应急响应靶机-Web1 (知攻善防实验室)

cyber保安

已于 2024-05-12 19:15:58 修改

阅读量445

点赞数 4

分类专栏：应急响应文章标签：安全网络安全系统安全 web安全计算机网络安全威胁分析

于 2024-05-12 19:14:20 首次发布

本文链接：https://blog.csdn.net/m0_57967573/article/details/138759895

版权

应急响应专栏收录该内容

4 篇文章 0 订阅

订阅专栏

目标

小李在值守的过程中，发现有CPU占用飙升，出于胆子小，就立刻将服务器关机，并找来正在吃苕

皮的hxd帮他分析，这是他的服务器系统，请你找出以下内容，并作为通关条件：

夸克网盘分享

1.攻击者的shell密码

2.攻击者的IP地址

3.攻击者的隐藏账户名称

4.攻击者挖矿程序的矿池域名(仅域名)

5.有实力的可以尝试着修复漏洞

环境配置

进入靶机，打开小皮面板，启动网站

Webshell

D盾查杀网站根目录，发现后门文件shell.php

打开文件，看到连接密码，rebeyond是冰蝎默认连接密码

查看apache日志文件，查找shell.php，可以断定192.168.126.1就是攻击IP

打开攻击者访问日志里的路径，应该是进行了用户名密码爆破

通过弱口令进入，随后上传了shell.php

隐藏账户

直接在控制面板或注册表查看账户信息

挖矿程序

在攻击者家目录的桌面上发现可疑应用程序

该图标为pyinstaller打包，反编译

GitHub - pyinstxtractor/pyinstxtractor-ng: PyInstaller Extractor Next Generation

得到pyc文件

在线反编译pyc，得到源码

在线Python pyc文件编译与反编译

# Visit https://www.lddgo.net/string/pyc-compile-decompile for more information
# Version : Python 3.8

import multiprocessing
import requests

def cpu_intensive_task():
    
    try:
        requests.get('http://wakuang.zhigongshanfang.top', 10, **('timeout',))
    finally:
        continue
        continue

    continue

if __name__ == '__main__':
    cpu_count = multiprocessing.cpu_count()
    processes = (lambda .0: [ multiprocessing.Process(cpu_intensive_task, **('target',)) for _ in .0 ])(range(cpu_count))
    for process in processes:
        process.start()
    for process in processes:
        process.join()

确定挖矿域名为 wakuang.zhigongshanfang.top