记一次针对Centos的入侵分析

离开厂家多年，很久没有碰这类事件了。

回顾：

　2017年9月末，接到一个朋友转述的求助信息。他一客户的服务器被黑了。服务器上所跑业务上的金额也全部被人转走了。

朋友的客户加我后，没头没尾的问我能不能做服务器加固...（难得的长假，举国欢庆啊哪有空鸟他）。

　10月4号跟对方详细聊了下情况。大致明白缘由了。

事件：

　1.一台阿里云上的centos服务器被黑。理由：服务器上被加了计划任务+脚本。

2.服务器所支撑的业务（一个微信公众号）上所有的金额被黑阔批量转走（薅羊毛？）

朋友客户的处理措施：

1.直接把对方的脚本删了。（语音询问得知这点直接让我无语了= =）

2.日志未备份。

3.服务器直接下线。

好吧，本来只是单纯的入侵行为，还不是很有兴趣。毕竟举（mei）国（kong）欢（da）庆（li）的日子。但后面说有“薅羊毛”的味道。可“薅”就“薅”吧，为什么要入侵服务器？感觉可以上面看看。

开搞：

又磨蹭了半天，吃完早餐就抱着电脑登上服务器了

先last（习惯性）。即使不是我的服务器我习惯性看看有没有其他人在= =

因为先前从对方那得知，ip来自境外。所以把last记录里的ip挑出来。去ip库查了遍（ip都在正常区域）。这有点出乎意料了...没登录过？

猜测可能原因：

　　1.对付通过爆破SSH（端口裸露在公网），然后登录。

2.通过其他服务（MSSQL、MYSQL等）。

3.业务系统有漏洞。（对方说是java开发的）。

　　4.其他...

初步判断：

　　简单看了last记录看不到有来自其他ip的登录（除非黑阔把日志删除了）。排除1。

　　业务系统由运行MYSQL，且严格限制ip。且为阿里云上的数据库服务。排除2。

沟通后得知是java开发的，我一喜，马上问是struts2之类的框架吗？ 对方巴拉巴拉一堆。 好吧没听懂= =（不是struts2）。

端口、进程都查了。没有发现异常的地方（由于管理员在第一时间清理进程，所以对后期排查也有影响。这里也给大家在做入侵应急响应一个警示！！）。

查下.bash_history（所以，渗透的同学请注意痕迹问题）：

感兴趣的东西不多，留意下面：+

（上图大部分是管理员在发现被入侵后的操作。个别命令管理员自己都忘记是不是自己的操作了。）

好吧，只能仅作参考了 = =

查下/var/log/secure信息（Ubuntu的认证信息存放在auth中）。

发现一大堆来自境内外的爆破信息。日志文件被分成好几个了。一个个查。

为了方便，查了认证成功的信息：

翻了一遍。有登录成功的ip都是正常的地区（管理员所在城市）

看来黑阔真没登录成功过？

不应该啊，没登录怎么写计划任务。除非就是有远程执行了....又没有struts2之类的。看来还有遗漏的地方。

继续：

管理员说过计划任务有问题。

切过去看看。/var/log/下 有几份计划任务的日志。（原计划任务中的脚本文件被管理员自己删除了= =）

翻翻计划任务看有没有什么信息。

果然.....

好像离真相很近了。发现脚本记录。

再查下/var/spool/cron/下的信息（如果创建了计划任务，这里会有以该用户命令的信息。比如root）：

补充：crontab -l 查看当前用户的计划任务信息。

欧克，那么明白了，脚本就是这个。

本地试试看这个脚本还存不存在远程服务器上。结果直接下回来了....

眼熟吗？有的盆友估计看到这个脚本很眼熟。

好吧，单纯的我没有第一时间反应过来。傻乎乎的分析脚本去了（我把这脚本跟刷红包联系在一起了）。

把文件截图一份扔给群里的胸弟，然后接着看。

突然在etc下发现了这个。。。

不会是未授权访问吧。。。

马上询问管理员，有弄过redis吗？ 管理员回答：有！后来改成阿里云的了

至此大概明白怎么回事了

真相只有一个...

群里胸弟的反馈：这不就是挖矿的节奏嘛。

redis未授权+挖矿+杀进程。终于说通了

1.Redis服务使用ROOT账号启动
2.Redis服务无密码认证或者使用的是弱口令进行认证
3.服务器开放了SSH服务，而且允许使用密钥登录，即可远程写入一个公钥，直接登录远程服务器。

这里植入挖矿程序都不需要登录服务器。只需要远程写入计划任务并启动脚本就可以实现。这也就是为什么调用了root权限但是没有登录记录的原因。

至于怎么修复：请自行百度。

　　

至此前期工作告一段落。其实按常规的检查思路。还有很多需要检查的地方。如果端口、进程、常规日志等都没发现问题，那么就改查文件信息了（修改、创建等）直到排查出原因。

1.管理员已将这台服务器下线。redis也停了一段时间。所以入侵行为发现也有一段时间了。只是近期发现有恶意抢微信红包才留意到服务器被黑。

2.没错，微信红包的事还没解决....也就是说服务器被入侵和刷红包其实是两个事情两者没有必然联系（刚好时间接近）。所以在反查的时候会不自觉的将两者联系在一起。

给管理员提了些关于限制恶意抢红包的机制。

------------------------------------

-邪恶的分割线--------------------------------------------------------------

附上些日志检查常用的命令：

last -f /var/log/wtmp  等同与last  //查看所有的登录记录

last -f /var/log/btmp  //只记录认证失败的信息

linux 关键的系统日志

.   message和syslog:   记录linux系统长的系统和服务错误信息
            /var/log/messages   redhat  centos
            /var/log/syslog    ubuntu

.   auth ：用来存放认证信息  如login  su
            ubuntu和debian：  /var/log/auth.log
             redhat centos : /var/log/secure

.    cron：  系统定期执行计划任务时产生的日志 

             /var/log/cron
             计划任务位置：/var/spool/cron

.   mail ：邮件日志  

            /var/log/mail

.    lastlog : 机器最后一次登录成功的时间、ip等  

            /var/log/lastlog