚 的 思 路 ， 治 标 还 是 治 本 ？ 大 家 心 中 早 有 答 案 ， 采 用 有 效 手 段 防 御 类 似 攻 击 才 是 解 决 问 题 的 根 本 思 路 。
1 2 防 护 手 段 ： 定 期 安 全 检 查 防 护 手 段 ： 定 期 安 全 检 查 + 事 中 安 全 防 护 ， 联 动 防 护 ， 形 成 安 全 闭 环 事 中 安 全 防 护 ， 联 动 防 护 ， 形 成 安 全 闭 环 大 部 分 勒 索 、 后 门 类 攻 击 都 会 存 在 一 定 的 潜 伏 期 ， 定 期 安 全 检 查 可 以 在 攻 击 行 为 爆 发 前 ， 发 现 潜 伏 在 数 据 库 中 的 威 胁 ， 防 止 攻 击 爆 发 后 的 数 据 资 产 损 失 。 定 期 安 全 检 查 定 期 安 全 检 查 安 华 金 和 数 据 库 漏 洞 扫 描 的 授 权 检 测 中 含 有 专 门 针 对 数 据 库 中 异 常 包 、 存 储 过 程 、 触 发 器 、 各 项 参 数 以 及 后 门 的 检 测 语 句 。 这 些 检 测 语 句 可 以 帮 助 用 户 及 早 发 现 潜 在 的 威 胁 。 目 前 ， 安 华 金 和 数 据 库 漏 洞 扫 描 系 统 已 经 可 以 准 确 检 测 出 数 据 库 是 否 被 此 次 勒 索 软 件 入 侵 ， 并 给 出 用 户 修 复 建 议 。 事 中 安 全 防 护 事 中 安 全 防 护 漏 扫 系 统 能 发 现 已 经 存 在 的 安 全 威 胁 ， 而 另 一 方 面 ， 如 何 抵 御 未 知 的 安 全 威 胁 ？ 安 华 金 和 数 据 库 防 火 墙 具 备 这 样 的 能 力 。 基 于 对 S Q L 语 句 的 精 确 解 析 能 力 ， 并 支 持 数 据 库 解 密 功 能 ， 能 够 在 未 知 风 险 到 来 的 第 一 时 间 ， 有 效 拦 截 、 阻 断 攻 击 。 安 华 金 和 数 据 库 防 火 墙 可 以 对 o r a c l e 数 据 库 的 密 文 存 储 过 程 进 行 解 密 操 作 。 当 第 三 方 工 具 向 o r a c l e 发 送 大 量 数 据 ， 其 中 很 多 数 据 会 以 加 密 包 的 形 式 发 送 。 只 有 准 确 破 解 加 密 包 的 内 容 才 能 进 行 精 确 的 语 法 分 析 。 O r a c l e 的 加 密 过 程 w a r p 可 以 通 过 o r a c l e 提 供 的 函 数 完 成 ， 但 解 密 方 法 o r a c l e 并 不 提 供 直 接 函 数 ， 需 要 用 户 自 行 实 现 。 解 密 并 不 复 杂 ， 只 是 把 上 面 w r a p 的 过 程 反 过 来 ， 首 先 通 过 网 络 分 析 将 所 有 断 包 组 成 一 个 整 包 ， 进 行 b a s e 6 4 解 码 。 解 码 后 的 每 个 字 节 根 据 固 定 的 替 换 表 进 行 单 独 替 换 ， 替 换 后 的 字 符 串 按 照 L Z 算 法 进 行 解 压 即 可 以 获 得 加 密 存 储 过 程 的 明 文 。 工 作 流 程 如 下 ： 这 种 准 确 破 解 加 密 存 储 过 程 的 能 力 ， 不 但 在 本 次 勒 索 案 例 中 十 分 关 键 ， 也 是 防 止 第 三 方 工 具 向 数 据 库 发 送 恶 意 存 储 过 程 的 关 键 。 如 果 不 能 解 决 解 密 问 题 ， 也 可 以 只 对 加 密 的 恶 意 存 储 过 程 进 行 指 纹 比 对 ， 但 指 纹 比 对 的 误 报 和 漏 报 率 偏 高 （ 稍 微 调 整 下 参 数 内 容 或 名 称 就 会 使 指 纹 匹 配 无 法 准 确 识 别 恶 意 包 ） 。 基 于 S Q L 语 法 解 析 ， 能 够 判 断 存 储 过 程 或 数 据 包 中 是 否 存 在 恶 意 行 为 。 在 u n w r a p 的 支 撑 下 数 据 库 防 火 墙 能 够 把 所 有 去 向 数 据 库 的 加 密 存 储 过 程 明 文 化 ， 对 明 文 进 行 S Q L 语 法 分 解 析 ， 进 行 恶 意 行 为 语 句 的 特 征 匹 配 。 并 根 据 整 个 S Q L 语 句 包 及 前 后 关 联 语 句 环 境 的 S Q L 行 为 进 行 分 析 。 当 整 个 S Q L 语 句 包 中 存 在 多 个 必 要 点 命 中 安 全 规 则 时 ， 则 判 断 该 语 句 包 存 在 恶 意 行 为 ， 进 行 主 动 阻 断 ， 并 向 相 关 人 员 进 行 危 险 告 警 ， 完 成 对 数 据 库 攻 击 的 主 动 防 护 。
安 华 金 和 数 据 库 漏 洞 扫 描 系 统 侧 重 于 整 个 防 护 过 程 中 的 已 知 隐 患 扫 描 ， 而 数 据 库 防 火 墙 侧 重 特 征 隐 患 拦 截 。   两 者 侧 重 不 同 却 能 够 相 互 联 动 ， 数 据 库 防 火 墙 拦 截 下 一 个 新 型 隐 患 ， 数 据 库 漏 扫 则 根 据 这 个 新 型 的 特 征 更 新 扫 描 检 测 项 ， 一 旦 数 据 库 防 火 墙 未 发 现 ， 但 漏 扫 发 现 安 全 隐 患 ， 则 数 据 库 防 火 墙 根 据 隐 患 特 征 优 化 防 护 策 略 ， 进 一 步 降 低 误 报 、 漏 报 率 ， 协 同 防 护 形 成 完 整 安 全 闭 环 。 针 对 本 次 攻 击 ， 安 华 金 和 提 供 检 测 工 具 与 修 复 方 法 针 对 本 次 攻 击 ， 安 华 金 和 提 供 检 测 工 具 与 修 复 方 法 如 果 您 的 数 据 库 已 经 遭 受 攻 击 ， 请 进 行 如 下 修 复 操 作 ： 针 对 D B M S _ S U P P O R T _ I N T E R N A L 存 储 过 程 的 问 题 ， 请 把 备 份 在 O R A C H K ’ | | S U B S T R ( S Y S _ G U I D , 1 0 ) 中 的 备 份 信 息 插 入 回 到 $ t a b 中 进 行 自 救 ， 而 D B M S _ C O R E _ I N T E R N A L 存 储 过 程 则 需 要 动 用 o r a c l e 的 d u l 工 具 恢 复 数 据 。 针 对 正 在 使 用 P L   S Q L   D e v e l o p e r 1 1 . 0 . 6 中 文 绿 色 注 册 版 （ 免 O r a c l e 1 1 g 客 户 端 ） 的 用 户 ， 病 毒 可 能 已 经 潜 伏 ， 安 华 金 和 可 提 供 免 费 检 测 工 具 及 相 应 修 复 方 法 ， 请 及 时 对 您 使 用 的 软 件 进 行 病 毒 排 查 与 清 理 ， 可 登 陆 安 华 金 和 官 方 网 站 获 取 检 测 工 具 ：   h t t p : / / w w w . d b s e c . c n / s e r v i c e / B i t C o i n T r o y a n . r a r 同 时 ， 对 于 已 购 买 安 华 金 和 漏 洞 扫 描 系 统 的 用 户 ， 产 品 现 已 支 持 对 此 次 勒 索 攻 击 的 安 全 检 测 功 能 ， 后 续 将 对 用 户 的 设 备 进 行 版 本 更 新 。
阅 读 原 文
回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver|手机版|小黑屋|Nmaps Club

GMT+8, 2025-1-23 10:35 , Processed in 0.369247 second(s), 31 queries .

Powered by Discuz! X3.5

© 2001-2025 Discuz! Team.

快速回复 返回顶部 返回列表