记一次小程序cms安全事件应急响应

字数统计: 2k字   |   阅读时长≈ 7分

2021年11月16日，上级发来不良检测记录，内容包含为某站点存在涉赌违规内容，该站点为基于ThinkPHP 5.0.10框架的小程序管理系统。

记一次小程序cms安全事件应急响应

1、安全事件发生

2021年11月16日，上级发来不良检测记录，内容包含为某站点存在涉赌违规内容，该站点为基于ThinkPHP 5.0.10框架的小程序管理系统，下面以xcx.test.cn作为代替

经过对比原始版本的源码，以及命令ls -alh确认，index.php于11月15日23:16分出现文件修改，确认该web服务器遭到非法攻击。

image-20211119223349447

后果：修改内容为在head内添加了meta标签和修改了title标签，标签内容为非法内容，搜索引擎的爬虫在爬取该站点时会爬取meta标签的内容，那么用户在百度搜索关键词时，会检索出不良内容。

image-20211119223357499

2、安全事件溯源

2.1 暂停服务

首先进入宝塔关闭Apache与MySQL服务，其他途径告知用户系统正在维护

image-20211119223414083

2.2 保存现场环境

进入到宝塔的网站管理界面，点击被入侵站点，点击备份站点（数据库同理备份）。

因为备份文件过大，则把全部备份通过宝塔的“腾讯云COSFS 2.0”插件，转储到cos里，在通过访问cos下载备份文件。

image-20211119223429399

image-20211119223433727

2.3 提取WEB日志

ssh连接进入服务器，提取宝塔的web日志，路径/www/wwwlogs/xcx.test.cn/ ，提取xcx.test.cn-access_log与xcx.test.cn-error_log到本地

image-20211119223438566

2.4 find命令检索被文件修改

使用find . -mtime -300 -name "*.php"检索/www/wwwroot/xcx.test.cn/网站目录下被修改过的PHP文件，以快速确认webshell落地路径

image-20211119223441983

从图中可以发现，在十一月份分别不同天数，有三个文件被添加或修改过，对比原始源码发现，除了index.php原本不存在图中另外两个文件。

2.5 分析webshell文件1

路径：/public/plugin/PHPExcel/PHPExcel/CalcEngine/index.php

image-20211119223448891

分析该文件，总共分为两个部分

s函数：对$dapeng的字符串进行rot13解码

m函数与get1_str函数：该函数作用是eval执行PHP代码，通过组合变量$dp和$dapeng1成新的系统函数，把rot13解码的字符串，从十六进制转换为字符串文本（既为PHP代码）。

PS：该图为十六进制转码后的PHP代码

image-20211119223457267

从图中可以得知，这里的变量file_path是上一层的index.php的$file_path，此处先备份网站首页index.php另存为index.bk.html，并把index.php的权限修改为0666，既所有用户可读可写权限，猜测此处目的防止因为权限原因无法修改首页。

2.6 分析webshell文件2

路径./public/webuploader/server/preview/dd887179e09b2326595305d8dd475763.php

image-20211119223509423

分析该文件，可以得知是一个PHP远程文件包含+eval执行

Ps:该文件在后面日志分析得出，该文件为黑客第一个上传的木马。

从该路径/public/webuploader/server/preview/可猜测，黑客应该是使用webuploader下的fileupload.php或fileupload2.php或presiew.php里其中的一个php文件的上传漏洞，把webshell上传到服务器

image-20211119223520486

2.7 分析access日志之攻击手法

从access日志来看，该web站点一直由来自不同地区，不同国家的IP地址用web漏洞扫描器一直进行扫描

image-20211119223526138

image-20211119223531095

由于刚刚提到webshell文件2的路径在webuploader/server下，而该文件夹下恰好有三个相关的上传文件，我们分别在access_log中搜寻fileupload.php或fileupload2.php或presiew.php

结果均为无结果：

image-20211119223550599

image-20211119223554727

image-20211119223559202

我们猜测，黑客在使用presiew.php的原文件名应该为preview.php，通过对比1月份的备份包与本月的备份包，其中得出1月份的preview.php与presiew.php的文件内容完全一致，可以确认是被黑客修改了名称，preview.php内是有关文件上传的PHP代码。

image-20211119223625383

那么回到vscode继续检索preview.php得到结果

image-20211119223632042

结果还是比较多，在精确搜索一下，只显示有200回响的

image-20211119223636730

成功筛选出4条记录，分别是

image-20211119223642606

image-20211119223646742

image-20211119223650266

image-20211119223653782

其中第1与第2条IP地址均为浙江省金华市婺城区 电信

image-20211119223658434

第3条与第4条IP地址均为深圳市腾讯云

image-20211119223702562

然后对比user-agent，第1、2条为

image-20211119223706506

第3、4条为

image-20211119223711222

请注意上述两条USER-AGENT都是非常旧的系统和浏览器版本，理应不符合该系统的对象用户，可初步判别均为异常流量。

通过相同UA头检索，发现UA为”Mac OS X 10_15_7”的主机，正在不断的从2021年6月21号到2021年11月16日，一直使用爬虫/web扫描工具进行扫描测试。

image-20211119223717142

可以看出图中的相关日志，该UA都在同一天访问有关sql数据库的管理页，通过检索可知，有关“Mac OS X 10”的UA有6838条，可以判断是爬虫工具。

继续检索UA头为"Mozilla/5.0 (Windows NT 6.1; rv:25.0) Gecko/20100101 Firefox/2X.0"的相关行日志共两条，请注意下面两条日志的时间与webshell木马的dd887179e09b2326595305d8dd475763.php时间。

image-20211119223726402

image-20211119223730110

image-20211119223733858

从上图中可以看出，第二条日志的时间与webshell的修改时间完全重合，且同时说明在11月1日该站点已经被渗透，

跟随这个UA继续检索日志，又发现访问了另外一个木马CalcEngine/index.php

image-20211119223739166

故判断UA为“Mozilla/5.0 (Windows NT 6.1; rv:25.0) Gecko/20100101 Firefox/2X.0”就是黑客攻击我企站点的UA。

在这一些不同行的日志里，除了IP归属地为浙江省金华市婺城区 电信外，其他的IP归属地均为国外，所以金华市的这个IP很有可能是黑客的真实IP地址。

总结：黑客使用preview.php分时段上传了木马dd475763.php与CalcEngine/index.php，然后在11月15日23点16分通过dd475763.php修改了public/index.php

2.8 分析access日志之留种后门分析

根据来源地址为dd88719e.php，查找referer: https://xcx.test.cn/webuploader/server/preview/dd887179e09b2326595305d8dd475763.php 查找出以下几个后门

image-20211119223749242

（1）111.php

image-20211119223753210

（2）banner3.php（经典大马）

image-20211119223757364

image-20211119223807770

（3）picture3_6.php（此处与preview.php文件内容一致）

image-20211119223817919

image-20211119223823922

（4）config.php（WebShell）

image-20211119223829781

image-20211119223838029

通过$_REQUEST[admin]传参到eval函数，实现命令执行。

image-20211119223846897

使用D_SAFE补充验证

image-20211119223853813

2.9 分析preview.php

image-20211119223904521

1）首先该文件的首行应该是if判断session是否为管理员，但在该文件内并没有写校验，故存在越权漏洞。只要知道路径，任何人都可使用该php来上传文件。

2）存在上传文件后缀无限制

image-20211119223912081

从图中可以看出，通过正则表达式，变量$base64是文件内容，变量$type是文件后缀，从红色框住的if语句里，完全没有任何的过滤，故payload为data:image/php;base64,PD9waHAgcGhwaW5mbygpOz8+

3）不校验上传文件内容

image-20211119223917029

从截图得知，上传后的文件名是文件内容的md5值，而代码中也不做文件内容检查，即可直接写<?php phpinfo();?>

2.10 preview.php攻击手法复现

image-20211119223921389

image-20211119223928913

image-20211119223934765

复现完成

三、修复建议

  1. 过滤presiew.php文件内上传的文件后缀名传参，并加入session校验。
  2. 对webuploader/下所有文件进行审计后发现，fileupload.php和fileupload2.php都有文件上传漏洞，故建议对上传文件进行过滤
  3. 对上传目录./preview/和./upload/禁止执行php。
  4. 禁止非大陆地区的IP地址访问。

赏

谢谢你请我吃糖果

支付宝
微信

扫一扫，分享到微信

tag:

    缺失模块。
    1、请确保node版本大于6.2
    2、在博客根目录（注意不是yilia-plus根目录）执行以下命令：
    npm i hexo-generator-json-content --save

    3、在根目录_config.yml里添加配置： 

      jsonContent:
    meta: false
    pages: false
    posts:
      title: true
      date: true
      path: true
      text: false
      raw: false
      content: false
      slug: false
      updated: false
      comments: false
      link: false
      permalink: false
      excerpt: false
      categories: false
      tags: true

俗话说“好记性不如烂笔头”，各个安全社区各自为战，当我们想要搜索某一方面的文章的时候总是得在各个平台之间来回横跳，于是乎，一个平台文章聚合搜索的想法诞生了。
然后正好我想有一个自己的博客，于是乎两者融合在了一起。
下面简单介绍各个导航的区别：
个人文章：本人的笔记、复现、总结等或者本人参与的共同创作。
收集文章：手工从公众号收集保存的文章，更新频率看本人喜好所以比较慢。
聚合文章：从各大平台收集整理，由工具实现，每天更新。
很惭愧，只做了一点微小的工作。