2020應(yīng)用系統(tǒng)應(yīng)急事件分析以及溯源報(bào)告

某應(yīng)用系統(tǒng)應(yīng)急事件分析及溯源報(bào)告2020事件簡(jiǎn)述2019613文件修改時(shí)間被篡改為2015年通過(guò)掃描網(wǎng)站目錄發(fā)現(xiàn)如下后門(mén)文件從后門(mén)文件創(chuàng)建事件以及index.php的修改時(shí)間來(lái)看，最早在18年11月20號(hào)就被上傳了后門(mén)程序，并進(jìn)行了首頁(yè)的篡改。最近一次后門(mén)是在19年5月21號(hào)上傳，由于系統(tǒng)只是保留了19年的日志，所以，本次重點(diǎn)分析5月21號(hào)這次攻擊。排查過(guò)程系統(tǒng)狀態(tài)對(duì)系統(tǒng)當(dāng)前連接進(jìn)行查看，未發(fā)現(xiàn)異常連接，未發(fā)現(xiàn)服務(wù)器與非正常ip地址建立連接。查看任務(wù)管理器未發(fā)現(xiàn)占用較高cpu、內(nèi)存的異常進(jìn)程。日志分析從5月21號(hào)日志可見(jiàn)，攻擊者進(jìn)行了一輪目錄枚舉cmsapche+win理員密碼。通過(guò)訪問(wèn)\hhttp://xxx.xxx.xxx//data/backupdata/dede_m~1.txt,獲取admin賬號(hào)，并成功登錄系統(tǒng)在后臺(tái)訪問(wèn)dede/file_manage_view.php?fmdo=upload&activepath=路徑，進(jìn)行惡意文件上傳，上傳5678.php成功，上傳時(shí)間為5月21。后門(mén)5678.php的具體內(nèi)容如下，該后門(mén)還是很有意思的，大多數(shù)時(shí)間也是放在該后門(mén)的分析上了。從日志中可見(jiàn)攻擊者利用5678.php做了一系列查詢操作613code.php話木馬。code.php具體內(nèi)容如下，該菜刀馬同樣也是免殺馬，測(cè)試了下win10自帶的防護(hù)、D盾都無(wú)法查殺出來(lái)是后門(mén)文件。繼續(xù)分析日志，從日志來(lái)看，攻擊者又通過(guò)連接code.php做了一些操作，但是具體行為無(wú)法判斷異常用戶分析通過(guò)查看用戶發(fā)現(xiàn)系統(tǒng)上存在cloudbase-init異常用戶，最后一次登錄時(shí)間為6月6號(hào)。查看用戶配置文件，該用戶第一次登錄時(shí)間應(yīng)該在2018年4月25日其桌面上被傳入了xmrig挖礦軟件，文件建立時(shí)間為6月16號(hào)。3389如下：查看系統(tǒng)日志，發(fā)現(xiàn)存在一條termdd566160點(diǎn)08分，雖然和挖礦軟件時(shí)間接近，但是該日志并未顯示登錄成功。查看recent也未發(fā)現(xiàn)相關(guān)行為查看了瀏覽器的歷史記錄，未發(fā)現(xiàn)相關(guān)內(nèi)容15shell號(hào)日志也未發(fā)現(xiàn)異常。后門(mén)木馬分析最后來(lái)簡(jiǎn)單分析下發(fā)現(xiàn)的5678.php的后門(mén)木馬，本地搭建測(cè)試環(huán)境，木馬訪問(wèn)如下：萬(wàn)事俱備只差password，從5678.php的具體內(nèi)容來(lái)看，就是先對(duì)info內(nèi)容進(jìn)行base64解碼，然后又利用gzinflate函數(shù)進(jìn)行解壓，然后執(zhí)行，然而還是不知道密碼。那就先利用base64_decode解碼、在gzinflate解壓，看看輸出個(gè)啥具體結(jié)果輸出如下，看著是一臉茫然，輸出的這是些什么東東php7句代碼，生成如下參數(shù)第一步先是利用urldecode生成$O00OO0，echo$O00OO0,輸出的結(jié)果如下：n1zb/ma5\vt0i28-pxuqy*6lrkdg9_ehcswo4+f37j第二步生成$O00O0Oecho$O00O0O,輸出結(jié)果如下：base64_decode最后將eval替換為echo，$O00O0O替換為base64_decode，結(jié)果輸出如下：此時(shí)在將eval修改為echo，即可成功輸出我們期待已久的結(jié)果，密碼為hacker567可成功登錄后門(mén)5678.php5678.php攻擊溯源191thinkphp性漏洞進(jìn)行攻擊嘗試，雖然均未成功，但系統(tǒng)處于水深火熱之中。通過(guò)日志分析攻擊成功的可疑ip地址如下：47、2270234ip歸屬地均為云南省