1.介绍&题目
1.单位网站被攻击,存在源码泄露,源码文件名是
2.黑客往/tmp目录写入一个文件,文件名为
3.分析攻击流量,黑客使用的是什么类读取了秘密文件
2.查看基本内容
3.解答
可以看到是一大堆的扫描,排除完扫描也没剩多少日志,逐个分析即可
3.1第一问(源码)
失败都是404,成功是200,找扫描成功的即可,
找到扫描www.zip是200,%2e是Url编码,解码即可。答案是www.zip
3.2第二问(写入文件)
排除404的日志剩下的也没多少,把最下面的URL解码一下看看,
解码后
不难看出写入tmp下的文件是sess_car
3.3第三问(类名)
读取文件的类名,这里我们看到的相关的函数只有call_user_func_array,SpLfileObject
直觉上来说,Spl这个带有File可能是他,不确定的话搜一下
可以确定就是这个类
答案是SplFileObject
4.总结
这道日志分析很简单,量很少。
有问题欢迎留言沟通