应急响应，2022.12.14 因为redis未授权被干

原创 已于 2022-12-16 10:00:28 修改 · 280 阅读 · 1 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#系统安全 #网络安全

于 2022-12-15 13:54:15 首次发布
本文记录了一次因Redis未授权访问导致的安全事件。攻击者利用常见的6379端口进行入侵，通过设置定时任务、修改SSH公钥等方式长期潜伏。文章详细描述了入侵过程及作者采取的一系列防御措施。

初生是真的初生，腾讯云的告警我以为腾讯出问题了，结果发现自己还真就被小崽子给打了，全图从上到下，全6379，真就服气，怕不是小菜鸡只会干6379（但是事后发现我才是那菜鸡）

在这里插入图片描述

接下来是正紧的思路

首先从红队角度来讲，redis未授权一般三种利用方法（我所知道的，学识浅薄，误喷），反弹shell，ssh公钥，内存马，定时任务首先查

查看用户信息文件

貌似没有异常的用户

在这里插入图片描述

查看隐藏文件

在这里插入图片描述

从时间上看应该没有被修改密码，比较修改时间都在root修改之后，root是没有被修改的，学生是最近创建的，当时想搭建一个ftp的后来烂尾了

从用户权限下手试试看

在这里插入图片描述

发现基本正常lighthouse貌似是自带的，他一直就有，wheel不知道是个啥

检查进程

发现罪魁祸首pnscan

在这里插入图片描述

查找pnscan位置

在这里插入图片描述

发现pnscan被加到了bin里面，先把他的环境给他嘎掉，顺手还看到了shodan，我也顺手给他嘎了

但是事后才想起来，那他妈是我的水泽安装的，草率了

在这里插入图片描述

pnscan好像藏挺深，半天了没找出来

mad草率了。。。这尼玛bin里面不只是环境变量

在这里插入图片描述

查看进程

在这里插入图片描述

发现dbus，上百度一搜，感觉不是好东西，决定把他噶了

在这里插入图片描述

查看定时任务

在这里插入图片描述

好呗，果然写定时任务了

查看一下这个文件
在这里插入图片描述

到底还是对我的ssh下手了，这玩意很阴险，不让你删除ssh公钥

解决办法：chattr -i authorized_keys 先输入这个就能删了

顺便把样本给大佬发了一份，大佬说有矿池

在这里插入图片描述

在这里插入图片描述

没办法，重装吧。。。难顶，内核被动了，太菜了，没办法处理

网络安全从入门到精通（特别篇I）：Linux安全事件应急响应之Linux应急响应基础必备技能
HACKONE的博客
04-10 1870
awk 首先将每条日志中的IP抓出来，如日志格式被自定义过，可以 -F 定义分隔符和 print指定列；
AI人工智能领域数据安全的应急响应预案
AIGC应用创新大全的博客
07-08 1065
威胁类型示例影响数据采集污染第三方数据供应商注入恶意样本模型训练后输出歧视性或有害内容数据存储泄露训练数据仓库被黑客窃取用户隐私泄露（如医疗记录、聊天记录）数据处理异常模型训练时未过滤敏感特征（如种族）推理时产生不公平决策数据反馈攻击攻击者通过假阳性反馈污染模型（如对抗样本）模型性能退化或被操控AI领域数据安全应急响应预案的核心是**“适应AI数据的特殊性”：从传统的"静态数据保护"转向"动态数据-模型协同保护"。
【应急响应】————5、redis未授权访问
Fly_鹏程万里
02-22 569
简介 攻击者通过Redis未授权访问，写入定时任务，执行挖矿程序。 排查过程 检查进程发现SSH后门 发现异常进程 PS中看到很多定时任务进程CROND，crontab -l发现又是redis写进来的，那么再看下/root/.ssh/authorized_keys，果然也写了免登陆。 发现攻击者使用的脚本http://104.156.239.160:8080/conn.sh...
redis远程连接不上_Redis未授权访问漏洞复现及应急响应
weixin_39590453的博客
12-15 506
一、Redis未授权漏洞复现Redis安装好后如果更改配置文件中的可访问IP地址为0.0.0.0。就会使redis暴露在公网或内网中。如果没有在配置文件中设置连接口令，就可导致任意用户在可访问目标服务器的情况下利用未授权访问redis或读取redis的数据。影响范围：Linux，Windows漏洞危害：获取数据库敏感信息及服务器权限。1、redis未授权访问漏洞在Linux上的复现1.1...
玄机靶场练习-redis应急响应
sucker的博客
03-10 983
4，通过本地 PC SSH到服务器并且溯源分析黑客的用户名，并且找到黑客使用的工具里的关键字符串(flag{黑客的用户-关键字符串} 注关键字符串 xxx-xxx-xxx)。权限为-rwxrwxrwx可能表明被人为更改过。查看系统的认证日志（如/var/log/auth.log或/var/log/secure），寻找异常的登录记录，特别是来自非授权用户或IP的登录尝试。2，查找黑客执行过的恶意脚本文件，通过第一阶段的日志分析和对redis主从复制攻击的了解，攻击者会利用漏洞执行一个.so实现攻击。
玄机-第二章 日志分析-redis应急响应
JACKBREAK的博客
05-19 3054
应急响应-redis入侵应急响应
玄机——第二章日志分析-redis应急响应 wp
焦虑的焦虑
06-27 4109
第二章日志分析-redis应急响应
【愚公系列】《AIGC辅助软件开发》011-AI辅助编写技术文档：技术文档
热门推荐
时光隧道
07-24 10万+
在当今快速发展的技术环境中，技术文档的编写变得愈加重要。无论是软件开发、产品设计，还是系统架构，清晰、准确的技术文档不仅能帮助团队成员快速理解项目，还能为用户提供必要的使用指导。然而，编写高质量的技术文档常常是一项繁琐且耗时的任务。随着人工智能技术的不断进步，AI工具的辅助作用逐渐显现，特别是在技术文档的编写过程中。借助AI，开发者和技术作家可以更高效地生成、编辑和维护文档，从而专注于更高层次的创作和思考。
【愚公系列】《AIGC辅助软件开发》041-如何使用 AI技术提升工作效率：AI辅助软件架构师实践
时光隧道
08-15 9万+
在数字化转型的浪潮中，软件架构师作为技术团队的核心，承载着系统设计与架构优化的重要责任。然而，随着项目复杂度的增加和技术环境的变化，架构师面临着前所未有的挑战。幸运的是，人工智能（AI）技术的迅猛发展为这一行业带来了新的机遇，帮助架构师提升工作效率、优化决策过程，并改善团队协作。本文将深入探讨AI如何辅助软件架构师的实际工作，具体分析AI在需求分析、架构设计、代码生成、测试和优化等环节的应用。
AI应用架构师必看：AI伦理不是“软要求”，这8个硬设计规则直接决定系统信任度
最新发布
AI天才研究院
07-25 833
公平性设计的核心是确保AI系统的决策结果不因用户的敏感属性（如性别、种族、年龄、残疾状况、宗教信仰等）而产生系统性偏差。这里的“公平”不是抽象概念，而是可量化的技术指标，如“不同群体的错误率差异≤5%”“某群体被错误拒绝的概率不高于整体水平的1.2倍”（具体阈值需根据应用场景和法规要求定义）。透明可解释性指AI系统的决策过程对用户、开发者和监管者“可理解、可追溯、可验证”。具体包括：① 模型如何使用输入数据生成结果；② 哪些特征对决策起关键作用；③ 决策的置信度和不确定性；
玄机——第二章日志分析-redis应急响应
2402_87221233的博客
07-06 997
可以将数据从一个 Redis 服务器复制到多个从服务器可以将数据从一个 Redis 服务器复制到多个从服务器,以防数据丢失,由于其高性能和简单易用的特性，Redis 也成为黑客攻击的常见目标（如未授权访问、数据泄露、植入木马等）。在溯源黑客攻击时，SSH 登录日志是最关键的入口之一，它能直接揭示攻击者的入侵路径、使用的用户名、IP 地址及操作时间，日志会记录成功登录的。是用户与 cron 交互的工具，并且是系统自启动的，通过编辑 crontab 文件来管理定时任务，并且是系统自启动的。
第二章日志分析-redis应急响应
SS_liang的博客
07-24 1165
黑客通过多次尝试，最终成功将从节点配置为复制192.168.100.20:8888，并通过该连接植入了恶意模块。这表明，IP地址192.168.100.20是黑客成功攻击的目标。
玄机第二章日志分析-redis应急响应
m0_64053653的博客
07-11 464
1、通过本地 PC SSH到服务器并且分析黑客攻击成功的 IP 为多少,将黑客 IP 作为 FLAG 提交;2、通过本地 PC SSH到服务器并且分析黑客第一次上传的恶意文件,将黑客上传的恶意文件里面的 FLAG 提交;3、通过本地 PC SSH到服务器并且分析黑客反弹 shell 的IP 为多少,将反弹 shell 的IP 作为 FLAG 提交;
RedisMiner应急
weixin_33701564的博客
01-02 182
转载来自：https://blog.51cto.com/bantu/2055465 1、关闭访问挖矿服务器访问 [root@fuwuqi~]# iptables -A INPUT -s xmr.crypto-pool.fr -j DROP [root@fuwuqi~]# iptables -A OUTPUT -d xmr.crypto-pool.fr -j DROP -a 表示附加 inpu...
【应急响应】————6、反弹shell+redis
Fly_鹏程万里
02-22 793
0x01 背景 2017.3.27中午运维反应怀疑zabbix所在服务器被入侵。 0x02 排查过程 ps查看进程，发现端口反弹行为 查看进程启动时间发现为Feb 27，启动账户为Root。 查看/sbin /usr/bin /usr/sbin /bin 发现sshd Mtime为Feb 27,可以确认此时的SSH已经被植入后门，一般的SSH后门比较容易发现，功能如下： 1）如果...
【玄机】第二章日志分析-redis应急响应
ywx05_的博客
03-03 1396
Redis 默认不要求身份验证，攻击者可以直接连接到 Redis 实例并执行任意命令。：如果 Redis 监听在公共 IP 地址上，攻击者可以通过网络远程访问 Redis 实例。
玄机应急：Apache日志分析&Mysql应急&Redis应急
8888的博客
11-30 1516
Linux系统中，这些日志文件通常存储在/var/log/apache2/或/var/log/httpd/目录下‌，管理员可以使用cat、tail、grep、awk等命令行工具查看和分析日志内容，以了解服务器运行状态、客户端访问情况及排查问题‌，同时，Apache的配置文件中也包含了日志文件的位置信息，可通过查看配置文件找到日志文件的确切路径‌。在这个上下文中，它会对提取出的IP地址进行排序，但由于我们实际上只关心一个特定的IP地址，这个排序步骤可能是多余的。通常，对IP地址排序需要更复杂的处理。
应急响应
Amdy_amdy的博客
11-27 4474
最近对应急响应特别感兴趣，特意去搜索了一下，发现网上最多的是对应急响应的6个步骤进行的说明，真正涉及到网络安全的应急响应文章只看到两篇文章，一个是在先知上，一个是在t00ls上。特此整理。其中主要参考链接是：https://xz.aliyun.com/t/1140/#toc-6。 常规的应急响应应该主要包括两个方面： 1.未雨绸缪，即在事件发生前事先做好准备，比如风险评估、制定安全计划、安全意...
Mac Redis Desktop Manager 2022.3版发布，提高Redis管理效率
根据提供的文件信息，我们将重点讨论Mac Redis Desktop Manager这款软件的知识点，它是专门用于Redis数据库的可视化管理工具。在深入之前，我们首先要知道Redis是什么。Redis是一种开源的使用内存存储数据和缓存的...
评论
成就一亿技术人!
拼手气红包6.0元
还能输入1000个字符
 
红包 添加红包
表情包 插入表情
表情包 代码片
 条评论被折叠 查看
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

G_BEST

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值