加载中…
个人资料
绝世流浪汉
绝世流浪汉
  • 博客等级:
  • 博客积分:0
  • 博客访问:87,195
  • 关注人气:10
  • 获赠金笔:0支
  • 赠出金笔:0支
  • 荣誉徽章:
相关博文
推荐博文
谁看过这篇博文
加载中…
正文 字体大小:

【互联网运维技术--安全】中文版putty、WinSCP、SSH Secure存在安全后门

(2012-01-31 12:52:05)
标签:

安全

it

分类: 互联网运维技术
原文出自网络游侠  http://www.youxia.org/2012/01/putty-WinSCP-SecureCRT-Backdoor.html
     
  凡是使用中文版putty、WinSCP、SSH Secure的用户请注意,它们很可能带有病毒,会导致root密码被盗走,进而盗取或破坏数据,利用服务器发攻击包等。

  昨晚新浪微博的GrimCoder给游侠(www.youxia.org)发消息,说中文版putty和winscp可能被植入后门;然后Mir_4ll3n又发了个文章;早上看到南非蜘蛛又贴了2个地址证实。今天早上游侠就综合下吧:

  如果您的服务器出现如下问题:
  1.进程 .osyslog 或 .fsyslog 吃CPU超过100~1000% (O与F 可能为随机)
  2.有网络连接往 98.126.55.226:82(大概为主控)
  3.机器疯狂外发数据
  4./var/log被删除
  5.同IP旁扫出现一个域名 oxoddos.com 并且站点名带中文

  请立即检查系统安全性!

  同时,可能会/etc/init.d/sshd文件被修改:
  #!/bin/bash
  auto
  /lib/.fsyslog
  #
  # chkconfig: 2345 55 25
  # description: OpenSSH server daemon
  #
  # processname: sshd
  只要重启sshd,就被自动更改

  同时建立一个到美国IP的TCP连接:98.126.55.226:82
  增加了fsyslog(或osyslog)进程,耗费CPU严重
  /var/log目录经常被删除
  /etc 和/lib 目录 下多了很多隐藏文件 . 开头的,如:

[root@www init.d]# ll -al /etc/.
./ .fsyslog .fsyslog.2 .fsyslog.4 .fsyslog.6 .osyslog.1 .osyslog.3 .osyslog.5 .pwd.lock
../ .fsyslog.1 .fsyslog.3 .fsyslog.5 .osyslog .osyslog.2 .osyslog.4 .osyslog.6

[root@www init.d]# ll -al /lib/.fsyslog
-rwxr-xr-x 1 root root 328056 01-17 19:26 /lib/.fsyslog

  需要同时检查sshd和sendmail启动文件,注释掉auto 和/lib/.fsyslog 两行,再
  chmod 4500 /etc/init.d/sendmail
  chmod 4500 /etc/init.d/sshd
  rm /etc/.osyslog* -f
  rm /etc/.fsyslog* -f
  rm /lib/.fsyslog -f
  rm -f /lib/.osyslog

  拾梦(www.bugbeta.cn)专门下载了一个中文版的WinSCP,发现密码输入错误后,不让终止:



  目前临时解决办法
  ·到官网网站下载SSH软件并安装
  ·立即更改SSH服务端口
  ·可使用密匙认证(好像不受影响)
  ·参照上文检查sshd和sendmail启动文件
  ·修改SSH服务器密码(游侠提醒:要处理好上面几步之后再修改密码)

  同时游侠建议您,请在正规网站下载putty、WinSCP、SSH Secure,如:
  putty:http://www.chiark.greenend.org.uk/~sgtatham/putty/download.html
  WinSCP:http://sourceforge.net/projects/winscp/files/WinSCP/4.3.6/winscp436setup.exe/download

  游侠在百度搜索了下putty、WinSCP、SSH Secure

  已知可能存在问题的站点:
  hxxp://www.putty.org.cn
  hxxp://putty.ws
  hxxp://www.winscp.cc
  hxxp://www.sshsecure.com

  第一个网站的whois信息:



  putty和WinSCP是免费软件。但是很明显的:居然都在百度做竞价推广,这一点就非常说明问题!



  既然做百度推广,就必然要交费,必然有地址!(换一种说法:出现这样的问题,百度难逃其咎)建议公安部门从百度竞价入手,追查相关责任人!

PS:
  不是所有的中文版、汉化版都有问题。因这三款软件的版本较多,游侠无法一一验证。请自行鉴别。

整理:www.youxia.org 游侠安全网

感谢:
weibo.com GrimCoder(爆料人)
weibo.com Mir_4ll3n
weibo.com 南非蜘蛛
www.bugbeta.cn 拾梦(现身说法)
www.hostloc.com 用户名
www.zijidelu.org 爱洞特漏

0

阅读 评论 收藏 转载 喜欢 打印举报/Report
  • 评论加载中,请稍候...
发评论

    发评论

    以上网友发言只代表其个人观点,不代表新浪网的观点或立场。

      

    新浪BLOG意见反馈留言板 欢迎批评指正

    新浪简介 | About Sina | 广告服务 | 联系我们 | 招聘信息 | 网站律师 | SINA English | 会员注册 | 产品答疑

    新浪公司 版权所有