一次被黑追凶(未完待续)

http://icefishwp.sinaapp.com/?p=134

一次被黑追凶(未完待续)

0×01，某天师妹告诉我们某台服务器疑似被人干掉了，我果断远程过去，结果服务器远程不上，感觉有点意思了

第二天到实验室，果断直接物理登录，发现服务器出现了奇怪的情况，没了任务管理器，无法直接关机。

远程端口疑似被改，

首先写道

netstat -ano > e:/test.txt

得到部分链接如下

写道

Active Connections

Proto Local Address Foreign Address State PID

TCP 0.0.0.0:53 0.0.0.0:0 LISTENING 1460

TCP 0.0.0.0:80 0.0.0.0:0 LISTENING 1604

TCP 0.0.0.0:135 0.0.0.0:0 LISTENING 700

TCP 0.0.0.0:445 0.0.0.0:0 LISTENING 4

TCP 0.0.0.0:1031 0.0.0.0:0 LISTENING 464

TCP 0.0.0.0:1032 0.0.0.0:0 LISTENING 1284

TCP 0.0.0.0:1034 0.0.0.0:0 LISTENING 1460

TCP 0.0.0.0:3947 0.0.0.0:0 LISTENING 4464

TCP 0.0.0.0:4019 0.0.0.0:0 LISTENING 4464

TCP 0.0.0.0:4405 0.0.0.0:0 LISTENING 2884

TCP 0.0.0.0:10203 0.0.0.0:0 LISTENING 8232

TCP 127.0.0.1:1036 0.0.0.0:0 LISTENING 3148

TCP 127.0.0.1:8081 0.0.0.0:0 LISTENING 4464

TCP 127.0.0.1:8082 0.0.0.0:0 LISTENING 4464

TCP 127.0.0.1:8083 0.0.0.0:0 LISTENING 4464

TCP 127.0.0.1:8084 0.0.0.0:0 LISTENING 4464

TCP 127.0.0.1:8085 0.0.0.0:0 LISTENING 4464

TCP 127.0.0.1:8086 0.0.0.0:0 LISTENING 4464

TCP 127.0.0.1:8087 0.0.0.0:0 LISTENING 4464

TCP 127.0.0.1:8088 0.0.0.0:0 LISTENING 4464

TCP 127.0.0.1:8089 0.0.0.0:0 LISTENING 4464

然后

写道

tasklist /svc

查看svchost.exe中包含的TermService的pid是多少

写道

映像名称 PID 服务

========================= ======== ============================================

System Idle Process 0 暂缺

System 4 暂缺

smss.exe 328 暂缺

csrss.exe 376 暂缺

winlogon.exe 404 暂缺

services.exe 452 Eventlog, PlugPlay

lsass.exe 464 PolicyAgent, ProtectedStorage, SamSs

svchost.exe 632 DcomLaunch

svchost.exe 700 RpcSs

svchost.exe 780 Dhcp, Dnscache

svchost.exe 816 LmHosts, W32Time

ZhuDongFangYu.exe 864 ZhuDongFangYu

spoolsv.exe 1260 Spooler

msdtc.exe 1284 MSDTC

360EntClient.exe 1364 360EntClientSvc

360EntSvc.exe 1404 360EntSvc

svchost.exe 1496 ERSvc

360EntPublish.exe 1604 暂缺

svchost.exe 1616 RemoteRegistry

snmp.exe 1652 SNMP

360EntAdmin.exe 1744 暂缺

360EntDT.exe 2344 暂缺

svchost.exe 2884 TermService

svchost.exe 2912 TapiSrv

alg.exe 3148 ALG

explorer.exe 3716 暂缺

conime.exe 3460 暂缺

360sd.exe 3584 暂缺

TSVNCache.exe 1544 暂缺

UnlockerAssistant.exe 4032 暂缺

360Desktop.exe 4008 暂缺

360tray.exe 3492 暂缺

ctfmon.exe 3828 暂缺

360DesktopSwitch.exe 3368 暂缺

360AppCore.exe 260 暂缺

360EntClient.exe 3896 暂缺

360EntConfigGuide.exe 4000 暂缺

mmc.exe 2928 暂缺

360Safe.exe 7132 暂缺

360rp.exe 7208 暂缺

cmd.exe 8672 暂缺

NOTEPAD.EXE 6008 暂缺

DSMain.exe 7080 暂缺

httpd.exe 7140 360EntHttpServer

httpd.exe 7344 暂缺

cmd.exe 6492 暂缺

csrss.exe 9028 暂缺

winlogon.exe 4172 暂缺

rdpclip.exe 9108 暂缺

wuauclt.exe 9816 暂缺

logon.scr 8560 暂缺

taskmgr.exe 6092 暂缺

mmc.exe 4732 暂缺

mmc.exe 9868 暂缺

cmd.exe 2432 暂缺

cmd.exe 5096 暂缺

mmc.exe 5708 暂缺

NOTEPAD.EXE 8812 暂缺

iexplore.exe 3380 暂缺

iexplore.exe 1180 暂缺

svchost.exe 8908 AeLookupSvc, CryptSvc, EventSystem,

helpsvc, Netman, Nla, RasMan, Schedule,

SENS, ShellHWDetection, winmgmt

360rps.exe 8928 360rp

wmiprvse.exe 9024 暂缺

wmiprvse.exe 9192 暂缺

cmd.exe 5584 暂缺

notepad.exe 8172 暂缺

NOTEPAD.EXE 6044 暂缺

tasklist.exe 5376 暂缺

可以看到 svchost.exe 2884 TermService 和这个 TCP 0.0.0.0:4405 0.0.0.0:0 LISTENING 2884

得出远程端口被小黑客改成了 4405，果断远程登入

0×02. 接下来就是分析情况了，

net user

得到 写道

——————————————————————————-

__vmware_user__ admin Administrator

ASPNET Guest

IWAM_SVCTAG-9SSGN2X named SQLdebugger

SUPPORT_388945a0

命令运行完毕，但发生一个或多个错误。

可以发现多了个admin的用户，直接 pwdump7读出密码hash，
http://www.objectif-securite.ch/en/products.php
反解hash，得到了他添加的用户名密码

0×03 同时开360扫描杀毒，发现他还添加了sethc后门，想想也是一般都会加个shift后门

拖回来这个文件（还改了文件属性为隐藏系统文件），

od,ida打开

随便点点，先点设置再点取消，会出现个让我们欣慰的小框



果断操刀od，bp getWindowTextA

bp getWindowTextW

同时ida直接查找 getWindowTextA

发现了这个



这下这个后门的密码就出来了，

经过od的调试发现后门使用就是

shift5次呼出 后门， 点设置再点取消出现 编辑框，输入密码，再次点击设置就可以进入后门了，

后门如下



这下为啥没有任务管理器就懂了。。。

0×04 然后看了看这个小黑客账户的最近访问文件

原来是把我们的服务器当作扫描器了…



,

0×05 最后360全盘扫描，删掉后门木马，把我们测试用的web server关了(这个上面有个我们测试用的webshell，而且没密码….估计这样进来的)

并且做了一个反制措施，看看小黑客会不会中招。。。。