任务
- 攻击者使用的端口扫描工具是?通过流量及日志审计,攻击者上传shell的时访问web使用IP地址是多少?
- 审计流量日志,攻击者反弹shell的地址及端口?
- 攻击者使用的提权方式及工具是什么?
- 攻击者创建的新用户名是?
- 攻击者将shell删除并放到了其他web目录,文件名被改变了,找出他的绝对路径及文件名
- 攻击者使用新用户留下了木马进行不法行为,找出程序名,给出程序的绝对路径
审题
发现大量http请求
先过滤http
扫端口,可以试试nc
发现150.2执行了nc命令并扫到了4444端口 ,第一问解决
发现shell密码为cmd过滤
发现一句话木马
关于提权工具,要用到流量特征的知识,可以看看我的博客
发现关键字
cookie没有分号结尾
关键线索可判断工具为冰蝎
关于提权,可以想到root
过滤root的返回包
4444端口,为攻击者,追踪tcp流
发现提权过程为bin/bush
发现注册的新账户
删改shell
发现木马位置
完