云平台的落地与实践

好吧，我也做了回标题党，像我这么细心的同学，怎么可能让服务器被入侵呢?

其实是这样的，昨天我和一个朋友聊天，他说他自己有一台云服务器运行了 Redis 数据库，有一天突然发现数据库里的数据全没了，只剩下一个奇奇怪怪的键值对，其中值看起来像一个 RSA 公钥的字符串，他以为是误操作删库了，幸好自己的服务器里没啥重要的数据，也就没在意。

经过一番攀谈交心了解到，他跑了一个比较古老已经停止维护的开源项目，安装的旧版本的 Redis，而且他对 Linux 的使用不是很熟练。我就知道，他的服务器已经被攻陷了，想到也许还会有不少像我这位朋友的人，不重视操作系统的权限、防火墙的设置和数据库的保护，我就写一篇文章简单看看这种情况出现的原因，以及如何防范。

PS：这种手法现在已经行不通了，因为新版本 Redis 都增加了 protect mode，增加了安全性，我们只能在本地简单模拟一下，就别乱试了。

事件经过

其实这种攻击手法都是 2015 年的事了，那时候 Redis 的安全保护机制比较差，只能靠运维人员来合理配置以保证数据库的安全。有段时间，全球几万个 Redis 节点遭到了攻击，出现了上述奇怪的现象，所有数据被清空，只剩一个键叫 crackit，它的值形似 RSA 公钥的字符串。

后来查证，攻击者利用 Redis 动态设置配置和数据持久化的功能，把自己的 RSA 公钥写入到了被攻击服务器的 /root/.ssh/authored_keys 这个文件，从而可以用私钥直接登录对方的 root 用户，侵入对方系统。

沦陷的服务器安全防护做的很不好，具体如下：

• Redis 的端口是默认端口，而且可以从公网访问。
• Redis 还没设密码。
• Redis 进程是由 root 用户启动的。

以上每个点都是比较危险的，合在一起，那真是很致命了。且不说别人把公钥写到你的系统里，就说连上你的数据库然后删库，那损失都够大了。那么具体的流程是什么呢，下面我在本地回环地址上简单演示一下。

本地演示

Redis 监听的默认端口是 6379，我们设置它接收网卡 127.0.0.1 的连接，这样我从本地肯定可以连接 Redis，以此模拟「从公网可以访问 Redis」这一条件。

现在我是名叫 fdl 的普通用户，我想用 ssh 登录我系统上的 root 用户，要输入 root 的密码，我不知道，所以没办法登录。

除了密码登录之外，还可以使用 RSA 密钥对登录，但是必须要把我的公钥存到 root 的家目录中 /root/.ssh/authored_keys。我们知道 /root 目录的权限设置是不允许任何其他用户闯入读写的：
 

(7) T1070.004 主机指标移除：文件删除

攻击者删除其恶意文件以清除痕迹，并最大程度地清除攻击痕迹，以逃避检测和检查。远程访问后，攻击者会删除其恶意文件，包括后门。

7. 发现

T1057流程发现

攻击者获取有关系统上正在运行的进程的信息，以了解网络内系统上运行的常见软件和应用程序。攻击者获得流程清单以确定后续行动的流程。

T1012查询注册表

攻击者查询Windows注册表以获取有关系统，配置和已安装软件的信息。攻击者通过查询HKEY_LOCAL_MACHINESOFTWAREMicrosoftCryptography密钥中的MachineGuid值来获取加密计算机GUID，以为每个受害者生成唯一的用户ID。

8. 横向移动

T1021远程服务

在这种MITER ATT&CK技术中，对手使用有效账户登录远程服务，例如远程桌面协议(RDP)、SSH和VNC。攻击者使用有效帐户和合法的远程访问在目标网络中横向移动。

（编辑：烟台站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!