实战|记一次wooyun漏洞库意外发现的后门

实战|记一次wooyun漏洞库意外发现的后门
2022-9-28 08:10:51 Author: 系统安全运维(查看原文) 阅读量:15 收藏

最近在学习各种web漏洞，学习之余就想看看真实案例。于是从github下载了几个wooyun漏洞库玩玩。但由于小严线上的存储桶里也有，我就直接用他的线上存储桶了，没有用到本地下载的wooyun漏洞库。之前下载的文件就一直放那闲置着。

今天插入了一块很久之前的硬盘，是原来的系统盘，想着格式化了当数据盘用。结果一插入就把我本地的硬盘搞乱了，多出来了很多desktop.ini文件，很是恼火。保险起见怕有病毒就用火绒全盘查杀了一下本机的硬盘。

0x01 发现问题

期间就一直放在后台扫描。一个多小时过去了，扫描结果出来。

看着我亲自写的笔记被火绒列为病毒，我刚准备吐槽，一个不是我的笔记的文件进入了我的视线。定睛一看，怎么是个图片，在之前下载的乌云漏洞库的图片文件夹里。查杀结果还显示是个webshell，马上提起十二分精神进到这个目录一探究竟

00x02 排查过程

文件路径\wooyun_img\10-14\201202\150353371e91fe9129583d4ef9fd17b10577ebaa.jpg，以文本形式打开一看，好家伙，果然有一个活蹦乱跳的webshell

不得了，黑吃黑啊，这要是把项目部署到服务器上，那不就成了肉鸡了。

去github找到这个仓库，看看issue去

已经有人提出来了，但作者说是文章里要用到的文件，并没有处理这两个webshell，还把这个issue给close掉了。issue里还提到了另一个文件，我查找了一下这个文件，路径在\wooyun_img\15-a\201501\01164029898c19e1752e5afcf54103e6e50f0faa.jpg

你才吊毛。。。

随便加个后缀名用vscode以文本形式打开一看，确认了存在图片马，而这个图片马火绒没有查杀出来，N年前的图片马居然过了火绒。。。

至此，两个webshell处理完成。由于不知道是否存在更多的未被发现的webshell，我已经不敢再用这个库了

0x03 信息汇总

涉事的github仓库地址：https://github.com/m0l1ce/wooyunallbugs

两个存在webshell的图片路径：

\wooyun_img\10-14\201202\150353371e91fe9129583d4ef9fd17b10577ebaa.jpg

\wooyun_img\15-a\201501\01164029898c19e1752e5afcf54103e6e50f0faa.jpg

0x04 总结

用别人开发的web网站或者写的工具，最好自己查一下有没有毒，留个心眼没坏处
N年前的webshell火绒没查出来，火绒的查杀能力有待加强。不过这也不能怪它，毕竟只是个桌面端的杀毒软件，不是webshell专杀软件
关于webshell是wooyun本来就有的还是仓库作者自行添加的。后来看了一下文件的修改时间，第一个2012年2月的文章图片，修改时间是2014年5月29日，第二个图片修改时间能跟路径中的年月对应上，都不是在2016年之后修改的。可能确实冤枉了仓库作者，而是文章的作者上传的图片马，被留在了图片目录里，引入到了新的系统。。。所以在新系统里引入别的系统的静态资源也是有风险。另外看了一下现存的一些wooyun镜像站，里面这两个图片也是存在木马。

作者：wangf3eng文章来源：https://wanf3ng.github.io

好文推荐

神兵利器 | 附下载 · 红队信息搜集扫描打点利器

神兵利器 | 分享直接上手就用的内存马（附下载）

推荐一款自动向hackerone发送漏洞报告的扫描器

欢迎关注系统安全运维

文章来源: http://mp.weixin.qq.com/s?__biz=Mzk0NjE0NDc5OQ==&mid=2247510462&idx=2&sn=b8151688cd5e9231c7893c4d9bc8e5e5&chksm=c3087acef47ff3d88fcfcd9ec7490840e100a56cc87937b1194f15034b80ddba951aabc28001#rd
如有侵权请联系:admin#unsafe.sh