神不知鬼不觉就会爆炸

作者:武汉味美食家餐饮管理有限公司 来源:www.cj17917.com 发布时间:2018-11-12 11:19:01
源清流洁的网站遭篡改!三小时锁定疑犯 201808281023266189.jpg

图片来源图虫:已授站长之家使用

累计赌资 42 亿余元

非法获利 7 亿多!

扣押服务器 55 台

抓获犯罪嫌疑人 23 名

冻结涉案资金1. 1 亿余元!

一般来说,一则黑产落网新闻吃瓜群众看到的只是媒体们大写加粗的震撼数字,殊不知,比起警察蜀黍坐了飞机、火车、汽车甚至马车从大洋彼岸或者偏远深山逮到搞黑产的马仔这件事,他们更感兴趣的是如何从赛博世界顺着网线逮到这些人。

就好像宫斗剧有意思的不是谁都能猜到的大结局,而是扑朔迷离的过程。追捕疑犯也是如此,摆在那里的数字吸引力远比不上中间的过程,越刺激越好。

但是,真相往往不尽如人意,你所期待的大片既视感可能不存在,存在的只有一台电脑和一位白帽子。

事发

白帽子 SkyMine 接到通知的时候正在打瞌睡,哦不,工作。挂了电话,SkyMine二话不说赶了过去。

根正苗红网站遭篡改!三小时锁定疑犯

有事,大事

某源清流洁的网页被篡改了,篡改内容还十分不和谐(请自行想象)。

到了现场SkyMine 检查后发现出事的服务器是台虚拟机,操作系统是 Windows 2008 R2,网站使用了 phpstudy 集成环境进行部署。但是,Windows 事件日志服务并没有启用,更可能的是黑客大哥进来后顺手关闭了。

系统日志是个啥呢?他记录了系统中硬件、软件和系统问题的信息,同时还可以监视系统中发生的事件。用户可以通过它来检查错误发生的原因,或者寻找受到攻击时攻击者留下的痕迹。

SkyMine 转念一想,这台服务器既然承载着 Web 服务,而且硬件防火墙只对外映射 80 端口,是不是有可能是以Web攻击作为入口的?可以一看。

但是,Nginx 的网站访问日志也已经遭到清除……双击666

不过幸运的是,网站访问日志配置了流式异地备份,SkyMine 也就能在另一台日志服务器上找到了完整且未失真的网站访问日志副本。

不过,任凭SkyMine反反复复把事发时间前后的网站访问日志分析了个遍,都没有发现任何web攻击的痕迹。

这就很奇怪了,这说明黑客并没有直接用网页木马发送篡改页面的指令。难道是通过NC之类的反向连接工具建立通道来进行控制的?

为了求证(打脸),SkyMine 通过调查开始时生成的虚拟机快照提取了内存镜像,为了有多个内存样本进行交叉分析,他又掏出“家伙”(一款名为dumpit 的工具)提取了内核级的内存完整镜像,其中包括物理内存和页面交换文件。

提取了这些内存之后,SkyMine开始琢磨起来,如果黑客确实是通过反向连接通道来实施控制的,那肯定曾经建立过一个异常的网络连接,内存中很可能会保留着这个信息。

所以SkyMine通过内存分析框架对内存样本进行了网络连接分析,但在事发时间并没有可疑的网络连接。

得了,线索到这里又断了……

不过也不算一点收获都没有,SkyMine在提取了内存的历史进行信息时发现,有一个很可疑的程序在事发时间正在运行,这个程序名为update.exe,看起来相当正经。

但SkyMine留意到,这个进程足足运行了 3 天之久,谁家正常更新程序能更新三天?

从内存中提取出该进程的物理路径后,SkyMine找到了这个奇怪的程序,是位于C盘的一个很深的目录里的,而且在同目录下,SkyMine还发现了一个命名为 image.jpg 的篡改图片。SkyMine对这个程序进行逆向分析后发现是个易语言程序(就是以中文作为程序代码)。

再次对这个程序逆向分析后SkyMine发现,黑客这次利用了一个相对较少见的攻击方式——逻辑炸弹,程序代码中有一个条件判断,当前时间大于既定时间就会自动用该程序目录下的 image.jpg 替换掉网站根目录的 image.jpg,达到篡改的目的,在确认图片已经篡改成功后将自动退出程序。

这就等于一个自动定时炸弹,神不知鬼不觉就会爆炸。

找到了攻击方式,接下来就要寻找妖精洞了。

当确定这个易语言程序就是黑客用来篡改网页的关键代码以后,SkyMine开始调查这个程序是如何被传入服务器的。

因为这个web服务器只对外开放 80 端口,SkyMine猜测有很大可能是通过web应用漏洞来写入这个程序的。通过查看这个程序的创建时间,他得到了程序的传入时间点,这就可以进一步从网站访问日志中寻找这个时间点的web访问记录。

  • 上一篇:所以我们只好选择一些比较冷门有个性的域名
  • 下一篇:最后一页
  • 
    COPYRIGHT © 2015 武汉味美食家餐饮管理有限公司 ALL RIGHTS RESERVED.
    本站所有原创信息,未经许可请勿任意转载或复制使用 网站地图 技术支持:肥猫科技
    精彩专题:网站建设
    购买本站友情链接、项目合作请联系客服QQ:2500-38-100