惨遭黑客入侵，记一次服务器被攻击的应急行动！
|
副问题[/!--empirenews.page--]
假如你的 PHP 处事器被黑客入侵时该怎么办？这是我最近处理赏罚 Linux Web 处事器发明的一个题目。
PHP 处事器被黑时，会呈现新的 PHP 文件，这与运行在处事器上的 wordpress 应用措施和特定的用户署理没有任何关系，全部的流量都被重定向到另一个站点。 在第一次被进攻之后，我已经禁用了全部他所检测到的恶意文件，并修复了重定向，直随处事器再次被黑客进攻。 为此，要将这些应用措施转移到新的装备举办说明，我必需在原体系上对下列 3 个线索举办取证：
不外要声名的是，我的目标不是要成立一个正当有用的掩护机制，而是要确定：
在得到域名、IP 和 SSH 证书后，我就开始网络被黑的证据了。 网络证据 在毗连随处事器之前，我留意到我的 IP，以确保往后可以或许在日记中把它区分隔。 然后通过 SFTP 毗连，因为处事器的磁盘安装和运行，我无法举办映像。以是我下载了全部我可以获得的日记文件以及其他感乐趣的文件。 我复制了整个 /var/log/ 目次，并从假造主机根文档地址的目次中复制了 Apache 特定的日记文件，并复制了被黑的 PHP 应用措施，以及在变乱产生后不久的一些备份。 不幸的是，我没有对打点员所做的变动造行备份，因此一些要害的文件也许已经被修改了。 我启动了 Kali 并运行了一个具有 portscan 端口扫描器措施的 Nmap 扫描，其它我还安装 WPScan。 由于处事器运行的是一个旧的 Wordpress 实例，并且这个实例也执行了重定向，以是 Wordpress 看起来很也许是进攻的初始点。 Wordpress 在受到黑客进攻后已经更新，WPScan 没有发明任何当前的裂痕。portscan 为 FTP、SSH、HTTP 和 HTTPS 提供了开放端口，而这在 Web 处事器上是不行能的。 我在 wp - content 目次下发明白全部的 Shell，在某种水平上，这意味着 Wordpress 应用措施已经被粉碎。 我还搜查了 VirusTotal，看看网站是否撒播了恶意软件，但统统好像都很正常。 于是我抉择通过节制台登录体系，但条件是我不知道处事器上的二进制文件是否被传染了，因此为了镌汰取证的影响，我带来了我本身的静态链接二进制文件。 我从 busybox 下载了二进制 coreutil，并将它们上传到了处事器上。我还通过 SLEUTH Kit 上传了 chkrootkit 和一个叫做 mac-robber 的器材。 我行使静态二进制文件来搜查体系，获得一个运行流程列表，cronjob……
为了获得一个监控列表(tcp 和 udp)历程，我没有涵盖 portscan 中的全部端口，因此这里的输出也许很风趣。
从处事器表现勾当的传出毗连(tcp 和 udp)，然而，这两个清单都没有表现可疑的勾当。 对 chkrootkit 举办 rootkit 检测，也没有找到任何对象。rkhunter 和 clamav 也没有发生任何非常。ClamAV（Linux 杀毒软件）也没有检测到 PHP Shell 和 Windows 木马措施。 固然我很全力，但到今朝为止还没有发明非常打开的端口，非常的历程运行。于是，我和一个打点员核实了 FTP 和 ssh 帐号，这些账号看起来也很正常。 但我并没有放弃，在行使了 mac-robber 器材后，我网络了在处事器上建设和修改的文件信息(稍后可以用来建设变乱的时刻轴)：
制止今朝，我网络的证据包罗：
说明证据 因为已经发明白进攻者安排的一些 Web Shell，在颠末说明后，我以为，这些文件很像 Xjrop.php、Nwfqx.php 或 Rwchn7.php，而且很也许驻留在通例应用措施文件。 然而，也有一个 up.php 文件被挪用，它提供了一个相似的目标，但有其他的源代码。而 Xjrop.php，Nwfqx.php 和 Rwchn7.php 是一样的，up.php 是另一种具有略微差异成果的 Shell。用 diff 呼吁，较量文件：
可能通过他们的 md5sum 举办较量：
尚有 2 个文件 bjrnpf.php 和 jemkwl.php，这些都是沟通的，但差异于其他文件。一个可疑的可执行文件被定名为 windoze，我猜疑是一些恶意软件从这个主机分发的。 我构建了这个文件的 md5sum，并搜查了 VirusTotal 的哈希值，留意，在 VirusTotal 上上传的文件可以被其他研究职员看到，因此是果真的。VirusTotal 以为这个文件是木马，为了往后的说明，我生涯了它。 （编辑：河北网） 【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容! |
