busybox在应急中的漏洞排查法

admin
admin
admin
141015
文章
117
评论
2025年5月19日11:57:32评论2 views字数 1593阅读5分18秒阅读模式
busybox在应急中的漏洞排查法
一、busybox基础支撑特性
1.静态编译优势

    • 不依赖系统动态链接库（如glibc），规避了通过LD_PRELOAD实现恶意动态库劫持的风险
    • 提供可信命令执行环境，避免攻击者篡改ls ps netstat等系统命令导致的错误信息
2.轻量级工具集成

    • 打包超过300个Unix常用工具（如top vi grep），形成应急响应工具箱5
    • 单个可执行文件占用空间不足1MB，支持快速部署到受损系统
二、核心排查思路
3.替代被篡改的系统命令
当系统原生命令（如ls/ps/top）被恶意so库劫持时，使用静态编译版BusyBox可绕过动态链接库预加载机制
🥇

wget https://busybox.net/downloads/binaries/  -O /tmp/busybox   
  chmod +x /tmp/busybox 

4.异常进程检测
通过/proc目录直接查看进程信息：
🚅

busybox ls -al /proc | grep -E 'exe|cmdline'  # 查看进程执行路径及参数 

对比/proc/[pid]/exe与命令哈希值，定位被替换的二进制文件
三、关键排查步骤
1.系统命令完整性验证
哈希校验核心命令
🍞

busybox sha1sum /bin/ls /usr/bin/top /bin/ps  # 与官方软件包哈希值对比 

2.LD_PRELOAD劫持
检查环境变量配置：
📌

busybox cat /etc/ld.so.preload   
busybox grep -r 'LD_PRELOAD' /etc/profile.d/ /etc/bash*

3.日志深度分析
内核日志审查
✏️

busybox dmesg | grep -i 'error|busybox|segfault'

系统日志关联分析
🥖

busybox grep -E 'cron|ssh|su' /var/log/syslog  # 重点审查计划任务、登录行为 

4.恶意文件检测
隐藏文件扫描
🎉

busybox find / -name ".. *" -o -name "...*"  # 检测非常规命名文件 

特殊时间戳追踪
🎁

busybox find / -mtime -1  # 查找24小时内被修改的文件 

5.网络行为分析
原始套接字检测
🥖

busybox netstat -antp | busybox awk '$6=="LISTEN" || $6=="ESTABLISHED"'

隐藏连接排查
通过/proc/net直接读取网络信息：
🎹

busybox cat /proc/net/tcp  # 分析十六进制IP/PORT 

四、高级对抗技巧
1.Rootkit检测
使用BusyBox配合chkrootkit/rkhunter工具：
💡

/tmp/busybox wget http://example.com/chkrootkit.tar.gz
/tmp/busybox tar zxvf chkrootkit.tar.gz  && cd chkrootkit-*  
/tmp/busybox make && ./chkrootkit 4

2.内存马检测
通过BusyBox脚本扫描Web中间件进程：
👍

for pid in $(busybox pgrep java); do    busybox ls -l /proc/$pid/fd | busybox grep '.jar$'  
done 

五、修复建议
1.系统隔离
立即禁用受感染服务器的外网访问：
🥇

/tmp/busybox iptables -A OUTPUT -j DROP 

2.持久化检测
排查计划任务和启动项：
🌰

/tmp/busybox crontab -l  
/tmp/busybox ls -l /etc/init.d/ /etc/rc*.d/

3.安全加固 
使用静态编译版工具替换系统命令：
❤️

/tmp/busybox cp /tmp/busybox /bin/  
/bin/busybox --install -s  # 创建常用命令链接 

原文始发于微信公众号（运维星火燎原）：busybox在应急中的漏洞排查法

免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2025年5月19日11:57:32
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出)：
                   busybox在应急中的漏洞排查法https://cn-sec.com/archives/4078650.html
                  免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉.

发表评论

匿名网友 填写信息