最新文章:

首页 信息安全

WireShark黑客发现之旅—肉鸡邮件服务器

发布时间:2015年07月21日 评论数:抢沙发 阅读数:4653

    0×00 背景


    肉鸡也称傀儡机,是指可以被黑客远程控制的机器。一旦成为肉鸡,就可以被攻击者随意利用,如:窃取资料、再次发起攻击、破坏等等。下面将利用WireShark一起学习一种肉鸡的用途:广告垃圾邮件发送站。

    0×01 发现问题


    在对某企业服务器群进行安全检测时发现客户一台服务器(10.190.214.130)存在异常,从其通信行为来看应该为一台空闲服务器。 经过一段时间的抓包采集,对数据进行协议统计发现,基本均为SMTP协议。

    WireShark黑客发现之旅—肉鸡邮件服务器

    WireShark黑客发现之旅—肉鸡邮件服务器

    SMTP协议为邮件为邮件传输协议。正常情况下出现此协议有两种情况:

    1、用户发送邮件产生。 2、邮件服务器正常通信产生。 

    该IP地址属于服务器,所以肯定非个人用户利用PC机发送邮件。

    那这是一台邮件服务器?如果是,为什么仅有SMTP协议,POP3、HTTP、IMAP等等呢?

    带着疑问我们统计了一下数据的IP、端口等信息:

    WireShark黑客发现之旅—肉鸡邮件服务器

    统计信息表明:所有通信均是与61.158.163.126(河南三门峡)产生的SMTP协议,且服务器(10.190.214.130)开放了TCP25端口,它的的确确是一台邮件服务器。

    到这,很多安全分析人员或监控分析软件就止步了。原因是IP合理、逻辑也合理、SMTP协议很少有攻击行为,以为是一次正常的邮件通信行为。那么很可惜,你将错过一次不大不小的安全威胁事件。

    职业的敏感告诉我,它不是一台合理的邮件服务器。这个时候需要用到应用层的分析,看一看它的通信行为。继续看看SMTP登陆过程的数据。

    WireShark黑客发现之旅—肉鸡邮件服务器

    从数据看出,邮箱登陆成功,右键Follow TCPStream可以看见完整登陆信息。

    WireShark黑客发现之旅—肉鸡邮件服务器

    334 VXNlcm5hbWU6          // Base64解码为:“Username:” YWRtaW4=  //用户输入的用户名,Base Base64解码为:“admin” 334 UGFzc3dvcmQ6         //Base64解码为:“Password:” YWRtaW4=  //用户输入的密码,Base Base64解码为:“admin” 235 Authentication successful.  //认证成功 MAIL FROM:<[email protected]>  //邮件发送自…… 

    这段数据表明:61.158.163.126通过SMTP协议,使用用户名admin、密码admin,成功登陆邮件服务器10.190.214.30,邮件服务器的域名为@system.mail,且利用[email protected]发送邮件。

    一看用户名、密码、邮箱,就发现问题了:

    1、admin账号一般不会通过互联网登陆进行管理。

    2、“二货”管理员才会把admin账号设为密码。

    3、域名@system.mail与客户无任何关系。

    很显然,这是一台被控制的邮件服务器—“肉鸡邮件服务器”。

    0×02 行为跟踪


    发现问题了,下一步跟踪其行为,这个肉鸡服务器到底是干什么的。查看Follow TCPStream完整信息可发现:这是一封由[email protected]群发的邮件,收件人包括: [email protected][email protected][email protected]等10个人(带QQ的邮箱暂时抹掉,原因见最后),邮件内容不多。

    WireShark黑客发现之旅—肉鸡邮件服务器

    WireShark黑客发现之旅—肉鸡邮件服务器

    为看到完整邮件内容,我们可以点击Save As存为X.eml,用outlook等邮件客户端打开。

    WireShark黑客发现之旅—肉鸡邮件服务器

    一看邮件,所有谜团都解开了。邮件内容就是一封“巧虎”的广告垃圾邮件,该服务器被攻击者控制创建了邮件服务器,用于垃圾邮件发送站。再用同样的方法还原部分其它邮件:

    WireShark黑客发现之旅—肉鸡邮件服务器

    WireShark黑客发现之旅—肉鸡邮件服务器

    可以看出邮件内容完全一样,从前面图中可看出短时间的监控中SMTP协议有几十次会话,也就说发送了几十次邮件,涉及邮箱几百人。邮件中的域名http://url7.me/HnhV1打开后会跳转至巧虎商品的广告页面。

    WireShark黑客发现之旅—肉鸡邮件服务器

    0×03 分析结论


    1、该服务器经简单探测,开放了TCP25/110/445/135/3389/139等大量高危端口,所以被攻击控制是必然。

    2、该服务器已被控制创建了肉鸡邮件服务器(WinWebMail),邮件服务器域名为@system.mail,由61.158.163.126(河南省三门峡市)使用[email protected]用户登录,通过邮件客户端或专用软件往外发送垃圾邮件。

    3、简单百度一下,很多人会经常收到来自[email protected]的垃圾邮件,今天终于弄清了它的来龙去脉。

    4、垃圾邮件发送不是随便发的,是很有针对性的。巧虎是幼儿产品,从接受邮件的QQ号码中随便选取4位查询资料发现发送对象可能都为年轻的爸爸妈妈。

    WireShark黑客发现之旅—肉鸡邮件服务器

    WireShark黑客发现之旅—肉鸡邮件服务器

    WireShark黑客发现之旅—肉鸡邮件服务器

    申明:文章中出现IP、邮箱地址等信息均为安全监控、攻击防范学习交流所用,切勿用于其它用途,否则责任自负。

二维码加载中...
本文作者:Mr.linus      文章标题: WireShark黑客发现之旅—肉鸡邮件服务器
本文地址:http://www.90qj.com/208.html  本文已经被百度收录,点击查看详情
版权声明:若无注明,本文皆为“挨踢 Blog”原创,转载请保留文章出处。
挤眼 亲亲 咆哮 开心 想想 可怜 糗大了 委屈 哈哈 小声点 右哼哼 左哼哼 疑问 坏笑 赚钱啦 悲伤 耍酷 勾引 厉害 握手 耶 嘻嘻 害羞 鼓掌 馋嘴 抓狂 抱抱 围观 威武 给力
提交评论

清空信息
关闭评论