一、诡异的网站篡改应急响应
1、事情概述
2021年1月6日下午的16点左右,本来还要在摸两个点的鱼就可以飞法法的下班了,照例下班前把安全设备都看了一遍,一刷新系统蹦出几条某某大学下的大量二级域名网站被篡改的告警,随后经过人工验证所有告警的二级网址均存在被篡改页面,并随即报告给了值班客户,随后应客户要求兴(hao)高(bu)采(qing)烈(yuan)地到了现场做应急处置,至于为什么称之为诡异请看下述分析。
2、事件分析
到达现场后,随之跟网络相关负责人沟通,得知被篡改的所有二级域名网站都是部署在同一台服务器上的,服务器分前台服务器和后台服务器,并且服务器出到互联网的话得经过两台waf防火墙,且内网部署有深X服EDR和明X态势感知,网站都已部署防篡改安全防护做的很充足,需要部署的点几乎都上了设备,经询问网络相关负责人得知安全设备并无任何告警,之前也有用EDR查杀过病毒但也无任何异常,这就比较诡异了。
经过勘察,站群架设在IIS中间件服务器上,同时运行着18个网站直呼好家伙。
页面发生了篡改说明攻击者已经拿到了服务器一定的权限那么很有可能会留存有webshell后门文件,因为网站文件过多,老规矩一上来就先利用D盾对这18个网站的目录进行后门文件的查杀,在查杀的同时也可以利用这个时间去找找其他可疑的点,过了许久查杀出了在某个二级学院网站目录下的IAA目录共有12.ashx、12.aspx、2012.aspx、ijvsx9.asp四个后门文件,其他站群并无疑似webshell的文件。
查看后门创建时间,均为2017年12月21日,后门创建时间久远,但发生篡改是在1月6号,这不科学啊难道不是同一批入侵者?难道入侵者篡改了页面把后门给清理了?还是说这几个后门文件被入侵者有意的修改了日期呢?小小的脑袋大大滴疑问。
进一步的分析,并未发现网站根目录下发生篡改告警时生成的后缀目录或者文件,所以说被篡改的不是网站内原有的文件或生成新的页面文件,而且网站上都部署了防篡改系统,经过验证在根目录创建文件并不成功防篡改生效这就很诡异,很像是网站的全局动态文件劫持的手法。
果不其然在进一步的排查IIS当中,在IIS的引用模块处发现两条可疑的dll文件分别为iisW3d.dll、iisW3x.dll。
定位根据文件的路径定位到所在的C盘Windows\System32\inetsrv目录下,发现这两个dll并无任何信息任何的数字签名,dll的修改的时间为1月5号23:33分也就是发生篡改的前一天,将两个dll文件下载至本地并利用奇安信天擎查杀显示为木马文件。
3、日志排查
综合上述分析已知4个后门文件都在IAA目录下,通过这一信息对IIS的网络日志从1号至6号进行搜索关键词IAA,仅在5号有IAA目录的访问日志,在5号14:57分开始先是GET访问12.ashx后门文件,这应该是入侵者验证确认该后门是否还存在,随后确定了后门还存在后在进行POST的数据传输行为。