我是一名白帽黑客，今天博客被黑了（附全套日志分析及模块代码）-天涯论坛

qzmjef 发表于 2024-10-8 15:05:26

我是一名白帽黑客，今天博客被黑了（附全套日志分析及模块代码）

<div style="color: black; text-align: left; margin-bottom: 10px;">
 前言：
 人在江湖漂，哪能不挨刀。我的博客在21号被黑了，想不到从来都是我黑人，如今却惨被人黑（哀痛脸）
 其实挨刀不可怕，可怕的是他砍到了我这块铁板上，滋出了一溜的火花。所说知己知彼方能百战不殆，必须晓得对方是怎样拿下我网站的，倘若不分析出原由，下次被黑的还是我。
 因此接下来，咱们要对全部入侵事件进行一次简单的分析。
 博客基本状况
 我博客用的系统是 centos6，博客程序是emlog的cms。模块是一个付费模块【fly】
 说实话这个模块挺好看的，首次安装的时候我就D盾扫了下，瞧瞧是不是有后门，扫描结果除了发掘几个加密的php文件，其他看起来亦没啥毛病，因此就没管了，想不到便是这几个加密文件，才引起了博客被入侵。
 被入侵的时间是8月21号，登录服务器后发掘文件被删，index.php文件被篡改。
 文件修改时间是2018年8月21日18:04:15
 被挂的黑页如下：
 <div style="color: black; text-align: left; margin-bottom: 10px;"><img src="https://p3-sign.toutiaoimg.com/pgc-image/153508913127947ae85d0d6~noop.image?_iz=58558&from=article.pc_detail&lk3s=953192f4&x-expires=1728120600&x-signature=AodkqhUpr%2FOT91z12Mn1c5hwheg%3D" style="width: 50%; margin-bottom: 20px;"></div>
 等等，这不是我运用的模块售后群吗？
 难道是作者黑了我的站点？
 当然不排除是其他黑客黑了以后故意甩锅给作者，因此咱们先来分析一下日志再说。
 入侵过程分析
 首先我博客是用宝塔的掌控面板，然则我888端口做了白名单，仅有跳板IP能够拜访这个端口，ssh端口亦做了白名单，无开放ftp，mysql无开放外联，waf用的云锁。
 第1步咱们先登录云锁瞧瞧，在20号上下无发掘可疑日志。
 那样咱们先瞧瞧日志吧，先拨号上跳板，而后输入xxxx.cc:888登录云锁掌控台。
 而后进入【安全】菜单，点击web日志的路径进入。
 <div style="color: black; text-align: left; margin-bottom: 10px;"><img src="https://p3-sign.toutiaoimg.com/pgc-image/1535089131052f52d33a4a4~noop.image?_iz=58558&from=article.pc_detail&lk3s=953192f4&x-expires=1728120600&x-signature=Nf16qbHdNQ0q61ywdwxrkkSQG6g%3D" style="width: 50%; margin-bottom: 20px;"></div>
 而后下载19号之前和22号以后的日志
 <div style="color: black; text-align: left; margin-bottom: 10px;"><img src="https://p3-sign.toutiaoimg.com/pgc-image/15350891311650ee2c333cb~noop.image?_iz=58558&from=article.pc_detail&lk3s=953192f4&x-expires=1728120600&x-signature=hhCMR9UdYbheQ%2FB%2Buc8vePULuuE%3D" style="width: 50%; margin-bottom: 20px;"></div>
 我的博客亦没啥流量，因此日志文件比较小，直接notepad++打开就行了。
 由于之前看到那个黑页的修改时间是2018年8月21日16:15:15
 因此直接定位到8月21日18点04分上下的部分起始看.
 直接在notepad++里面查询关键词【.php】
 <div style="color: black; text-align: left; margin-bottom: 10px;"><img src="https://p3-sign.toutiaoimg.com/pgc-image/1535089131033a89c7f4442~noop.image?_iz=58558&from=article.pc_detail&lk3s=953192f4&x-expires=1728120600&x-signature=AwQoxIGs%2Bkegf%2FoQiAcaD%2BiU9Hg%3D" style="width: 50%; margin-bottom: 20px;"></div>
 而后定位到18点以后的部分。
 <div style="color: black; text-align: left; margin-bottom: 10px;"><img src="https://p3-sign.toutiaoimg.com/pgc-image/1535089131332bd3f16cbde~noop.image?_iz=58558&from=article.pc_detail&lk3s=953192f4&x-expires=1728120600&x-signature=1NIJ5zMbYUSWeeNSa7OQmoUYJfk%3D" style="width: 50%; margin-bottom: 20px;"></div>
 疑似入侵者IP：222.240.56.48
 查找一下，湖南长沙的
 此刻咱们挨个文件瞧瞧他是怎样发起攻击的。
 多做备份才可减少损失
 由于博客上的文件已然被他删得差不多了，只剩下有些配图文件夹，不外还好对接了阿里云的oss。
 每3天自动备份整站到阿里云oss。
 这儿不得不赞一下阿里云的oss，倘若只是归档存储的话，价格很便宜，不下载备份文件不消付费，只要购买储存空间就行了
 咱们登录阿里云掌控台，进入oss存储。
 <div style="color: black; text-align: left; margin-bottom: 10px;"><img src="https://p3-sign.toutiaoimg.com/pgc-image/1535089131003e15614a309~noop.image?_iz=58558&from=article.pc_detail&lk3s=953192f4&x-expires=1728120600&x-signature=pYt%2FTIvKfRHyzwaWYHq74AwgCAQ%3D" style="width: 50%; margin-bottom: 20px;"></div>
 而后进入文件管理，能够看到在19号之前的备份文件都是30多M
 然则22号以后备份仅有10多M了
 <div style="color: black; text-align: left; margin-bottom: 10px;"><img src="https://p3-sign.toutiaoimg.com/pgc-image/15350891312741c1f8ec918~noop.image?_iz=58558&from=article.pc_detail&lk3s=953192f4&x-expires=1728120600&x-signature=WwuSTfJ7tufSxuiwZFcZf%2Fr31T8%3D" style="width: 50%; margin-bottom: 20px;"></div>
 因此咱们得下载19号的这个备份文件去恢复到博客。
 点击19号这个文件，进入以后解冻文件，而后等大概两分钟就会解冻成功。
 <div style="color: black; text-align: left; margin-bottom: 10px;"><img src="https://p3-sign.toutiaoimg.com/pgc-image/1535089131271783ffb8a0b~noop.image?_iz=58558&from=article.pc_detail&lk3s=953192f4&x-expires=1728120600&x-signature=UhTBNVv6FRtOrTMv13Bd94zYKPs%3D" style="width: 50%; margin-bottom: 20px;"></div>
 而后就能看到下载位置了，直接下载后上传到咱们博客，而后解压就行了。
 ----小提示----
 在恢复站点前，咱们先闭站。
 先把80端口和443端口加个白名单，只准许咱们的IP拜访，这般能够避免在你无查出问题之前，又被人给黑了。
 官方后门最为致命
 他拜访的第1个文件 /include/lib/checkcode.php

 咱们本地拜访以下瞧瞧，发掘这是验证码的文件。
 <div style="color: black; text-align: left; margin-bottom: 10px;"><img src="https://p3-sign.toutiaoimg.com/pgc-image/1535089131339a7c25985d8~noop.image?_iz=58558&from=article.pc_detail&lk3s=953192f4&x-expires=1728120600&x-signature=ld4k4oJMNTqUTdJ%2F8146bVqxpK0%3D" style="width: 50%; margin-bottom: 20px;"></div>
 第二个文件/content/templates/FLY/inc/ajax.php?a=ajax

 咱们直接拜访后表示；
 {"code":"208"}
 <div style="color: black; text-align: left; margin-bottom: 10px;"><img src="https://p3-sign.toutiaoimg.com/pgc-image/15350891314851818c6d22a~noop.image?_iz=58558&from=article.pc_detail&lk3s=953192f4&x-expires=1728120600&x-signature=zikeOK8j%2FlGP5QOU51WKXcwwScQ%3D" style="width: 50%; margin-bottom: 20px;"></div>
 倘若管理员处在登录博客状态，会返回账号密码等等数据。
 <div style="color: black; text-align: left; margin-bottom: 10px;"><img src="https://p3-sign.toutiaoimg.com/pgc-image/1535089131459a79e6e2f00~noop.image?_iz=58558&from=article.pc_detail&lk3s=953192f4&x-expires=1728120600&x-signature=bnD842nKqJ%2FeuLtoz36ApchK7Uo%3D" style="width: 50%; margin-bottom: 20px;"></div>
 那样问题肯定出在这个ajax.php上面了，咱们打开瞧瞧。
 厉害厉害，加密了，这儿非常感谢“空格表哥”帮忙解密了这个文件
 <div style="color: black; text-align: left; margin-bottom: 10px;"><img src="https://p3-sign.toutiaoimg.com/pgc-image/15350891315031e465c2902~noop.image?_iz=58558&from=article.pc_detail&lk3s=953192f4&x-expires=1728120600&x-signature=7sZK76DrePtYsTD1mfIVfWmKl%2FQ%3D" style="width: 50%; margin-bottom: 20px;"></div>
 咱们查询ajax瞧瞧，发掘在这儿，账号秘码被打印出来了。
 <div style="color: black; text-align: left; margin-bottom: 10px;"><img src="https://p3-sign.toutiaoimg.com/pgc-image/15350891317239301546e4d~noop.image?_iz=58558&from=article.pc_detail&lk3s=953192f4&x-expires=1728120600&x-signature=7Y3ZsIj1yHa1jFiWjeyBPF9qvZw%3D" style="width: 50%; margin-bottom: 20px;"></div>
 日志里面发掘post了一个数据
 /content/templates/FLY/inc/ajax.php?a=login
 <div style="color: black; text-align: left; margin-bottom: 10px;"><img src="https://p3-sign.toutiaoimg.com/pgc-image/153508913181910ee58b45f~noop.image?_iz=58558&from=article.pc_detail&lk3s=953192f4&x-expires=1728120600&x-signature=VSOrMgGkAV8%2FMHB9j1GcUVYvM2c%3D" style="width: 50%; margin-bottom: 20px;"></div>
 咱们在解密后的ajax.php里面搜索login瞧瞧
 好家伙，官方后门真可怕，看到我注释的地区，已然明白大概是啥意思了。
 <div style="color: black; text-align: left; margin-bottom: 10px;"><img src="https://p3-sign.toutiaoimg.com/pgc-image/1535089131884c7d1c1a770~noop.image?_iz=58558&from=article.pc_detail&lk3s=953192f4&x-expires=1728120600&x-signature=OqXzWlFwiq21Jk911CjHQ%2BL1lVw%3D" style="width: 50%; margin-bottom: 20px;"></div>
 咱们登录博客后台后，会把url 账号 秘码等等数据传送到作者的以下位置。
 https://api.pjax.cn/i.php?data=
 贴上代码
 <div style="color: black; text-align: left; margin-bottom: 10px;"><img src="https://p3-sign.toutiaoimg.com/pgc-image/1535090426632ea8aac7b89~noop.image?_iz=58558&from=article.pc_detail&lk3s=953192f4&x-expires=1728120600&x-signature=pOpCpR78dIHnbYwBbesukgMbO8U%3D" style="width: 50%; margin-bottom: 20px;"></div>
 咱们继续往下看。
 在这儿他上传了一个模块文件，而后安装。
 <div style="color: black; text-align: left; margin-bottom: 10px;"><img src="https://p3-sign.toutiaoimg.com/pgc-image/1535089132101d5d2625a86~noop.image?_iz=58558&from=article.pc_detail&lk3s=953192f4&x-expires=1728120600&x-signature=yRXc2yPV7okv6AN0IO7WH3W9TiM%3D" style="width: 50%; margin-bottom: 20px;"></div>
 由于日志里面无发掘他拜访了其他PHP文件，因此我首页文件index.php被修改的可能仅有一个，便是他上传的模块里面已然写好了黑页，而后上传模块，覆盖掉我网站上面的首页文件。
 而后删除我的模块，这亦证明了为何只删除了模块，而我文案配图文件夹都还在的原由。
 <div style="color: black; text-align: left; margin-bottom: 10px;"><img src="https://p3-sign.toutiaoimg.com/pgc-image/15350891320808f61d02660~noop.image?_iz=58558&from=article.pc_detail&lk3s=953192f4&x-expires=1728120600&x-signature=nNXjUz2ynKD%2B2%2F7v4NaJYaIozhc%3D" style="width: 50%; margin-bottom: 20px;"></div>
 咱们该去找找攻击者了
 先再确认一下是不是作者干的，经过日志已然晓得IP位置了。
 222.240.56.48
 查找是湖南长沙的。
 <div style="color: black; text-align: left; margin-bottom: 10px;"><img src="https://p3-sign.toutiaoimg.com/pgc-image/1535089132114db739c498d~noop.image?_iz=58558&from=article.pc_detail&lk3s=953192f4&x-expires=1728120600&x-signature=eIyEPx9e19t%2Bf9LIZRx0NZWOkns%3D" style="width: 50%; margin-bottom: 20px;"></div>
 没错了，便是你了，直接问下作者是啥意思。
 <div style="color: black; text-align: left; margin-bottom: 10px;"><img src="https://p3-sign.toutiaoimg.com/pgc-image/1535089132106a9bbe11c95~noop.image?_iz=58558&from=article.pc_detail&lk3s=953192f4&x-expires=1728120600&x-signature=ePNAiSWU8nccvdNcfmb9rwLED5Y%3D" style="width: 50%; margin-bottom: 20px;"></div>
 <div style="color: black; text-align: left; margin-bottom: 10px;"><img src="https://p3-sign.toutiaoimg.com/pgc-image/153508913220914e3fb9015~noop.image?_iz=58558&from=article.pc_detail&lk3s=953192f4&x-expires=1728120600&x-signature=pN%2BWfvFGL%2Fns3NXGhEEoU6cQzMk%3D" style="width: 50%; margin-bottom: 20px;"></div>
 <div style="color: black; text-align: left; margin-bottom: 10px;"><img src="https://p3-sign.toutiaoimg.com/pgc-image/1535089132047c220f821c8~noop.image?_iz=58558&from=article.pc_detail&lk3s=953192f4&x-expires=1728120600&x-signature=eVr58fOxMWA%2BrHsV8JR6QT4qx3Q%3D" style="width: 50%; margin-bottom: 20px;"></div>
 事情已然很明了啦，由于我之前购买以后换过一次域名，作者以为我此刻这个域名是盗用了他的模块，而后把我日的，躺枪了，这他妈是误伤啊。然则模块存在后门这个是事实。
 总结下过程
 1.作者在/content/templates/FLY/inc/ajax.php文件里面写了个后门

 2.咱们正常登录后台以后，会自动把你的后台位置，账号秘码发送到作者哪里
 3.而后作者那边有个授权列表，会做对比，倘若不在授权列表里面，会单独标记出来。
 4.而后某一天你就被作者删模块，挂黑页了.....
 避免被日办法
 以防护软件【云锁】为例；
 打开云锁，进入仔细设置
 <div style="color: black; text-align: left; margin-bottom: 10px;"><img src="https://p3-sign.toutiaoimg.com/pgc-image/15350891322559824bb6015~noop.image?_iz=58558&from=article.pc_detail&lk3s=953192f4&x-expires=1728120600&x-signature=3J18Mpl6lSEBILyEHOT4pbkk%2FlQ%3D" style="width: 50%; margin-bottom: 20px;"></div>
 进入漏洞防护设置
 <div style="color: black; text-align: left; margin-bottom: 10px;"><img src="https://p3-sign.toutiaoimg.com/pgc-image/15350891322429aabd63c0a~noop.image?_iz=58558&from=article.pc_detail&lk3s=953192f4&x-expires=1728120600&x-signature=bj11JdsSMGFFSNohxcxP4IqjZuI%3D" style="width: 50%; margin-bottom: 20px;"></div>
 新增一条防护规则
 <div style="color: black; text-align: left; margin-bottom: 10px;"><img src="https://p3-sign.toutiaoimg.com/pgc-image/153508913226520849b8e1b~noop.image?_iz=58558&from=article.pc_detail&lk3s=953192f4&x-expires=1728120600&x-signature=XwY0HLSJ1mAmsSZCJfCBw6WW1sg%3D" style="width: 50%; margin-bottom: 20px;"></div>
 用正则禁止拜访/admin后台下的文件。
 正则表达式；
 /admin([\s\S]*?)
 重视：新增这个规则以后你会没法拜访后台，不外你能够把你ip或跳板机加入白名单，以后仅有你跳板机和你IP能够拜访/admin下面的所有文件。
 <div style="color: black; text-align: left; margin-bottom: 10px;"><img src="https://p3-sign.toutiaoimg.com/pgc-image/1535089132438a78ce3e569~noop.image?_iz=58558&from=article.pc_detail&lk3s=953192f4&x-expires=1728120600&x-signature=Hm%2FlIb1ZXcmgPJP3fDhzJxiBQdc%3D" style="width: 50%; margin-bottom: 20px;"></div>
 继续禁止ajax=login
 ([\s\S]*?)?a=login
 <div style="color: black; text-align: left; margin-bottom: 10px;"><img src="https://p3-sign.toutiaoimg.com/pgc-image/1535089132424b0533058b6~noop.image?_iz=58558&from=article.pc_detail&lk3s=953192f4&x-expires=1728120600&x-signature=zCOmJXTHxSP6AAE42txEnkodjEQ%3D" style="width: 50%; margin-bottom: 20px;"></div>
 禁止下列几个文件拜访
 useragent_setting.php
 install.php.lock
 setting.php
 functions.php
 写在最后
 虽然这是一块误伤事件，然则改变不了把我站黑了的事实，因此，我做了一个决定，直接公开你的模块，并写出避免被日的办法。
 收费模块链接大众关注我后发私信索要就可
 ajax文件后门部分已然被我注释掉了，表哥们安心运用便是了。
 另一有几个加密文件无科研，有兴趣的表哥们自动解密科研瞧瞧。
</div>

nqkk58 发表于 2024-10-10 12:49:50

感谢你的精彩评论，为我的思绪打开了新的窗口。

qzmjef 发表于 2024-10-20 00:27:15

我完全同意你的看法，期待我们能深入探讨这个问题。

4lqedz 发表于 2024-11-6 19:41:44

我深感你的理解与共鸣，愿对话长流。

qzmjef 发表于 6 天前

谢谢、感谢、感恩、辛苦了、有你真好等。

页: [1]

天涯论坛's Archiver

我是一名白帽黑客，今天博客被黑了（附全套日志分析及模块代码）