任务
- 攻击者使用的端口扫描工具是?通过流量及日志审计，攻击者上传shell的时访问web使用IP地址是多少?
- 审计流量日志，攻击者反弹shell的地址及端口?
- 攻击者使用的提权方式及工具是什么?
- 攻击者创建的新用户名是?
- 攻击者将shell删除并放到了其他web目录，文件名被改变了，找出他的绝对路径及文件名
- 攻击者使用新用户留下了木马进行不法行为，找出程序名,给出程序的绝对路径
审题
发现大量http请求
先过滤http
扫端口，可以试试nc
发现150.2执行了nc命令并扫到了4444端口 ，第一问解决
发现shell密码为cmd过滤
发现一句话木马
关于提权工具，要用到流量特征的知识，可以看看我的博客
发现关键字
cookie没有分号结尾
关键线索可判断工具为冰蝎
关于提权，可以想到root
过滤root的返回包
4444端口，为攻击者，追踪tcp流
发现提权过程为bin/bush
发现注册的新账户
删改shell
发现木马位置
完
403
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
