玄机靶场——应急响应-vulntarget-b-01

步骤：

1、黑客是从哪个端口作为入口点的
2、黑客使用了什么工具探测了ssh服务
3、黑客使用了什么工具扫描了日录(格式fag{工具/版本号})
4、黑客成功登录后台的IP地址?
5、黑客上传的木马连接密钥是什么?
6、黑客留下的后门文件的路径为?

1、黑客是从哪个端口作为入口点的

可以使用ss -lnup进行查看被监听的端口

使用cat install.sh进行查看这个脚本，这里是使用宝塔作为控制面板的，在宝塔的脚本里面，可以看到宝塔打开的所以端口命令，与上图进行比较，可以发现81端口不是宝塔默认打开的端口，所以认为黑客是将81端口作为他的监控端口和入口点的

2、黑客使用了什么工具探测了ssh服务

使用cd /www/wwwlogs

cat access.log查看网页的日志文件，可以发现Nmap，所以黑客使用的是Namp作为探测工具

3、黑客使用了什么工具扫描了日录(格式fag{工具/版本号})

接着对同目录下的127.0.0.1.log文件进行查看，发现了gobuster/3.6,这是一款子域名挖掘工具

4、黑客成功登录后台的IP地址?

如上图，一般扫描工具的主机一般是登录的IP地址，所以登录后台的ip地址为192.168.83.1

5、黑客上传的木马连接密钥是什么?

使用命令将含有gobu的日志全部过滤掉，然后再进行查看,发现有GET传参和POST传参

发现有GET传参和POST传参，先对POST传参进行查看

这里有可疑信息

这里分析一下，黑客使用账号和密码登录进去之后，黑客进行修改了index.php文件

使用命令cd /www/wwwroot/jizhi

cat index.php进行查看index.php，发现了有一个一句话木马存在

所以密钥为Admin@@

6、黑客留下的后门文件的路径为?

切换到/tmp公共目录下

发现有一个index.elf文件

将这个文件放到云沙盒进行查看

可以知道它是一个后门文件

黑客留下的后门文件的路径为/tmp/index.elf