針對(duì)此PHP縫隙的測(cè)驗(yàn)測(cè)驗(yàn)，ColdFusion，內(nèi)容治理系統(tǒng)存在此縫隙是很常見的。在某些環(huán)境下，特定的報(bào)復(fù)打擊可能會(huì)成功，對(duì)高價(jià)值的辦事器，會(huì)導(dǎo)致很是較著的數(shù)據(jù)泄漏。在其他環(huán)境下，報(bào)復(fù)打擊者將會(huì)大年夜范圍的操控被傳染的主機(jī)。
比來，我寄望到多個(gè)IP地址試圖操縱一個(gè)PHP縫隙報(bào)復(fù)打擊，所以我操縱蜜罐記實(shí)了成果，此次勾當(dāng)讓人想起初期僵尸收集瘋狂的日子，用IRC號(hào)令節(jié)制，和操縱被進(jìn)侵的主機(jī)作為掃描東西。
這是很有趣的，因?yàn)樗戆姿且粋€(gè)成功針對(duì)Linux辦事器的PHP縫隙，它能做甚么呢，我將演示若何做一些根基的內(nèi)存取證，可利用Volatilit這類類型的事務(wù)進(jìn)行總結(jié)。
以下是報(bào)復(fù)打擊者測(cè)驗(yàn)測(cè)驗(yàn)的報(bào)復(fù)打擊：
這是針對(duì)一個(gè)老縫隙(CVE-2012-1823)的，它承諾長(zhǎng)途報(bào)復(fù)打擊者經(jīng)由過程號(hào)令行選項(xiàng)HTTP查詢字符串內(nèi)注進(jìn)肆意代碼。
報(bào)復(fù)打擊代碼解碼后為：
假定操縱成功，將在HTTP POST的殘剩部門顯示。
以下是在被進(jìn)侵的辦事器上履行的把持：
·改變工作目次到/var/tmp中
·從該目次刪除文件名為“a.pdf”的文件。
·從報(bào)復(fù)打擊者那邊下載“a.pdf”文件并保留在/var/tmp目次。pdf文件實(shí)際上是一個(gè)per腳本。
·履行per腳本，也就是“a.pdf”文件。
·最后刪除“a.pdf”文件。
此報(bào)復(fù)打擊者為了確保能成功下載長(zhǎng)途腳本，他反復(fù)利用“curl”、“fetch”、“l(fā)wp-get”指令。
捕獲的數(shù)據(jù)包顯示了注進(jìn)腳本的整體勾當(dāng)，在履行腳本后，休眠了一段時(shí)候，猜想多是避開治理員的耳目。然后連接到vafel.pexit.cu的IRC C2，端口45129。
一段時(shí)候后，報(bào)復(fù)打擊者唆使從m1.pexit.cu.cc獲得另外一個(gè)腳本“ins_h.sh”。
在“ins_h.sh”腳本的內(nèi)容顯示除其他事項(xiàng)外，報(bào)復(fù)打擊者在Linux辦事器上成立隱躲目次，獲得另外一個(gè)東西(HC)的源代碼，并編譯它，然后點(diǎn)竄保留到按時(shí)任務(wù)中。
在這以后不久，大年夜量的各類文件將被下載到被傳染的主機(jī)，這此中包含發(fā)掘軟件，開辟庫(kù)和編譯東西，還下載了大年夜量的linux本地權(quán)限晉升操縱法度。以后，報(bào)復(fù)打擊者將利用他想要的編制，開端比特幣和質(zhì)數(shù)幣的發(fā)掘，出格值得寄望的它利用Stratum Mining和談連接到辦事器37.251.139.161上：
大年夜大都辦事器都被打針了這些不合的腳本然后用于各類任務(wù),包含DDoS、縫隙掃描和操縱?；ヂ?lián)網(wǎng)風(fēng)暴中間比來發(fā)布了條新聞,“邁納德的環(huán)境”,切磋了被粉碎的辦事器被用于開采虛擬貨泉。
此刻，讓我們做一些內(nèi)存取證這一特定被攻下主機(jī)的內(nèi)存圖象。我們將利用2.3.1版本分析Linux映像,為了做到這一點(diǎn)，你必需供給恰當(dāng)?shù)腖inux建設(shè)文件,成立一個(gè)建設(shè)文件是很是等閑的,但它需要做恰當(dāng)?shù)穆芎蛢?nèi)核。我保舉Ken Pryor的Github網(wǎng)站,Ken Pryor在那邊成立了一個(gè)Linux建設(shè)文件存儲(chǔ)庫(kù)。
按照闡發(fā)，該系統(tǒng)是一個(gè)Ubuntu 10.04的辦事器，內(nèi)核版本2.6.32-33，我們先來看看系統(tǒng)上的勾當(dāng)過程，經(jīng)由過程“l(fā)inux_pslist”插件。
寄望PID1517(httpds)和PID27157(rsyslogd)的時(shí)候戳，遠(yuǎn)遠(yuǎn)晚于它上面列出的這些過程。因?yàn)槌跗谶^程及其相對(duì)時(shí)候戳近似于Linux的啟動(dòng)法度，另請(qǐng)寄望，這些過程顯示一個(gè)用戶ID和組ID1002，此中的Ubuntu分派給一個(gè)用戶帳戶。
波動(dòng)插件“l(fā)inux_psaux”的行動(dòng)近似于Linux號(hào)令ps,所以它可以或許顯示在流程調(diào)用利用的號(hào)令行參數(shù)：
所以過程名定名為“httpds”，PID為1517，目次/usr/bin/httpd，別的一個(gè)過程“rsyslogd”，PID為27157，并調(diào)用號(hào)令行參數(shù)“-b -c”。假定我們獲得一個(gè)粉碎辦事器的磁盤映像，我們會(huì)寄望查抄/usr/bin的“httpd”。經(jīng)由過程研究“rsyslogd”,我們得知“- b”不是一個(gè)有效的選項(xiàng),所以這個(gè)過程仍然是可疑的。當(dāng)經(jīng)由過程pslist號(hào)令列出的過程列表，找到運(yùn)行的過程，“l(fā)inux_pidhashtable”可以幫我們找到隱躲的過程。
在這類環(huán)境下，它是一個(gè)很好的做法，查抄辦事器的收集信息，一些收集插件，這將有助于肯定長(zhǎng)途連接和啟動(dòng)這些過程。例如“l(fā)inux_netstat”插件的行動(dòng)就像Linux的“netstat”號(hào)令，并列出勾當(dāng)?shù)氖占B接，和監(jiān)聽套接字。在這類環(huán)境下，我們看到可疑的過程，PID1517和PID27157與成立的收集連接的長(zhǎng)途IP地址相聯(lián)系關(guān)系的過程。
履行“l(fā)inux_route_cache”插件，可以顯示路由表的緩存。這可能表白，可以不經(jīng)由過程“l(fā)inux_netstat”插件看到任何舊的連接。
此刻，我們已成立的PID1517和27157的可疑過程，讓我們所有的相干的每個(gè)打開的文件和路徑的列表。近似于在linux系統(tǒng)利用“l(fā)sof”的，我們將在這里利用插件“l(fā)inux_lsof”。
寄望，這兩個(gè)過程，PID1517和27157有兩個(gè)共同打開的文件。一個(gè)是[7916]，另外一個(gè)是在隱躲目次“/tmp/.ICE-unix/-log/”中的httpd.pid文件。
另外一個(gè)插件是“l(fā)inux_proc_maps”，這個(gè)插件將顯示過程內(nèi)存的細(xì)節(jié)，包含共享庫(kù)。細(xì)節(jié)包含開端和結(jié)束的位置，每個(gè)部門的節(jié)點(diǎn)和標(biāo)識(shí)表記標(biāo)幟。這事從內(nèi)存中查詢拜訪處的很有價(jià)值的信息。例如，在PID1517，我們獲得以下內(nèi)容：
我們看到前面所提到的不異的隱躲目次，但此刻指的是文件名“httpds”。該文件被看作是405961，在“l(fā)inux_proc_maps”插件上有一個(gè)輸出開關(guān)，承諾以段列出。但是，為了恢復(fù)完全，無缺的文件，我們需要從頁(yè)面緩存，它保留在內(nèi)存中的所有有關(guān)文件的頁(yè)面。我們可以經(jīng)由過程“l(fā)inux_find_file”插件做到這一點(diǎn)，這個(gè)插件會(huì)找到地址，然后讓你從內(nèi)存轉(zhuǎn)儲(chǔ)緩存的文件內(nèi)容，所以“httpds”文件在節(jié)點(diǎn)405961：
python vol.py -f /home/abc/pexit.vmem --profile=LinuxUbuntu1004_pae32-33x86 linux_find_file -F "/tmp/.ICE-unix/-log/httpds"
然后,我們利用“l(fā)inux_find_file”插件利用“- o”選項(xiàng),經(jīng)由過程索引節(jié)點(diǎn)的地址,以提取文件。提取后,我們可以運(yùn)行“strings”,查看內(nèi)容:
這些例子只是協(xié)助你若何闡發(fā)被粉碎主機(jī)。我?？催@篇文章成功的揭露了PHP縫隙和由此產(chǎn)生的腳本注進(jìn)的例子的一些環(huán)境，除確保面向Internet的辦事器利用準(zhǔn)確的修補(bǔ)和硬化，還要知道若何快速跟蹤如許的報(bào)復(fù)打擊。在我的蜜罐，我每天會(huì)看到數(shù)十個(gè)，包含linux ELF，perlbots和老式炮彈報(bào)復(fù)打擊。這些注進(jìn)perl和shell腳本是很是讓人討厭的，并且還會(huì)給我們帶來最嚴(yán)重的粉碎。