Linux应急响应实战

缺乏、安全感 2022-10-24 13:12 42阅读 0赞

接到个单子，网站被挂博彩

**客户机器环境**

服务器系统: CentOS 7

服务器管理面板: 宝塔

CMS: 织梦 CMS V57 SP2

**过程**

向客户了解情况后，登录了服务器进行检查，发现历史执行过的命令有些异常，系统账号被添加了 `admin`，用户组为admin，向客户确认后为客户所执行，账号非客户所添加

![图片][cdb57f62e5f08679ba048a7cb47ac4e1.png]

![图片][7a77e3e1485314909e702db801db7f82.png]

**网络检查**

随后执行了 `netstat -anutlp` 对当前连接进行了检查，无异常，初步判定没有被留远控

![图片][cb91f3e85e08ca6d56556d137e2fbc65.png]

**SSH 检查**

对 `SSH配置文件`、`SSH应用程序`进行了检查，

`SSH` 程序正常

![图片][ecd9b435b4eecf0363f8e4c03b4a3d50.png]

`SSH配置文件`发现被设置了 `ssh key`

![图片][1ea7d05f427280c26f4c6cb3df980c59.png]

![图片][8c8b7d17b649d8dcf5a4173810651d3f.png]

**文件检测 & 日志分析**

**文件检测**

由于客户机器上运行着4个站点，所以down了相关网站文件和日志，网站文件使用D盾进行了扫描，发现其中2个**织梦CMS**站点都被传了**Shell**

![图片][9de27b211c76cdfb7ea83f6087a71eb2.png]

shell路径

/m.xxx.com/anli/list_2.php
    /m.xxx.com/data/enums/bodytypes.php
    /m.xxx.com/data/module/moduleurllist.php
    /m.xxx.com/images/js/ui.core.php
    /m.xxx.com/include/ckeditor/plugins/iframe/images/indax.php
    /m.xxx.com/install/config.cache.inc.php
    /m.xxx.com/member/ajax_loginsta.php
    /m.xxx.com/plus/arcmulti.php
    /m.xxx.com/plus/img/face/list_2_2.php
    /m.xxx.com/templets/default/style/touchslide.1.1.php
    /m.xxx.com/tuiguang/18.html.php
    /www.xxx.com/anli/list_1.php
    /www.xxx.com/images/lurd/button_save.php
    /www.xxx.com/include/dialog/img/picviewnone.php
    /www.xxx.com/include/inc/funstring.php
    /www.xxx.com/jianzhan/list_3.php
    /www.xxx.com/jinfuzi-seo/css/menuold.php
    /www.xxx.com/plus/img/channellist.php
    /www.xxx.com/templets/default/images/banner_03.php
    /www.xxx.com/tuiguang/2018/1205/19.php

其中一个 shell

![图片][0a83e894472e2b4a7873fc926ffbe271.png]

**日志分析**

使用 `Apache Log Viewer` 对日志进行分析，设置了shell文件正则后如下图

![图片][874772d6f15d2d0fd4f4a719195503ec.png]

寻找第一次访问shell的IP

![图片][7edd782019f4d8008962dc5c0d04ebcf.png]

最终发现

![图片][7a6ff4634736cf98ed64011ab2a4126a.png]

`IP:117.95.26.92` 为首次使用`网站后门`上传其他 `shell` 的 IP

由于客户的站点是仿站，模板为网上下载，怀疑存在模板后门的情况，综合日志分析，确认为模板后门

**处置与意见**

1、网站中的木马文件已经删除，根据访问日志确认是模板后门造成的此次事件。

2、服务器异常账户已经删除，考虑到该异常账户多次成功登录到服务器，而且历史操作中有切换到root用户痕迹，怀疑服务器密码已经泄露，已建议客户修改。

3、数据库检查中发现http://www.xxx.com存在一个疑似后门的账户，用户名admin，密码 admin1.2.3

4、被篡改的首页已经恢复

![图片][ac15b77c5c2c9be1470b4421b5f079a6.png]

[cdb57f62e5f08679ba048a7cb47ac4e1.png]: /images/20221024/ba554c99c9574cb08728b47a7d332547.png
[7a77e3e1485314909e702db801db7f82.png]: /images/20221024/a0befac948a44bdf82eaab6a720e43f2.png
[cb91f3e85e08ca6d56556d137e2fbc65.png]: /images/20221024/d08cf5a6f5da4b8c975ec1eabe7faee8.png
[ecd9b435b4eecf0363f8e4c03b4a3d50.png]: /images/20221024/5e454bc021c5417e908e4508102b9e29.png
[1ea7d05f427280c26f4c6cb3df980c59.png]: /images/20221024/651252b98ba1444d9a4b82f73d56c89d.png
[8c8b7d17b649d8dcf5a4173810651d3f.png]: /images/20221024/3305402b02a94c2fab1035970a0c0a31.png
[9de27b211c76cdfb7ea83f6087a71eb2.png]: /images/20221024/8965258101cd44b899fd2ff2a18883dc.png
[0a83e894472e2b4a7873fc926ffbe271.png]: /images/20221024/782f55709f1c434aacc124872128f181.png
[874772d6f15d2d0fd4f4a719195503ec.png]: /images/20221024/d5dc5a6559d94ec79b016d02b023f300.png
[7edd782019f4d8008962dc5c0d04ebcf.png]: /images/20221024/e29ca1cf78a14604a694367864785f5d.png
[7a6ff4634736cf98ed64011ab2a4126a.png]: /images/20221024/031df9e8aaca4d02a96cb586fb60e041.png
[ac15b77c5c2c9be1470b4421b5f079a6.png]: /images/20221024/9e05d07bd02143508aadcd133b77d467.png