安基网 首页 安全 取证分析 查看内容

linux系统被入侵排查顽固病毒 与病毒源码

2020-2-15 15:06| 投稿: xiaotiger |来自: 互联网


免责声明:本站系公益性非盈利IT技术普及网,本文由投稿者转载自互联网的公开文章,文末均已注明出处,其内容和图片版权归原网站或作者所有,文中所述不代表本站观点,若有无意侵权或转载不当之处请从网站右下角联系我们处理,谢谢合作!

摘要: LINUX之在centos上一次艰难的木马查杀过程入侵环境分析:自己搭建了一台l2tp服务器在内网上,root权限的登录密码为弱密码.搭建好了,测试成功之后,还是比较开心的感觉,因为我一般不是很喜欢在路由器上直接进行vpn连接,因此就把这个l2tp的服务从内网映射出去到外网。一般是通过外网的端口来访问内网 ...

LINUX之在centos上一次艰难的木马查杀过程


入侵环境分析:

自己搭建了一台l2tp服务器在内网上,root权限的登录密码为弱密码.搭建好了,测试成功之后,还是比较开心的感觉,因为我一般不是很喜欢在路由器上直接进行vpn连接,因此就把这个l2tp的服务从内网映射出去到外网。一般是通过外网的端口来访问内网的l2tp服务器实现vpn连接的。这样的话对于路由器来说的负载和服务开的较少,有利于路由器设备的维护。


突发状况:

我的服务器一般情况下是不关机的,因此在l2tp服务器搭建成功之后,从来没有关过机,而且很频繁登陆到这个服务器上的服务去,因为我会在家里办公需要连接访问公司的内网获取资料。从来没有关过机。有一天晚上,公司内网整个区域很是卡顿,整个办公区的网络很顺畅,因此管理员通过防火墙设备查到我的这台服务器有很强的异常流量。于是通过防火墙设备把我的这台设备给禁用了,不能访问外网才使得公司内的网络恢复了正常。


自我分析:

因为自己有多台服务器在内网上,内网的服务器全是正常的,只有映射到外网上的服务器出了问题,这就是说明了,我的那台外网服务器存在某一个漏洞或者是某一个缺陷,导致了被别人利用。这台服务器我只是做了一个简单的l2tp服务映射到了公网用于连接公司。

怀疑一、l2tp服务存在服务漏洞,映射出去后,被别人利用

怀疑二、软口令,因为我的服务器的密码是123456,映射到公网后,外网下通过扫描弱口令就可以使得你的服务器口令实施攻击行为。

我自己的判断是 弱口令所致,因为我的密码实在是太简单了。


登陆服务器查看原因:

首先在时间轮询里看是否有自己创建的开机脚本cat /etc/crontab


查看到在时间轮询中有一句不是自己创建的开机脚本为,说明是有个开机脚本是3分钟执行一次的gcc.sh脚本

于是我就先打开这个脚本看看里面写的到底是什么鬼东西



可以看到脚本的意思是不断地检测网卡的状态,不断地判断所有的网卡,不断的让网卡处于开启的状态。不断的与外界联系。

于是这个 /lib/libudev.so文件就需要查看一下里面到底是什么的


排查到这里我们可以确定有几个地方有问题

/lib/libudev.so

/etc/cron.hourly/gcc.sh

/etc/crontab

/etc.rc.d/init.d/ 这个文件夹下的所有文件全都是问题

/etc/rc.d/rc3.d/

通过排查可以肯定的是/lib/libudev.so是主体。其他是协助运行和自我保护自我复制的实现。既然这个程序在系统上,就可以把他处理掉。


重新开机重启,问题解决。


在排查的过程中发现有一个自我复制的程序,发现了异常有10位字母的启动脚本,打开之后的代码为:


在排查看是发现在/etc/rc.d/的整个文件夹下包括rc0.d rc1.d rc2.d rc3.d rc4.d rc5.d rc.6目录下面都有可疑程序


cat /etc/rc.d/rc0.d 下面确实这些可疑文件,删除即可.




小编推荐:欲学习电脑技术、系统维护、网络管理、编程开发和安全攻防等高端IT技术,请 点击这里 注册账号,公开课频道价值万元IT培训教程免费学,让您少走弯路、事半功倍,好工作升职加薪!

本文出自:https://www.toutiao.com/a6793117371729969678/

免责声明:本站系公益性非盈利IT技术普及网,本文由投稿者转载自互联网的公开文章,文末均已注明出处,其内容和图片版权归原网站或作者所有,文中所述不代表本站观点,若有无意侵权或转载不当之处请从网站右下角联系我们处理,谢谢合作!


鲜花

握手

雷人

路过

鸡蛋

相关阅读

最新评论

 最新
返回顶部