安全设备弱口令致内网被僵尸网络控制

2019年4月，安服应急响应团队接到某大学僵尸网络事件的应急请求，现场多台终端发现疑似黑客活动迹象，重要网站系统遭到黑客攻击，无法正常运行。

应急响应人员通过对重要网站系统进行排查分析，发现该业务系统存在大量IPC暴破登录行为，内网多台主机被多次登录成功，且存在数个僵尸网络远控IP登录行为，其中，某一控制端存在大量国外IP连接行为。同时，应急人员发现其网站运维管理审计系统暴露于公网，并存在弱口令现象，攻击者通过该系统可取得大量服务器的控制权限，且很多敏感安全设备均暴露在公网上，包括WEB应用防火墙、日志中心、漏洞扫描系统、超级终端等。攻击者通过暴露于公网的审计系统弱口令暴破登录进入内网，并以此为跳板，对内网多台服务器、主机进行暴破、投毒并进行横向扩散，组成僵尸网络。

防护建议

• 系统、应用相关用户杜绝使用弱口令，应使用高复杂强度的密码，尽量包含大小写字母、数字、特殊符号等的混合密码，加强管理员安全意识，禁止密码重用的情况出现；

• 重要业务系统及核心数据库应设置独立的安全区域，做好区域边界的安全防御工作，严格限制重要区域的访问权限并关闭不必要、不安全的服务；

• 部署高级威胁监测设备，及时发现恶意网络流量，同时可进一步加强追踪溯源能力，对安全事件发生时可提供可靠的追溯依据；

• 建议在服务器上部署安全加固软件，通过限制异常登录行为、开启防暴破功能、禁用或限用危险端口、防范漏洞利用等方式，提高系统安全基线，防范黑客入侵；

• 定期开展对系统、应用以及网络层面的安全评估、渗透测试以及代码审计工作，主动发现目前系统、应用存在的安全隐患；

• 加强日常安全巡检制度，定期对系统配置、网络设备配合、安全日志以及安全策略落实情况进行检查，常态化信息安全工作。

案例链接：https://blog.csdn.net/m0_74079109/article/details/129113904

网络安全你、我、他

通过这个案例，我们可以看到安全设备弱口令给内网安全带来了巨大的风险。我们要时刻保持网络安全意识，认识到网络安全对于个人、企业乃至国家安全的重要性。任何个人或组织都应遵守《中华人民共和国网络安全法》等相关法律法规，不得利用网络从事危害网络安全的行为。保护个人信息，不使用简单的口令，不轻易将个人信息泄露给他人，以防被不法分子利用。因此我们很有必要掌握一定的网络安全技术，如定期更换复杂密码、使用多因素认证等，同时强调责任心，确保自己管理的系统和设备安全。作为网络安全人才我们应当学会团队合作，遇到网络安全问题时，及时与团队成员或专业机构沟通，共享信息，共同应对网络安全威胁。

项目背景

    某小学管理着一个网站，服务器是linux系统，数据库环境为mysql。在某天，有攻击者通过旁站，成功攻击进入系统并留下后门。网站管理员在系统中抓取了全程流量包，请你帮忙分析攻击者做了哪些操作。

项目目标

1.掌握系统排查可疑用户的方法。

2.了解webshell攻击方式。

3.能够分析系统安全缺陷并提出加固方法。

任务分解

    请根据已有信息进行分析：

1.攻击者使用的端口扫描工具是？

2.通过流量及日志分析，攻击者通过web上传shell时，所使用的IP地址是多少？

3.分析流量日志，攻击者反弹shell连接的远程IP地址及端口是多少，以IP:port方式提交。

4.攻击者使用的提权方式及工具是什么？

5.攻击者创建的新用户名是什么？

6.攻击者将shell删除并放到了其他web目录，并修改了文件名，请提交该文件的完整路径。

7.攻击者使用新用户留下了木马进行不法行为，请找出该程序，提交该程序的完整路径。

8.简述如何进行后门根除及系统加固？