如何对服务器黑客进行事后分析

Question

我有一台装有 IIS6、SQL Server 2005、MySQL 5 和 PHP 4.3 的 Windows Server 2003 SP2 机器。这不是生产机器，而是通过域名向世界公开。机器上启用了远程桌面，并且有两个管理帐户在其上处于活动状态。

今天早上我发现机器已经注销，登录文本框中仍然有一个未知的用户名。经过进一步调查，我发现已创建两个 Windows 用户，已卸载防病毒软件，并将少量 .exe 文件放入 C: 驱动器。

我想知道的是，我应该采取什么步骤来确保这种情况不再发生，以及我应该关注的领域来确定进入的途径。我已经检查了 netstat -a 以查看哪些端口是打开的，并且那里没有任何奇怪的地方。我确实在 MySQL 的数据文件夹中找到了未知文件，我认为这可能是入口点，但我不确定。

我非常感谢对服务器黑客进行良好的事后分析的步骤，以便我将来可以避免这种情况。

调查后审查

经过一番调查，我想我知道发生了什么。首先，在 08 年 8 月至 09 年 10 月的时间范围内，机器尚未联机。在此期间，发现了一个安全漏洞，即MS08-067 漏洞。“这是一个远程执行代码漏洞。成功利用此漏洞的攻击者可以远程完全控制受影响的系统。在基于 Microsoft Windows 2000、基于 Windows XP 和基于 Windows Server 2003 的系统上，攻击者可以利用此漏洞无需身份验证即可通过 RPC 运行，并且可以运行任意代码。” 2008 年 10 月发布的 KB958644 安全更新修复了此漏洞。

由于当时机器处于离线状态，错过了这次更新，我相信这个漏洞是在 09 年 10 月机器重新上线后不久被利用的。我发现对一个被描述为后门程序的 bycnboy.exe 程序的引用，该程序会对受感染的系统造成严重破坏。机器上线后不久，自动更新安装了补丁，关闭了远程控制系统的能力。由于后门现已关闭，我相信攻击者随后在该机器上创建了物理帐户，并能够再使用该机器一周，直到我注意到发生了什么。

在积极清除恶意代码、.exes 和 .dlls，删除自托管网站和用户帐户后，机器现在再次处于工作状态。在不久的将来，我将监视系统并查看服务器日志，以确定事件是否重复发生。

感谢您提供的信息和步骤。

Answer 1

验尸本身就是一门黑色艺术。每次都有点不同，因为实际上没有两次闯入是相同的。考虑到这一点，我推荐的流程的基本概述如下，并针对您的情况进行了一些具体说明：

1. 物理断开机器与网络的连接。（真的。现在就做。）
2. 可选步骤：制作硬盘驱动器的二进制映像副本以备将来使用。
3. 将所有日志文件、有价值的数据等复制到可移动硬盘驱动器上
   • 也可以选择复制您找到的任何“黑客工具”
4. 开始实际的验尸。在你的情况下：
   • 请注意任何新的或丢失的用户帐户。查看他们的主文件夹是否有任何“有趣”的内容。
   • 注意任何新的或丢失的程序/二进制文件/数据文件。
   • 首先检查 MySQL 日志 - 寻找任何“不寻常”的东西
   • 检查其余的服务器日志。查看您是否可以找到正在创建的新用户、他们登录的地址等。
   • 寻找数据损坏或盗窃的证据
5. 当您找到问题的原因时，请注意如何防止它再次发生。
6. 将服务器擦干净：格式化并重新安装所有内容，恢复数据并用 #5 中的笔记堵塞原始漏洞。

如果您要参与执法，通常会执行第 2 步。您执行第 3 步，以便在服务器重建后查看信息，而无需阅读您在第 2 步中制作的映像副本。

第 4 步的详细程度取决于您的目标：只是堵住漏洞是一种不同的调查，而不是追查谁偷了一些有价值的数据:)

恕我直言，第 6 步至关重要。您不会“修复”受感染的主机：您擦除它并从已知的良好状态重新开始。这可确保您不会错过盒子上留下的一些作为定时炸弹的令人讨厌的金块。

这绝不是一个完整的验尸大纲。我将其标记为社区 wiki，因为我一直在寻求改进流程 - 我不经常使用它 :-)