Upgrade to Pro — share decks privately, control downloads, hide ads and more …

ハニーポットが捕まえた WebShell を分析してみた

Kazuaki Morihisa
September 30, 2017

ハニーポットが捕まえた WebShell を分析してみた

2017年9月30日 第1回ハニーポッター技術交流会 発表資料 @morihi_soc #hanipo_tech
https://hanipo-tech.connpass.com/event/64885/

Kazuaki Morihisa

September 30, 2017
Tweet

More Decks by Kazuaki Morihisa

Other Decks in Technology

Transcript

  1. XIPBNJ w ৿ٱ࿨ত !NPSJIJ@TPD  w ຊۀ͸ηΩϡϦςΟΤϯδχΞɾΞφϦετ w झຯͰϋχʔϙοτͷӡ༻Λ͢Δϋχʔϙολʔ w

    ϒϩάˠIUUQXXXNPSJIJTPDOFU w ϋχʔϙολʔٕज़ަྲྀձओ࠵ऀ w άϧʔϓˠIUUQTIBOJQPUFDIDPOOQBTTDPN  ˡϒϩάͷʮϋχʔϙοτ؍࡯ه࿥ʯ͕ ຊʹͳΓ·ͨ͠ ೥݄೔ൃച ిࢠॻ੶൛ແྉࢼಡ൛͋Γ·͢  ʮαΠόʔ߈ܸͷ଍੻Λ෼ੳ͢Δ ϋχʔϙοτ؍࡯ه࿥ʯ ஶऀɿ৿ٱ࿨ত ग़൛ɿल࿨γεςϜ ࠓ·Ͱʹ͓ੈ࿩ʹͳͬͨΠϕϯτ ɾ*5,FZT ݱ4FD$BQ  ɾωοτϫʔΫύέοτΛಡΉձ Ծ  ɾ/*4$αΠόʔϋϩ΢Οϯ ɾ*OUFSOFU8FFL ɾ)BSEFOJOH 7BMVF$IBJO༏উ  ɾTTNKQ ɾ"*4FD ɾULULηΩϡϦςΟษڧձ
  2. ͜ΜͳΞΫηεϩάݟͨ͜ͱ͋ΔΑͶʁ HSFQ1045BDDFTT@MPHcHSFQaQIQl 4 1045XQBENJOBENJOBKBYQIQ)551 1045XQDPOUFOUQMVHJOTGPSNDSBGUpMFVQMPBETFSWFSDPOUFOUVQMPBEQIQ 1045'$,VQMPBEQIQ)551 1045'MBTI$IBUVQMPBEQIQ)551 1045'MBTI$IBU@W@DIBUVQMPBEQIQ)551 1045NVQMPBEQIQ)551 1045NPEVMFTBUUSJCVUFXJ[BSEQSP0-%pMF@VQMPBEQIQ)551

    1045NPEVMFTBUUSJCVUFXJ[BSEQSPpMF@VQMPBEQIQ)551 1045NPEVMFTDBSUBCBOEPONFOUQSPVQMPBEQIQ)551 1045NPEVMFTDPMVNOBEWFSUTVQMPBEJNBHFQIQ)551 1045NPEVMFTIPNFQBHFBEWFSUJTFVQMPBEJNBHFQIQ)551 1045NPEVMFTKSP@IPNFQBHFBEWFSUJTFVQMPBEJNBHFQIQ)551 1045NPEVMFTNPE@TJNQMFpMFVQMPBEWFMFNFOUTVEEQIQ)551z 1045NPEVMFTQSPEVDUQBHFBEWFSUTVQMPBEJNBHFQIQ)551 1045NQMJTUVQMPBEQIQ)551
  3. 1045ͷѼઌΛूܭͯ͠ΈΔ 1045XQBENJOBENJOBKBYQIQ)551 1045XQBENJOBENJOBKBYQIQ)551 1045 QXQBENJOBENJOBKBYQIQ)551 1045YNMSQDQIQ)551z 1045XQMPHJOQIQ)551 1045YNMSQDQIQ)551 1045 QXQBENJOBENJOBKBYQIQ)551

    1045DPNNBOEQIQ)551 1045 QXQBENJOBENJOBKBYQIQ)551 1045MJDFOTFQIQ)551 5 աڈ1೥൒ͷΞΫηεϩάʹ͓͚Δ্Ґ10݅ͷΞΫηε݅਺ͱURL /wp-admin/admin-ajax.php Ѽͷ߈ܸ͕ѹ౗తʹଟ͍!
  4. ͓͞Β͍ w 1045ˠΫϥΠΞϯτ͔Βαʔό΁ͷσʔλૹ৴ w ϑΥʔϜͷೖྗ΍ϑΝΠϧͷΞοϓϩʔυͰར༻ w XQBENJOBENJOBKBYQIQΛ෼ղ͢Δͱ w XQBENJOˠ8PSE1SFTTͷσΟϨΫτϦ w

    BENJOBKBYQIQˠ8PSE1SFTTͰ"+"9ͷ
 ΞΫηεΛड͚෇͚ΔͨΊͷΠϯλʔϑΣʔε
 "+"9ʜϖʔδશମΛ࠶ಡΈࠐΈ͢Δ͜ͱͳ͘ɺ
 Ұ෦ͷ৘ใ͚ͩΛߋ৽Ͱ͖ΔΑ͏ʹ͢Δٕज़ 6 AJAX ͷΠϯλʔϑΣʔεͳΒ͹ɺ ௨ৗ௨৴ͷՄೳੑ͕͋ΔͷͰ͸?
  5. $7& w ͜ͷ௨৴͸ɺ8PSE1SFTT༻5IFNF1VODI4MJEFS 3FWPMVUJPOϓϥάΠϯ͓Αͼ4IPXCJ[1SP
 ϓϥάΠϯʹ͓͚Δ೚ҙͷϑΝΠϧΛΞοϓϩʔυ ͞ΕΔ੬ऑੑΛૂͬͨ߈ܸͰ͢ɻ w $7&͸೥Ͱ͕͢ɺ೥ݱࡏͰ΋߈ܸ͸ଟ ਺ݕ஌͍ͯ͠·͢ɻ w

    ߈ܸऀ͕ଟ਺ଘࡏ͢ΔͷͰ͋Ε͹ɺΞοϓϩʔυ͢ ΔϑΝΠϧ΋ҧ͏͜ͱ͕༧૝͞ΕΔ
 10 →ϑΝΠϧΛऩूͯ͠෼ੳ͍ͨ͠ͱ͍͏޷ح৺ IUUQKWOECKWOKQKBDPOUFOUT+7/%#IUNM
  6. 8FC4IFMMͦͷ w 8FC4IFMMքͰ͸༗໊ͳ840ͱ͍͏ϑΝΠϧ w ಛ௃ɿଟػೳ w αʔό৘ใͷ؆қදࣔ 04όʔδϣϯ΍ϋʔυσΟεΫ౳  w

    ϑΝΠϧͷΞοϓϩʔυɾࢀরɾฤूɾ࡟আ w 04ίϚϯυ࣮ߦ༻ίϯιʔϧ w 42-઀ଓ༻ίϯιʔϧ w 1)1ίʔυ࣮ߦ༻ίϯιʔϧ w 1)1ηʔϑϞʔυճආ w จࣈྻม׵πʔϧ w ϒϧʔτϑΥʔε߈ܸπʔϧ '51.Z4RM1PTUHSF4RM  w όοΫυΞ઀ଓ༻ωοτϫʔΫπʔϧ w ࣗݾ࡟আػೳ౳ w ݟͨ໨΋௚ײతʹΘ͔Γ΍͘͢ɺ߈ܸऀ͕Α͘࢖͍ͬͯΔɻ 15
  7. 8FC4IFMMͦͷ w ϑΝΠϧૢ࡞͕ओػೳͷ8FC4IFMM w 840ʹ͸ྼΔ͕ଟػೳ w αʔό৘ใͷ؆қදࣔ 04όʔδϣϯ΍ϋʔυσΟεΫ౳  w

    ϑΝΠϧͷΞοϓϩʔυɾࢀরɾฤूɾ࡟আ w 04ίϚϯυ࣮ߦ༻ίϯιʔϧ w 42-઀ଓ༻ίϯιʔϧ w όοΫυΞ઀ଓ༻ωοτϫʔΫπʔϧ౳ w վม͞ΕͯΑ͘ݟΔ 17
  8. 8FC4IFMMͦͷ w 1)11SJODFͱ໊৐ΔελΠϦογϡͳ8FC4IFMM w 840Λ௒͑ΔػೳΛ࣋ͭ w αʔό৘ใͷ؆қදࣔ 04όʔδϣϯ΍ϋʔυσΟεΫ౳  w

    ϑΝΠϧͷΞοϓϩʔυɾࢀরɾฤूɾ࡟আ w 04ίϚϯυ࣮ߦ༻ίϯιʔϧ w 42-઀ଓ༻ίϯιʔϧ w 1)1ίʔυ࣮ߦ༻ίϯιʔϧ w 1)1ηʔϑϞʔυճආ w จࣈྻม׵πʔϧ w ϒϧʔτϑΥʔε߈ܸπʔϧ w όοΫυΞ઀ଓ༻ωοτϫʔΫπʔϧ w ϙʔτεΩϟφʔ w XIPJTػೳ w IUBDDFTTIUQBTTXEੜ੒πʔϧ w ϝʔϧૹ৴ػೳ౳ 19
  9. 8FC4IFMMͦͷ w ϑΝΠϧΞοϓϩʔυػೳ͔͠ͳ͍ w ը໘ΛΑ͘ݟΔͱʮ(*'B(ʯͱදࣔ͞Ε͍ͯΔ w pMFίϚϯυͰͷ൑ผͯ͠ΈΔͱɾɾɾ 21 த਎͸ PHP

    ϑΝΠϧͳͷʹɺGIF ϑΝΠϧͱ൑ఆ https://www.virustotal.com/en/file/7a800b47cfa6656f3925e6c0b421201e98faee59c201b361dc86745b70dba80f/analysis/1506670589/
  10. 8FC4IFMM͔ΒαʔόΛकΔɾൃݟ͢Δ w $.4Ͱ͋Ε͹ΞοϓσʔτΛ͔ܽ͞ͳ͍ w ֦ுػೳ͕ૂΘΕΔ͜ͱ΋͋Δ w 8"' 8FC"QQMJDBUJPO'JSFXBMM Λಋೖ͢Δ w

    ΦʔϓϯιʔεͰ͸.PE4FDVSJUZ͕༗໊ w վ͟Μݕ஌ػೳΛಋೖ͢Δ w ΦʔϓϯιʔεͰ͸"*%&͕༗໊ w Ξϯν΢ΠϧειϑτͰεΩϟϯ w ΋͠΋ͷͱ͖ͷૣظൃݟʹͭͳ͕Δ 24