0x00前言

某年某月某日某网站被Google标记包含恶意软件,针对该问题进行排查(包括后门木马查杀、安全漏洞查找、日志分析、攻击方法、攻击路径及问题复现等),并对存在风险的服务器、web应用等提出安全整改建议。

0x01了解问题

1、网站在9月底出现被标记包含恶意软件的问题,10月10日之后发现网站web服务器和数据库服务器的管理员密码被非法篡改;

2、网站技术人员使用PE盘重置web服务器和数据库服务器的管理员密码重置,使用杀毒软件查杀服务器的病毒,发现两台服务器存在同样200个操作系统病毒(windows),立即进行删除;

3、网站web服务器和数据库服务器的远程桌面端口对公网开放。

0x02分析原因

日志分析
查看web服务器上系统日志,发现5月-9月无登录成功日志,询问网站技术人员,web服务器5月之前作为其他服务器使用,9月7日改为网站web服务器正式上线使用:

查看9月之后登录成功日志,发现如下几个IP成功登录web服务器多次,询问网站技术人员确定非网站运维人员正常登录IP,为黑客登录。

1.180.xxx.xxx北京市朝阳区电信
该IP多次进行web攻击尝试,目前暂未发现上传木马成功。

该IP9月25日至10月10日多次成功登录服务器


115.181.xxx.xxx河北省石家庄市长城宽带
该IP从9月8日以来频繁登录,确认为黑客爆破成功后登录服务器:


121.254.xxx.xxx韩国
该IP10月5日至10月10日多次成功登录服务器:


218.76.xxx.xxx湖南省娄底市 电信

106.37.xxx.xxx北京市北京市 电信


123.127.xxx.xxx北京市北京市 联通

木马后门查找

web服务器(172.xxx.xxx.128)

10月13日分析发现5个后门文件:shell.jsp、pwn.jsp、index.jsp、1377008018517_5297.jsp、brog.jsp以及与后门相关的class文件。

木马后门
shell.jsp、pwn.jsp、index.jsp、1377008018517_5297.jsp以及与后门相关的class文件,路径如下:

D:\tomcat\prod\uploadFiles\crm\newsUploadFile\113

D:\tomcat-80\prod\uploadFiles\crm\newsUploadFile\113

D:\tomcat\work\Catalina\localhost\uploadFiles\org\apache\jsp\crm\newsUploadFile_113

brog.jsp以及与后门相关的class文件,路径如下:

D:\tomcat-80\prod\uploadFiles\cms\rich\2013\2\17\file

D:\tomcat\prod\uploadFiles\cms\rich\2013\2\17\file

D:\tomcat\work\Catalina\localhost\uploadFiles\org\apache\jsp\cms\rich_2013_2_17\file

搜索发现的木马以及相关文件,如下:

拷贝木马通过D盾查杀,确认为木马后门。

通过访问发现的文件,发现5个均为后门木马文件。

shell.jsp后门可直接控制windows服务器(web):

http://ip:端口号/uploadFiles/crm/newsUploadFile/113/shell.jsp

pwn.jsp多功能木马可直接控制windows服务器(web):

http://ip:端口号/uploadFiles/crm/newsUploadFile/113/pwn.jsp

brog.jsp后门可直接控制windows服务器(web):

http://ip:端口号/uploadFiles/cms/rich/2013/2/17/file/brog.jsp

1377008018517_5297.jsp后门可直接控制windows服务器(web):

http://ip:端口/uploadFiles/crm/newsUploadFile/113/1377008018517_5297.jsp

index.jsp后门可直接连接数据库服务器,对数据库进行增删改操作:

http://ip:端口/uploadFiles/crm/newsUploadFile/113/index.jsp

数据库服务器(172.xxx.xxx.xxx)
暂未发现web层面的木马后门。

服务器漏洞
数据库服务器密码泄露
发现172.xxx.xxx.xxx操作系统下D:/oraclesql.txt该文件记录明文数据库密码,由于数据库服务器被黑客入侵,数据库密码已被黑客掌握:

0x03#确认成因
1、由于web服务器和数据库服务器的远程桌面端口之前暴露在公网,口令复杂度不高,黑客通过工具爆破成功获得administrator管理员密码,从而成功入侵web服务器和数据库服务器,并向服务器拷贝windows病毒。

2、黑客为了防止网站技术人员更改administrator密码后丧失web服务器的控制权,黑客拷贝多个web木马后门至网站根目录下D:\tomcat\prod\uploadFiles,方便从web层面继续控制服务器。

3、网站服务器存在多个木马后门及病毒,故而被多个浏览器标记为含有恶意软件的网站

0x04#修复建议
删除、整改、部署设备。

最后修改:2021 年 03 月 09 日
如果觉得我的文章对你有用,请随意赞赏