设为首页 收藏本站

运维网

查看: 377|回复: 0

[经验分享] Zabbix server被***了...

[复制链接]

尚未签到

发表于 2018-10-11 13:38:17 | 显示全部楼层 |阅读模式
  公司金山区云服务器对应的zabbix是2.2版本的,当时是直接使用yum install安装的。今天上班登陆zabbix的时候发现zabbix界面变成了中文版(我一直都是英文版界面),然后在主页的last 20 issues里右键点击具体的云服务器时会多了两个scripts,一个叫111,一个叫222。
  在Administration---scripts里打开,就看到了这两个东西的真实面目:
DSC0000.png

  111是下载文件,222就是执行文件。117.21这个服务器是江西吉安的。这个手段就是利用中招人的好奇心,通过点击scripts然后往那些云服务器里注入不可描述的东西...
  于是乎,我登陆zabbix-server服务器,检查进程发现没有异常,但是来到/tmp看到这样的情景:
DSC0001.png

  嗯,昨晚动手的...好吧,这几个绿色文件都是二进制文件,就直接删除掉,然后更改一下zabbix-server的密码。
  返回到zabbix里,由于添加scripts是需要登陆界面才能操作的,由此可知我们的zabbix在web的密码也已经泄露了,web端的密码也需要更改一下(其实这步没啥用,但是勤换密码是好习惯)。
  更改zabbix用户密码的地方的具体方法如下:
DSC0002.png

  那么更改完了,我们就要反思,这是一个什么漏洞呢?
  后来在https://support.zabbix.com/browse/ZBX-11023 发现是sql查询“last data”的导火索,然后利用sql的漏洞进入到了 zabbix。
  在这里各位看官不妨测试一下自己的zabbix也是否安全,首先在您的 zabbix 地址后面加上
/jsrpc.php?sid=0bcd4ade648214dc&type=9&method=screen.get&timestamp=1471403798083&mode=2&screenid=&groupid=&hostid=0&pageFile=history.php&profileIdx=web.item.graph&profileIdx2=2'3297&updateProfile=true&screenitemid=&period=3600&stime=20160817050632&resourcetype=17&itemids%5B23297%5D=23297&action=showlatest&filter=&filter_task=&mark_color=1  这样一句话,看看效果,如果出现这样的情景,那么恭喜你,你中招了。
DSC0003.png

  ***可以直接通过获取admin的sessionid来根据结构算法构造sid,替换cookie直接以管理员身份登陆(怪不得还能更改我的英文界面)。
  如果是这样的话,那么就证明您的zabbix目前是坚固的...
DSC0004.png

  这个漏洞恳请大家务必重视,并尽快通过升级zabbix 3.0.4修补此漏洞!
  
  升级3.0.4的方法各位可以移步:http://qicheng0211.blog.51cto.com/3958621/1744603?utm_source=tuicool&utm_medium=referral ,这位大兄已经写的非常棒了,而且方法简单。
  这里面有一点要注意,在执行#yum --disablerepo=epel --enablerepo=zabbix3.0 upgrade zabbix-server-mysql zabbix-agent zabbix-get zabbix-sender
  出现下面的信息的时候:
Package(s) zabbix-server-mysql available, but not installed.  
Package(s) zabbix-agent available, but not installed.
  
Package(s) zabbix-get available, but not installed.
  
Package(s) zabbix-sender available, but not installed.
  把upgrade 换成 install。
  如果提示你需要升级到glibc2.14 和2.17,注意!在这一步,千万不可以先删除libc.so.6 库文件,否则后果自负!!!
  那么先#strings /lib64/libc.so.6 |grep GLIBC 通过这个查看当前环境里glibc的版本:
DSC0005.png

  升级命令如下:
wget http://mirror.bjtu.edu.cn/gnu/libc/glibc-2.14.tar.xz  
tar xvf glibc-2.14.tar.xz
  
cd glibc-2.14
  
mkdir build
  
cd build
  
../configure --prefix=/usr/local/glibc-2.14   // 配置glibc并设置当前glibc-2.14安装目录
  
make -j4
  
make install
  
cp /usr/local/glibc-2.14/lib/libc-2.14.so /lib64/libc-2.14.so
  
mv /lib64/libc.so.6 /lib64/libc.so.6.bak
  
LD_PRELOAD=/lib64/libc-2.14.so ln -s /lib64/libc-2.14.so /lib64/libc.so.6
  如果最后一行命令执行出错,可通过
LD_PRELOAD=/lib64/libc-2.12.so ln -s /lib64/libc-2.12.so /lib64/libc.so.6  再改回去。
  最后,执行#strings /lib64/libc.so.6 |grep GLIBC,查看glibc是否更新:
DSC0006.png

  补充,安装zabbix-agent 3.0的方法
  1)下载zabbix3.0-rpm到本地;
  2)#cd zabbix3.0-rpm/RPMS,然后#yum localinstall zabbix-agent-3.0.0-1.el6.x86_64.rpm -y
  3)修改zabbix-agent.conf;
  4)#service zabbix-agent start



运维网声明 1、欢迎大家加入本站运维交流群:群①:263444886群②:197202523群③:485755530群④:201730672群⑤:202807635运维网交流群⑥:281548029
2、本站所有主题由该帖子作者发表,该帖子作者与运维网享有帖子相关版权
3、其他单位或个人使用、转载或引用本文时必须注明原文的出处
4、如本帖侵犯到任何版权问题,请立即告知本站,本站将及时予与删除并致以最深的歉意
5、运维网 - 服务您的运维操作管理专家!
6、联系人Email:admin@yunvn.com 网址:www.iyunv.com

点击关注更多内容
您需要登录后才可以回帖 登录 | 立即注册  

本版积分规则  允许回帖邮件提醒楼主

扫码加入运维网微信交流群X

扫码加入运维网微信交流群

扫描二维码加入运维网微信交流群,最新一手资源尽在官方微信交流群!快快加入我们吧...

扫描微信二维码查看详情

客服 E-mail:kefu@yunvn.com

本站由青云提供云计算服务

运维网--中国最专业的运维工程师交流社区

京ICP备14039699号-1 Copyright © 2012-2018

使用手机软件扫描微信二维码

关注我们可获取更多热点资讯

Good good study day day up !


提醒:禁止发布任何违反国家法律、法规的言论与图片等内容;本站内容均来自个人观点与网络等信息,非本站认同之观点.


独家合作伙伴: 青云cloud

快速回复 返回顶部 返回列表