阅读量:10
在CentOS系统上，攻击者可能会利用各种漏洞进行攻击，以获取更高的权限或执行恶意活动。以下是一个CentOS Exploit攻击案例分析：
事件背景
- 受害服务器：CentOS系统，IP：192.168.226.132，无WEB服务。
- 恶意IP：192.168.226.131。
攻击手段
- 暴力破解：攻击者尝试通过不断尝试不同的密码来破解SSH账户。
- 替换ps命令：攻击者修改了系统中的
ps命令，使其执行恶意代码。 - 留多个后门：攻击者在系统中创建了多个后门，以便日后再次访问。
应急响应过程
- 排查网络连接：发现服务器与恶意IP的6666端口持续连接。
- 使用netstat -anpt发现异常通信：进程PID号不断变化，表明有恶意活动。
- 排查历史命令：查看
/root/.bash_history，发现历史命令被清空，这是攻击者常用的手段之一。 - 排查后门账户：检查
/etc/passwd和/etc/shadow，发现xiaogaie账户被创建并用于远程登录。查看用户最近登录情况，确认xiaogaie账户在攻击时间点登录服务器。 - 排查crontab后门：查看
/var/spool/cron，发现root账户的定时任务每分钟执行一次/root/shell.elf文件。 - 排查命令被替换：使用
rpm -Vf检查/usr/bin/ps文件，发现其大小、MD5值和时间发生变化，确认被修改。查看ps命令内容，发现被修改为执行centos_core.elf文件的后门。
攻击者通常采取的步骤
- 查找漏洞：通过端口扫描和研究应用程序请求的响应来收集信息。
- 创建相关漏洞利用：针对目标执行即用型代码以获得访问权限。
- 使用漏洞利用：在系统上执行漏洞利用代码。
- 检查是否成功利用系统：通过枚举获取信息，调整漏洞利用。
- 获得额外的特权：通过枚举收集到的每条信息都可用于搜索已知漏洞或系统中的其他条目。
安全建议
- 账户安全及权限管理：禁用root以外的超级用户，删除不必要的账号和组，设置强密码，并定期更新密码。
- 强化SSH安全：更改SSH默认端口，禁用root登录，使用密钥认证。
- 防火墙配置：使用
firewalld或iptables配置防火墙规则，限制对服务器的访问，只允许必要的端口对外开放。 - 软件更新：定期更新操作系统和软件包，以修复已知漏洞和安全问题。
- 用户权限管理：使用
chmod、chown和setfacl命令来设置文件和目录的权限，限制对敏感文件和目录的访问。 - 安全漏洞修复：定期进行漏洞扫描和评估，及时修复发现的漏洞，保持系统的安全性。
- 数据备份与恢复：建立强大的备份系统，自动备份并安全存储数据，考虑异地存储解决方案。
- 加密静态数据：对静态敏感数据进行加密，使用LUKS或dm-crypt等解决方案提供磁盘加密。
- 实施双因素身份验证：要求用户在获得访问权限前提供两种形式的身份验证，如密码和移动设备或安全令牌。
- 禁用root登录：限制root访问，禁用通过SSH直接root登录，使用
sudo命令执行管理任务。