部署1433蜜罐，成功抓取兩例木馬

一、部署1433弱口蜜罐

設置sa用戶可遠程登錄許可權，並設置了一個常見的弱口令密碼。

設置登錄觸發器，設置登錄成功自動發送郵件。

設置文件實時增量備份。

將所有的sql命令做記錄。

二、等待魚兒

蜜罐還未部署完，就已經看到蜜罐遭受持續性爆破

上線不到20小時，我們遭受到了11109次的攻擊。

說明現在1433自動抓雞還是現在比較熱門的抓雞手段之一。

三、第一例木馬

7月4日下午我們捕獲到了一個名為Cqisgws的木馬。

將木馬做下分析

將木馬上傳至微步在線平台做自動化的分析。

沒有檢測到pe頭等信息，目測是加了殼。

分析了一下程序的釋放流程如下：

生成臨時文件

C:DOCUME~1ADMINI~1LOCALS~1Tempfc57e762670f2f1e7763df265337f84fbe86b098ae2170c1d22b8b3b728747b0.exe

釋放Cqisgws.exe 到C:Program FilesMicrosoft Uhcxwx目錄下

釋放8252.vbs到C:目錄下

並將C:Program FilesMicrosoft UhcxwxCqisgws.exe文件加入了服務，以便於開機自啟。

在平台上，我們也可以看到木馬添加了一個自啟動項。

根據木馬控制端ip找到精確地理位置

通過平台我們檢測到了木馬的服務端ip

服務端的ip為183.140.56.120，然後去定位ip

通過ip定位平台我們，可以定位到木馬服務端的具體地址。

檢測精度為30米。

做個簡單的脫殼逆向

通過peid檢測，我們知道該木馬使用了UPX的殼。

然後用upx脫殼工具進行脫殼。

脫完殼之後，木馬由19KB變為了40KB的大小

用IDA打開脫過殼的木馬

我們看到在winmain函數裡面看到了加入服務自啟的代碼段

函數中有註冊表操作代碼

設置註冊表值代碼

獲取系統基本信息代碼

簡要分析了一下，木馬是遠控程序，沒有帶ddos的功能，分析也就告一段落。

三、第二例木馬

兩個小時之後，連上伺服器看一眼。

看到ip為222.***.***.***的攻擊者用sa登陸了。

看下攻擊者做了什麼

一堆命令，全都16進位的

拿到百度解碼一下，解碼出來下面的代碼

黑客用ftp的方式下載了木馬。

我們可以看到ftp的賬號密碼。

接下來我們連上ftp。

上面有黑客的攻擊程序和木馬等。

想想應該還是可以繼續下去的，來個反擊。

進行埠掃描。

看到8080埠開了hfs服務，並且伺服器開了rdp服務。

有機會啊，直接利用hfs添加賬號密碼，然後加入administrator用戶組。

但是悲劇發生了，administrator的用戶組沒有遠程桌面的許可權。

之前沒遇到過，一時間懵逼了。

經過一番波折。

最後直接改administrator用戶密碼，並將administrator用戶加入遠程桌面組。

終於可以了。

看了一下伺服器的鏈接。

23363個連接在爆破1433埠。

伺服器一直在爆破1433埠，所以cpu佔用率還是挺高的。

爆破1433埠弱口令軟體的運行截圖。

伺服器裝了360和安全狗。黑客看來也怕自己被黑。

不知道為什麼我加用戶的時候360和安全狗怎麼沒有攔截。

最後找到了黑客的軟體。

有爆破工具，hfs軟體，ftp軟體等。

還有各種ip段。騰訊雲的，網宿的等。

至此，對這台主機的反擊到此結束。

四、寫在最後

上1433蜜罐比較希望是捕獲到DDoS木馬客戶端，或者其他有意義的木馬。如果捕獲到的是DDoS木馬，可以做更多的溯源。部署蜜罐抓點木馬，也算是為安全做點貢獻。

點擊展開全文

喜歡這篇文章嗎？立刻分享出去讓更多人知道吧！