被攻陷的运维跳板机：后门、持久化与横向扫描排查【附靶机链接】

内存余响

2026年11月5日 10:35
浙江

去阅读

场景：安全组告警：运维跳板机 ops-jump-01 对内网 10.0.0.0/24 的 22 端口发起大量扫描。

一、查看SSH日志【192.168.226.1是测试地址，与解题无关，可忽视】

发现deploy账号在2:10分时被爆破成功，2:10至2:45之间停了下，这段时间日志估计是被删除了，接着就是以root身份执行了计划任务。

cat /var/log/auth.log

二、排查账号文件

1、发现除root外还有个特权账号【UID为0就意味着root权限】：support

cat /etc/passwd

2、查看support账号密码修改时间和创建时间都是同一天，且创建时间正好是ssh暴力破解auth.log日志空白期，可以确定是后门账号了。

chage -l supportgrep useradd /var/log/syslog

三、排查是否有创建密钥连接，上面那条是运维自己的，下面的就是攻击者添加root账号的，在root和deploy都有添加。

cat /home/deploy/.ssh/authorized_keyscat /root/.ssh/authorized_keys

四、排查持久化问题，发现存在计划任务：每5分钟执行一次，根据分析代码：连一个地址、发一行主机名、每4分钟向C2发送一次主机信息C2地址是127.0.0.1:8443【这里作为靶机所以填写本地IP】。

crontab -lcat /usr/local/bin/.cache-helper

五、检查网络情况及落地文件

1、外联还在活动着

ss -antp | grep 8443

2、检查落地文件及被带走的数据【都是一些敏感数据】

ls -l /tmp/.* | grep -E \"exfil|scan|sys-bak\"tar -tzf /tmp/.sys-bak.tar.gz | head

3、检查接收端【这里是模拟出来的，真实环境在攻击机服务器上，受害机不会有，防守方能查的是安全设备侧的记录】，接收了800万字节数据，跟前面tmp目录下打包文件对上了

cat /var/log/.c2.log

4、检查横向扫描痕迹【这里验证了运维人员说的在对内网22端口扫描】

cat /tmp/.scan.log

六、应急处置

1、断掉持久化

crontab -rpkill -9 -f 'cache-helper'pkill -9 -f 'lib/.c2.py'

2、清理密钥及后门账号

rm -f /root/.ssh/authorized_keyssed -i '/root@kali/d' /home/deploy/.ssh/authorized_keysuserdel -f -r support

3、把弱口令改了【这里不做演示】

passwd deploypasswd cert

4、验证处置结果：检查进程；检查root权限账号；检查密钥；检查计划任务

pgrep -f 'cache-helper'; ss -antp | grep 8443awk -F: '$3==0' /etc/passwdls -la /root/.ssh /home/deploy/.sshcat /home/deploy/.ssh/authorized_keyscrontab -l

靶机账号密码：cert/cert【sudo免密】

靶机百度网盘地址：

https://pan.baidu.com/s/1lvwXemlh6h0575NBtwNATg?pwd=prg8 提取码: prg8

靶机夸克网盘地址：

https://pan.quark.cn/s/80d98fdc683a?pwd=N25f 提取码：N25f