某應(yīng)用系統(tǒng)應(yīng)急事件分析及溯源報告2020事件簡述2019613文件修改時間被篡改為2015年通過掃描網(wǎng)站目錄發(fā)現(xiàn)如下后門文件從后門文件創(chuàng)建事件以及index.php的修改時間來看，最早在18年11月20號就被上傳了后門程序，并進行了首頁的篡改。最近一次后門是在19年5月21號上傳，由于系統(tǒng)只是保留了19年的日志，所以，本次重點分析5月21號這次攻擊。排查過程系統(tǒng)狀態(tài)對系統(tǒng)當前連接進行查看，未發(fā)現(xiàn)異常連接，未發(fā)現(xiàn)服務(wù)器與非正常ip地址建立連接。查看任務(wù)管理器未發(fā)現(xiàn)占用較高cpu、內(nèi)存的異常進程。日志分析從5月21號日志可見，攻擊者進行了一輪目錄枚舉cmsapche+win理員密碼。通過訪問\hhttp://xxx.xxx.xxx//data/backupdata/dede_m~1.txt,獲取admin賬號，并成功登錄系統(tǒng)在后臺訪問dede/file_manage_view.php?fmdo=upload&activepath=路徑，進行惡意文件上傳，上傳5678.php成功，上傳時間為5月21。后門5678.php的具體內(nèi)容如下，該后門還是很有意思的，大多數(shù)時間也是放在該后門的分析上了。從日志中可見攻擊者利用5678.php做了一系列查詢操作613code.php話木馬。code.php具體內(nèi)容如下，該菜刀馬同樣也是免殺馬，測試了下win10自帶的防護、D盾都無法查殺出來是后門文件。繼續(xù)分析日志，從日志來看，攻擊者又通過連接code.php做了一些操作，但是具體行為無法判斷異常用戶分析通過查看用戶發(fā)現(xiàn)系統(tǒng)上存在cloudbase-init異常用戶，最后一次登錄時間為6月6號。查看用戶配置文件，該用戶第一次登錄時間應(yīng)該在2018年4月25日其桌面上被傳入了xmrig挖礦軟件，文件建立時間為6月16號。3389如下：查看系統(tǒng)日志，發(fā)現(xiàn)存在一條termdd566160點08分，雖然和挖礦軟件時間接近，但是該日志并未顯示登錄成功。查看recent也未發(fā)現(xiàn)相關(guān)行為查看了瀏覽器的歷史記錄，未發(fā)現(xiàn)相關(guān)內(nèi)容15shell號日志也未發(fā)現(xiàn)異常。后門木馬分析最后來簡單分析下發(fā)現(xiàn)的5678.php的后門木馬，本地搭建測試環(huán)境，木馬訪問如下：萬事俱備只差password，從5678.php的具體內(nèi)容來看，就是先對info內(nèi)容進行base64解碼，然后又利用gzinflate函數(shù)進行解壓，然后執(zhí)行，然而還是不知道密碼。那就先利用base64_decode解碼、在gzinflate解壓，看看輸出個啥具體結(jié)果輸出如下，看著是一臉茫然，輸出的這是些什么東東php7句代碼，生成如下參數(shù)第一步先是利用urldecode生成$O00OO0，echo$O00OO0,輸出的結(jié)果如下：n1zb/ma5\vt0i28-pxuqy*6lrkdg9_ehcswo4+f37j第二步生成$O00O0Oecho$O00O0O,輸出結(jié)果如下：base64_decode最后將eval替換為echo，$O00O0O替換為base64_decode，結(jié)果輸出如下：此時在將eval修改為echo，即可成功輸出我們期待已久的結(jié)果，密碼為hacker567可成功登錄后門5678.php5678.php攻擊溯源191thinkphp性漏洞進行攻擊嘗試，雖然均未成功，但系統(tǒng)處于水深火熱之中。通過日志分析攻擊成功的可疑ip地址如下：47、2270234ip歸屬地均為云南省