搜索

[3944] 2017-06-20_可隐藏在PHP模块中的Rootkit，只有80行代码【附PoC】

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-16
2017-06-20_可隐藏在PHP模块中的Rootkit，只有80行代码【附PoC】 可 隐 藏 在 P H P 模 块 中 的 R o o t k i t ， 只 有 8 0 行 代 码 【 附 P o C 】 原 创   E 安 全   E 安 全   2 0 1 7 - 0 6 - 2 0 更 多 全 球 网 络 安 全 资 讯 尽 在 E 安 全 官 网 w w w . e a s y a q . c o m E 安 全 6 月 2 0 日 讯   荷 兰 W e b 开 发 人 员 卢 克 · 帕 里 斯 创 建 了 一 款 R o o t k i t ， 其 隐 藏 在 P H P 模 块 中 ， 能 通 过 A p a c h e 模 块 接 管 W e b 服 务 器 。 什 么 是 R o o t k i t ？ R o o t k i t 是 一 种 特 殊 的 恶 意 软 件 ， 它 的 功 能 是 在 安 装 目 标 上 隐 藏 自 身 及 指 定 的 文 件 、 进 程 和 网 络 链 接 等 信 息 ， 比 较 多 见 到 的 是 R o o t k i t 一 般 都 和 木 马 、 后 门 等 其 他 恶 意 程 序 结 合 使 用 。 一 个 典 型 R o o t k i t 包 括 ： 以 太 网 嗅 探 器 程 程 序 ， 用 于 获 得 网 络 上 传 输 的 用 户 名 和 密 码 等 信 息 ； 特 洛 伊 木 马 程 序 ， 例 如 ： i n e t d 或 者 l o g i n ， 为 攻 击 者 提 供 后 门 ； 隐 藏 攻 击 者 的 目 录 和 进 程 的 程 序 ， 例 如 ： p s 、 n e t s t a t 、 r s h d 和 l s 等 ； 可 能 还 包 括 一 些 日 志 清 理 工 具 ， 例 如 ： z a p 、 z a p 2 或 者 z 2 ， 攻 击 者 使 用 这 些 清 理 工 具 删 除 w t m p 、 u t m p 和 l a s t l o g 等 日 志 文 件 中 有 关 自 己 行 踪 的 条 目 ； 一 些 复 杂 的 r o o t k i t 还 可 以 向 攻 击 者 提 供 t e l n e t 、 s h e l l 和 f i n g e r 等 服 务 ； 还 包 括 一 些 用 来 清 理 / v a r / l o g 和 / v a r / a d m 目 录 中 其 它 文 件 的 一 些 脚 本 。
从 传 统 定 义 来 看 ， R o o t k i t 可 以 通 过 操 作 系 统 最 底 层 运 行 的 一 段 代 码 ， 拦 截 内 核 操 作 ， 并 注 入 恶 意 活 动 。 许 多 R o o t k i t 在 操 作 系 统 内 核 附 近 运 行 ， 其 要 求 攻 击 者 具 有 较 高 的 水 准 ， 以 便 在 不 破 坏 受 害 者 电 脑 的 情 况 下 使 其 运 作 。 帕 里 斯 根 据 高 级 C 和 C + + 编 程 技 能 ， 设 法 创 建 了 与 P H P 解 释 器 （ I n t e r p r e t e r ） 交 互 的 R o o t k i t ， 而 非 操 作 系 统 内 核 。 帕 里 斯 解 释 称 ， 学 习 如 何 使 用 Z e n d 引 擎 （ 构 建 整 个 P H P 语 言 的 框 架 ） 比 学 习 如 何 编 写 内 核 模 块 简 单 得 多 。 原 因 是 代 码 库 本 身 较 小 ， 且 经 过 较 好 的 文 档 化 处 理 ， 复 杂 程 度 较 低 ， 即 使 不 具 备 良 好 的 文 档 或 教 程 引 导 ， 帕 里 斯 仍 设 法 在 一 天 时 间 内 学 习 了 编 写 P H P 模 块 的 基 础 知 识 。 帕 里 斯 担 心 的 是 ， 既 然 他 能 做 到 ， 恶 意 攻 击 者 绝 对 也 能 做 到 。 P H P   R o o t k i t 具 有 众 多 优 点 帕 里 斯 表 示 ， 使 用 P H P 模 块 隐 藏 R o o t k i t 其 实 是 一 个 极 其 取 巧 的 想 法 ， 其 优 点 如 下 ： 由 于 编 程 蹩 脚 ， P H P   R o o t k i t 不 会 破 坏 操 作 系 统 ， 只 会 导 致 分 段 错 误 ， 从 而 中 断 当 前 服 务 器 请 求 ， 在 不 被 发 现 的 情 况 下 长 期 进 行 感 染 。 很 少 有 开 发 人 员 会 检 查 P H P 模 块 的 哈 希 值 ， 这 意 味 着 要 诱 骗 开 发 人 员 下 载 被 感 染 的 P H P 模 块 ， 或 替 换 被 入 侵 服 务 器 上 的 P H P 模 块 容 易 得 多 。 P H P   R o o t k i t 只 需 深 入 到 系 统 进 程 中 ， 而 内 核 R o o t k i t 必 须 深 入 至 每 个 内 部 调 用 中 ， 以 削 弱 机 器 性 能 。 P H P   R o o t k i t 是 跨 平 台 的 R o o t k i t ， 因 为 P H P 是 跨 平 台 项 目 ， P H P 模 块 能 在 不 同 平 台 进 行 交 叉 编 译 。 可 在 可 在 G i t H u b 获 取 获 取 P o C 代 码 代 码 帕 里 斯 创 建 了 P H P   R o o t k i t   P o C ， 并 在 G i t H u b 开 放 了 源 代 码 。 他 创 建 的 测 试 版 R o o t k i t 深 入 到 P H P 服 务 器 的 “ 哈 希 ” 和 “ S h a 1 ” 函 数 之 中 。 整 个 R o o t k i t 有 8 0 行 代 码 ， 攻 击 者 可 能 轻 易 将 其 隐 藏 在 合 法 模 块 中 。
为 了 防 止 攻 击 者 轻 易 将 该 代 码 武 器 化 ， 帕 里 斯 打 乱 了 其 中 某 些 部 分 ， 从 而 使 得 缺 乏 P H P 模 块 专 业 知 识 的 人 很 难 编 译 。 尽 管 如 此 ， 帕 里 斯 的 测 试 版 P H P   R o o t k i t 表 明 ， 服 务 器 管 理 员 需 考 虑 可 能 的 攻 击 媒 介 。 为 了 防 止 此 类 攻 击 ， 帕 里 斯 向 服 务 器 所 有 者 提 供 了 一 系 列 建 议 ， 例 如 ： 检 测 模 块 是 否 为 恶 意 模 块 ， 其 最 简 单 的 方 式 是 在 安 装 P H P 之 后 保 留 模 块 哈 希 列 表 。 一 旦 保 留 了 哈 希 值 列 表 ， 可 以 添 加 一 个 定 时 任 务 （ C r o n   J o b ） ， 试 图 将 扩 展 目 录 的 所 有 文 件 哈 希 ， 并 与 当 前 的 哈 希 进 行 对 比 。 为 了 减 轻 工 作 量 ， 帕 里 斯 甚 至 发 布 了 P h t h o n 脚 本 ， 用 以 检 查 用 户 P H P 模 块 的 S H A 1 哈 希 值 。 通 过 扫 描 通 过 扫 描 A p a c h e 模 块 文 件 哈 希 值 缓 解 攻 击 模 块 文 件 哈 希 值 缓 解 攻 击 P a r a g o n   I n i t i a t i v e   E n t e r p r i s e 公 司 的 首 席 开 发 官 斯 科 特 · 阿 奇 恰 斯 基 表 示 ， 这 是 一 个 有 趣 的 研 究 项 目 。 阿 奇 恰 斯 称 ， 他 之 前 在 被 感 染 系 统 中 看 到 过 基 于 . h t a c c e s s 的 恶 意 软 件 ， 可 能 是 P H P 模 块 或 A p a c h e 模 块 。 阿 奇 恰 斯 提 出 的 攻 击 缓 解 措 施 是 ， 用 S H A 2 5 6 哈 希 值 替 代 S H A 1 。
今 年 早 些 时 候 ， G o o g l e 研 究 人 员 破 解 了 S H A 1 哈 希 函 数 ， 使 用 相 同 的 S H A 1 哈 希 创 建 了 两 个 文 件 ， 从 而 允 许 攻 击 者 添 加 P H P     R o o t k i t ， 之 后 通 过 相 同 的 哈 希 创 建 A p a c h e 模 块 （ 至 少 从 理 论 上 讲 是 这 样 ， 目 前 尚 未 这 样 实 施 过 ） 。 此 后 ， 阿 奇 恰 斯 提 出 了 此 建 议 。 P H P   R o o t k i t 为 攻 击 者 提 供 持 久 性 为 攻 击 者 提 供 持 久 性 在 遭 遇 攻 击 的 服 务 器 上 ， 大 多 数 事 件 响 应 者 不 会 考 虑 寻 找 P H P 模 块 内 部 的 恶 意 代 码 ， 毕 竟 这 不 是 隐 藏 恶 意 软 件 的 常 见 位 置 ， 恶 意 软 件 通 常 存 在 于 存 储 在 公 共 网 站 、 . h t a c c e s s 文 件 或 W e b 服 务 器 目 录 中 其 它 文 件 的 源 代 码 中 。 帕 里 斯 的 P H P   R o o t k i t 是 许 多 攻 击 者 一 直 寻 求 的 持 久 性 工 具 ， 允 许 其 在 不 被 检 测 的 情 况 下 隐 藏 在 最 底 层 。 由 于 持 久 性 增 强 ， 阿 奇 恰 斯 建 议 ， 当 怀 疑 服 务 器 被 恶 意 软 件 感 染 时 ， 应 采 取 强 有 力 的 措 施 ， 因 为 大 多 数 服 务 器 管 理 员 对 即 将 来 临 的 新 攻 击 媒 介 不 甚 了 解 。 如 果 试 图 清 理 被 感 染 的 系 统 ， 当 取 证 调 查 结 束 后 ， 阿 奇 恰 斯 通 常 会 建 议 构 建 干 净 的 新 环 境 ， 并 将 数 据 从 受 信 任 的 备 份 中 迁 移 出 来 。 帕 里 斯 并 非 首 个 提 出 在 A p a c h e 模 块 中 隐 藏 恶 意 代 码 的 人 。 2 0 1 5 年 ， 伦 敦 开 发 人 员 克 里 斯 汀 · 帕 帕 坦 纳 苏 就 创 建 了 隐 藏 在 A p a c h e 模 块 中 的 类 似 R o o t k i t 。 G i t H u b   P o C 获 取 地 址 获 取 地 址 ： h t t p : / / t . c n / R o y D 3 6 F 开 发 人 员 发 布 的 开 发 人 员 发 布 的 P h t h o n 脚 本 地 址 脚 本 地 址 ： h t t p : / / t . c n / R o y k 7 s m
2 0 E 安 全 推 荐 文 章 安 全 推 荐 文 章 官 网 ： 官 网 ： w w w . e a s y a q . c o m 2 0 1 7 年 年 6 月 月   0 1 漏 洞 预 警 ： P H P   7 的 反 序 列 化 机 制 存 在 致 命 安 全 漏 洞 0 2 研 究 人 员 发 现 P H P 零 日 漏 洞 ， 意 在 攻 克 色 情 网 站 P o r n H u b 0 3 T a t a 开 发 人 员 将 多 家 银 行 代 码 泄 露 至 公 共 G i t H u b 代 码 库 0 4 G i t H u b 上 1 0 大 最 热 门 安 全 开 源 项 目 0 5 2 0 1 6 欧 洲 黑 帽 大 会 将 公 布 无 法 被 检 测 到 的 P L C   R o o t k i t 0 6 I G H A S H G P U — 基 于 G P U 的 哈 希 破 解 工 具 — S H A 1 、   M D 5   &   M D 4 0 7 有 动 静 ？ S p l u n k 正 在 泄 露 您 的 个 人 数 据 ( 含 P o c ) 0 8 网 络 摄 像 机 的 四 大 恶 意 软 件 家 族 ： 相 互 抢 地 盘 ！ 0 9 如 何 监 控 美 国 政 府 官 员 上 网 在 干 什 么 1 0 C I A 用 “ 樱 花 炸 弹 ” 入 侵 我 们 的 路 由 器 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理