[法客二周年]看我如何取证抓出黑阔!

大家都在写日站过程,我就放出一篇抓日站的过程,哈。 

开个玩笑,实例取证过程,大家都懂的,所以严格打码,见谅~~

2099年13月33日某市某局考试报名服务器遭受了两次攻击,都是被直接下载了数据库。
下载数据库的行为是通过后台合法下载,因此,在之前的证据调查中被忽略了。

取证分析:起初,我们通过安装在考试网服务器上抓包工具抓到的数据包,导入科莱数据分析软件,转化成明文显示从而进行下一步分析,如图所示
图1
(科莱Colasoft Capsa 7 版本:7.3.1 Build 2436)
<ignore_js_op>QQ截图20131022191309.png
再以Excel格式导出,以IP排序,搜索大量连续访问的IP,搜索排出敏感url,查询是否有木马后门,或者上传操作页面等。如图2
图2
“图片漏点-已屏蔽”
<ignore_js_op>2.png
所有抓包日志分析下来,无任何可疑后门url,发现大量自动化扫描工具的扫描痕迹,均无入侵成功痕迹。

我们尝试寻找网站程序漏洞,没有注入漏洞,发现一处问题,用户可查询其他用户资料,但前提需要知道ID生成规则,如:
http://x.x.x.x/08104/ks_left.act ... f04013bac0f9b1c01d6
于是我们分析查询所有数据包日志,发现如下几个IP的ID查询登录次数与时间很可疑,
<ignore_js_op>3.png
<ignore_js_op>4.png
<ignore_js_op>5.png
221.136.152.195和 202.105.247.6这两个IP是浙江宁波联通的IP,一直有操作,以上是登录查询记录。
经分析只有两种可能:
1.他利用tables.id轮循出其他考生信息
2.不知道他怎么获得其他考生的登录密码,他反复登录
一个IP 多次登录本身就有异常,怀疑是XX考试一条龙服务公司,但一般做这行的公司基本都是本地,
宁波可能性不大,我们和人事局沟通分析他们怀疑是代考团队。
这算我们意外发现的一个漏洞,经过调查,这些线索无法定性,不确定算不算攻击。

我们怀疑入侵者很可能合法通过后台直接登录直接拿走数据,或者有服务器权限,通过和某某局机房负责人协商
,我们登录服务器进行网站程序排查,未发现任何后门木马,并从网站程序了解到数据库使用access数据库,
数据库文件名为*.mdb,下载页面downloadGJ.action
我们通过关键词mdb以及download进行url排查,发现下载痕迹。
数据包为:
<ignore_js_op>6.png
两次记录分别是:

2013/1/29 8:50        2013/1/29 8:50        218.76.159.133        HTTP        GET http://x.x.x.x/06109/downloadGJ.action(湖南省郴州市 电信)

2013/1/29 8:35        2013/1/29 8:35        61.181.22.157        HTTP        GET http://x.x.x.x/06109/downloadGJ.action(天津市 联通ADSL)
2013/01/28 08:44:59   61.152.108.187    HTTP      POST http://x.x.x.x/06109/exportdataGJ.action

我们使用数据分析软件打开2013/1/29/8:35 2013/1/29/8:44的数据包
找到downloadGj.action,如图6所示
图6:
<ignore_js_op>7.png
定位到此IP,点数据包选项,搜索定位到downloadGj.action,如图7所示
图7:
<ignore_js_op>8.png
8中
分析:在图8中,发现了此IP直接进行了TCP三次握手,然后径直访问了数据库后台下载页面,执行了下载操作。如图8所示
图8
<ignore_js_op>10.png
在图9中,是本次连接的二进制解码信息。可看到是执行了数据库下载。
<ignore_js_op>11.png
图10
在图三中,是后续的下载二进制数据的解码信息,可看到就是某某局考试报名数据库的表结构,后面分了几十个包下载,共计19M。
<ignore_js_op>12.png
图10

(注:IP地址是通过互联网查到的物理位置,未必准确,希望公安进一步核实)

经过进一步调查,发现218.76.159.133和61.181.22.157都是HTTP代理服务器。

为了穿透代理追求真实IP,我方对数据包的包头进行了二进制解码,定位到downloadGJ.action,证据图11
<ignore_js_op>13.png
从上图得知HTTP包头中追到了代理源IP地址,即来自于218.76.159.133攻击行为的源IP为221.223.70.137。
<ignore_js_op>1~.png
图11
灰色部分未记录了代理源IP的HTTP包头数据,翻译过来就是:X-Forwarded-For:
221.223.70.137

证据图12中二进制编码解析得到显示数据库的字段
<ignore_js_op>2~.png
如下证据图,通过二进制解码,可看到下载内容,
<ignore_js_op>3~.png
<ignore_js_op>4~.png
我们又用相同的方法解析了来自61.152.108.187的数据包,根据解析的数据,这次也执行了下载,真实IP也是221.223.70.137

这个真实IP每天早晨8点40左右开始下载数据。

经过三次下载行为判断,应该是同一人所为:

我们在二进制包里解析出了访问者的计算机配置:
CPU:AMD64
浏览器:IE9
操作系统:Windows 7 x64

进入途径:
我们查询http://x.x.x.x/06109/exportdataGJ.action定位到该数据包,证据图12
图12
<ignore_js_op>!!!.png
黑客直接使用admin的密码登陆,如图13
<ignore_js_op>@!.png
图13

分析建议:
建议联系当地某部门锁定这个IP,如果是家里的ADSL,可直接定位,如果是公司的IP,则可联系公司调取上网行为管理日志。
如没有日志,可通过上面给出的机器配置信息到内部找到配置类似的机器,有可能这个人有自己的笔记本电脑。

找到电脑,注意看还有没有IE访问记录,历史记录是可以保存的,如果对方删除了,历史记录还可以通过Windows隐藏位置调出。

密码泄露途径分析:
1.要么某某局自己人泄露给别人
2.要么黑客自己注入爆出密码
3.要么开发的人设置了一个隐蔽的模块,专门用来偷密码
第一种可能性我这里保留意见,个人认为不可能;
第二种可能性我认为概率不高,我们测试过,并且反编译过程中也观察过,没发现明显的注入问题,这个代码是在一个开源的中间件平台上改的(我们怀疑,看源码的时候感觉有些像,但是不敢完全肯定,他们改动很多),那么如果这上面出问题,也难说;
第三种可能性:如果设置了这个机关,那应该就是在中间件底层设置的,应用层我们都反编译了,没发现这个问题。中间件底层的话,我们如果强行进行反编译,工作量非常大,暂时放弃反编译的工作。

差不多了,以上是一次真实的取证过程,放出来给法客的基友look下,希望大家不要转载到外面!,谢谢~

 

 

本文转自法客

 

标签: 无
返回文章列表 文章二维码
本页链接的二维码
打赏二维码
评论列表
  1. 梦半醒

    不明真相的观众前来围观..

  2. 梦半醒

    不明真相的观众前来围观..

  3. 梦半醒

    不明真相的观众前来围观..

添加新评论