记一次服务器入侵事件的应急响应
8月某日 ，记次件客户官网被黑，服务需在特定时间内完成整改。器入侵事为避免客户业务受到影响 ，应急实验室相关人员第一时间展开本次攻击事件的记次件应急处理 。 网站源码被篡改
，服务攻击者一定获取到了权限，器入侵事那么接下来的应急思路就是推测攻击者入侵手段 ，找到业务脆弱点，记次件对服务器进行全方位排查 ，服务找到攻击者留下来的器入侵事痕迹并进行分析处理。 与客户简单沟通后 ，应急得知如下基本信息 ： 服务器开放了SSH 、宝塔
、服务DedeCMS等3个服务 ，器入侵事那么接下来我们从服务器开放的服务来推测可能的攻击入口 。 玩过宝塔的朋友都知道 ，宝塔后台路径未知的情况下 ，通过宝塔后台GetShell基本上是不可能的 。香港云服务器此外，客户设置的BT面板的用户名也有些复杂，所以推断攻击者从宝塔下手的可能性很小（这里埋个坑 ，前面提到客户宝塔后台密码被修改的情况
，后面会说到原因） 。 客户官网使用的DedeCMS版本为 v5.7 sp2 ，尝试所有公开漏洞均未成功。并且 ，DedeCMS的后台密码没有规律 ，所以推测从DedeCMS入侵的服务器租用可能性也不是很大。 客户给出了服务器的账号密码，我们的第一反应是入侵从SSH弱口令开始的
。因为我的爆破字典里包含了服务器的密码（手动笑哭） ，但这显然还不能直接让客户信服。 综上 ，高度怀疑服务器是被爆破SSH弱口令后导致了后续的入侵行为 。亿华云 在判断攻击入口后，我们登录客户的服务器 ，仔细抡了一遍，只能说服务器上的东西有点多
。 。 。 2.3.1 BC黑页&PHP后门 首先访问客户首页 ，发现官网页面表面没有任何异常 ，也并未被重定向到BC网站
。但是实际上网页Meta信息被篡改 ，且会异步请求BC网站和百度统计的若干接口 。 推测攻击者的源码下载目的应为BC网站SEO优化 ，提高网站的SEO排名 。 定位到服务器上的DedeCMS网站源码 ，发现源码在7月17日被修改植入了恶意代码
。 网站源码被插入2个新的meta元素 ，以及一段JavaScript代码 。下图为新增的meta元素 ，解码后发现是菠菜搜索关键词。 新插入的JavaScript代码如下图所示 。模板下载解码后发现是一段引用外部js的代码 。 恶意js文件的内容为： 此文件的作用就是插入https://sjbgw2022.com/tb.js的恶意文件以及对恶意SEO优化
。 继续查看tb.js这个文件内容 ： 内容一致都是对恶意SEO的优化 上面的代码与之前一样作用就是推送自动收录。 JS正则表达式判断来路 ，如果是下列搜索引擎则指定跳转网址
。 满足就跳转至菠菜页面 。 更详细的检测
，判断是否包含搜索引擎字段 ，是则跳转至菠菜页面 。 判断是否是移动端 ，满足也跳转至菠菜页面 。 发现这个文件的作用是恶意SEO优化，判断访问网站的来路 ，如果是从搜索引擎过来的就会跳转至菠菜页面 ，如果是直接访问官网则不会有变化。菠菜页面截图如下所示： 此外 ，在DedeCMS源码目录发现了很多PHP后门。 2.3.2 宝塔沦陷 接下来我们进行了日志排查，发现系统日志都已经被清理 。 前面说到宝塔密码已被修改 ，那么为了登入宝塔 ，我们直接修改宝塔密码
。在服务器上输入bt命令进行修改
。 登入宝塔后台后
，我们发现最后一次登录时间为7月16日 ，攻击者上传了一个名为zxc.php的木马文件。 网站日志未被删除 ，日志显示攻击者在7月17日通过zxc.php上传大量后门文件 ，下图为日志访问记录截图
。 下图为一个PHP大马的截图 。 综上所述
，推断攻击者是菠菜SEO黑产组织 ，攻击手法为利用SSH弱口令远程登录服务器 ，修改宝塔后台密码后上传木马
，进而通过代理机器继续上传其它木马文件 。这是2.2节中所述的宝塔密码被篡改的原因 。 2.3.3 门罗币挖矿木马 服务器上的问题还不仅仅是被挂黑页这么简单 。服务器进程排查过程中发现 ，某进程CPU占用率特别高 ，不出意外就是挖矿程序了
。 跟踪定位文件位置为/root/.warmup/
。 发现挖矿配置文件/root/.warmup/config.json 。 从网络通联信息发现矿池地址为5.133.65.53至5.133.65.56的IP段。威胁情报表明这是一个门罗币矿池 。 杀死挖矿进程后程序自启动 ，删除挖矿文件后发现过一段时间文件会被重新下载并运行 。这说明存在挖矿守护进程或定时任务。经分析 ，发现一个5月7日就创建的定时挖矿任务 。 somescript文件内容为创建一个挖矿自启动服务warmup ，保证进程或文件被删除后能重新加载挖矿程序。 2.3.4 xray代理 Xray是V2ray的一个分支(Fork) 。Xray项目基于V2ray而来 ，其支持并且兼容V2ray的配置，其官方网站为（https://xtls.github.io/Xray-docs-next/） ，我们在进程排查中发现有Xray程序正在运行。 Xray最后一次运行时间为8月17日 。 2.3.5 SSH后门 最后，除了后门
、定时任务外，继续查看服务器上是否有攻击者留下的手段 。我们发现服务器在5月9日被写入SSH公钥 ，经与客户确认不是客户所为。 客户有业务数据备份
，那么处理和加固就简单多了 。我们对服务器进行了如下操作 ： 我们推测攻击者不止一个
，并且都是通过SSH弱口令入侵服务器 。事件时间线如下图所示 ： 第一波攻击者可能是挖矿组织 ，在5月7日大概率利用SSH弱口令进入服务器上传挖矿程序somescript，且做了对应的维持手段。 第二波攻击者可能是黑产组织，攻击时间为7月16日至7月17日，其操作是对网站做黑帽SEO ，更改宝塔后台并上传大量后门
。 第三波攻击者应该只是想控制一批跳板机
，在8月17日上传了代理程序 ，目前在服务器上出现的恶意事件最后截止也是到8月17日。0x01 事件背景
0x02 事件分析
0x03 应急处理
0x04 事件还原与总结
- 最近发表
- 国际刑警组织逮捕 14 名涉嫌盗窃 4000 万美元的网络罪犯
- 新华三零碳智慧产业园区解决方案：以数智化赋能产业体系绿色升级
- 一步替换固态硬盘，无需重新安装系统（教程分享）
- 台式h110装机教程（详解台式h110主板的安装和配置，让你顺利完成装机任务）
- 我们一起聊聊加解密的艺术
- 智控未来：路特斯Eletre搭载NVIDIA DRIVE Orin，专为极致驾驶体验和高速AI计算而生
- 云上的创新为爱康搭建创新底座 让CT小车”开进了大山【2022戴尔科技峰会预告】
- Win10双系统还原教程（如何轻松还原Win10双系统，让你的电脑焕然一新）
- T-Mobile应用程序故障导致用户的数据泄露
- 戴尔科技推出业界首款“远边缘”服务器XR4000，充分展现其在边缘服务器领域的远见卓识
- 随机阅读
- 浅谈网络爬虫技术
- 探索COO云的优势与特点（一站式云服务平台，助力企业数字化转型）
- 华硕电脑U盘重装系统教程（一步步教你如何使用U盘重装华硕电脑系统）
- 小米A3（突破性的相机技术与高效处理器的完美结合）
- 什么是DDOS攻击？
- 使用UEFI引导U盘安装XP系统（UEFI引导U盘安装XP系统的详细教程）
- 新华三集团邓伟：以全栈智慧教育能力，赋能教育行业数字化转型
- 普洛斯数据中心发布DC Brain系统，科技赋能智慧化运营管理
- PayPal的CISO谈GenAI如何提高网络安全
- 樱桃键帽（探索樱桃键帽的创新设计与高品质材料，为你带来绝佳打字体验）
- 2030 年数据中心电源市场将达330亿美元 | 市场预测
- 华硕电脑U盘安装教程Win7（一步步教你如何在华硕电脑上使用U盘安装Windows7系统）
- 注意！一个新的恶意扩展可以远程控制你的谷歌浏览器
- 用u启重装系统教程（简明指南带你快速掌握u启重装系统的技巧）
- 手机注册表编辑器教程（教你一步步掌握手机注册表编辑器的使用技巧）
- 如何正确认知双活数据中心的存储层脑裂？
- DrayTek 路由器爆远程代码执行漏洞
- 以惠普启动盘启动装系统教程（详细介绍如何使用惠普启动盘安装操作系统）
- 华硕重新安装Win7系统教程（简明易懂的Win7系统重装步骤与技巧）
- 欧拉开发者大会即将开启：全球芯片、整机、软件厂商共建数字基础设施开源操作系统
- 搜索
- 友情链接
- 揭秘苹果耳机6s音质的绝佳表现（聆听细节世界，感受耳边的音乐奇迹）
- 尼康D700（探索尼康D700的出色性能和多功能特点）
- 探索触控耳机的革新之道（解锁未来音乐体验，触摸即操控）
- IBM携手腾讯联合发布《无边界零售》白皮书：洞察行业新格局，赋能企业“无边界零售”转型
- Root之后手机的变化及影响（探索手机root后的功能和风险）
- 烈焰战神1050ti（探索烈焰战神1050ti的卓越性能与多功能特性）
- 揭开华强北高仿苹果7的真相（高仿苹果7是否值得购买？一探真伪背后的故事）
- 康佳P2如何打造智能生活新体验（品质、智能与创新的完美结合）
- 央广银河（金融增值与财富管理的领先机构）
- 迈凯亚耳机的音质表现如何？（探索迈凯亚耳机音质的细节与特点） 香港物理机b2b信息平台云服务器网站建设亿华云企业服务器源码库