2017年5月中旬，蜜罐系统监测到了一起攻击事件，引起了我们的注意，小伙伴们迅速跟进分析，并通过技术手段拿下黑客控制端服务器，发现黑客使用了一款名为“神起ddos集群”的软件，控制了3000+的僵尸网络肉鸡，经分析发现该僵尸网络主要利用路由器、摄像头等设备，且规模数量在持续增加。

下面来看看我们是如何一步步发现并溯源该僵尸网络的。

1 蜜罐告警

首先，2017年5月16日15：47分收到蜜罐一条告警信息，发现有黑客入侵了我们部署的蜜罐系统，日志如下：

1.1 蜜罐日志

通过日志可以看到，黑客入侵后执行的动作很简单，从远程服务器下载远控木马后执行。通过分析，发现该服务器是用HFS服务搭建，有三个样本，其中，样本666是针对ARM架构设备的，下载量是3000+；样本s360，s361是针对x86架构的ELF（linux系统）文件，下载量各在200+。

2 攻击反制

通过技术手段反渗透到黑客HFS服务器（具体细节不做透露，你懂的），获取了进一步的信息，以下截图为黑客服务器桌面，发现黑客使用的是腾讯微云主机，该主机不仅是下载服务器而且是远程控制主机。

3 黑客行为剖析

拿下黑客服务器后，服务器上的一些文件引起了我们的注意，一起来看看这个“专业”的小黑客是如何一步一步控制属于自己的僵尸网络的。

3.1 信息收集

从服务器上的文件来看，小黑客还是做了很多准备工作的，包括整理各种活跃ip端，比如开放3306、1433端口的活跃ip：

黑客不仅仅收集了上述IP数据，在“珍藏IP段“这个文件夹里面发现了更多（包含国内各个省份的IP段）：

IP信息收集比较广泛，不仅有国内各个省份包括IDC机房的IP段，还有国外多个国家、地区的IP段：

3.2 密码字典

有了上面的IP信息收集后，黑客还需要一个强大的字典来完成后面的攻击行为，在服务器上找到了这些密码字典：

发现这些字典还是很具有针对性的，有通用字典，有专门针对数据库、操作系统的字典，还有专门针对国外服务器的字典：

3.3 攻击工具

“工欲善其事必先利其器”，有了前面两步的信息之后，就需要有一个高效的自动化攻击工具去完成爆破和植马，该黑客使用了下面这款工具：

下图是爆破成功后执行的命令，可以看到跟我们蜜罐捕获到的日志是一致的：

看到这里，你可能会想，这只是一个简单的SSH爆破，真的能有什么效果吗？看一看黑客正在执行的扫描任务便知道了：

通过实时的日志可以看到，黑客对某一个网段（10000左右数量的主机）进行爆破，目前扫描进度为51.98%，入侵成功的数量有64个，之前也看到了黑客整理的活跃IP段，如果他的时间足够多，入侵成功的主机数量可想而知，接下来的发现也进一步验证了这一结论。

4 “神起“僵尸网络

在服务器上发现了僵尸网络的控制端软件“神起ddos集群”，截图如下：

软件最上方的区域展示僵尸网络被控端操作系统信息，包括IP地址、操作系统类型、CPU信息、内存信息、网速等；左下角是设置发起DDoS攻击的目标信息，包括IP地址、端口、线程数、攻击包大小、是否伪造源IP、采用哪种攻击模式等；右下角是该僵尸网络支持的攻击模式配置，包括SYN_Flood、UDP_Flood、TCP_Flood、UDP碎片、CC攻击、蜗牛（慢速攻击）等。

经过一个多月的跟踪，发现该僵尸网络的规模增长迅速，由最初的400+被控主机增长到3000+，下面我们将对该僵尸网络进行进一步的分析。