来而不往非礼也

今天来继续来玄机靶场的Linux日志分析，再开始前先整理下日志分析一般会用到的语句Linux系统中常见的日志文件包括：/var/log/syslog 检查最近的系统活动/var/log/auth.log（或/var/log/secure）检查登录和认证日志/var/log/messages 检查系统启动和服务日志/var/log/dmesg 分析内核消息/var/log/kern.log 检查计划任务/var/log/daemon.log 检查用户和组的变更。

本次应急响应和之前的web不一样，也是我第一次知道近源渗透这个东西，排查的重点也有些许不同，从开始的日志转变成对于软件后门的摸查，也学到了很多东西。同时以下师傅的文章和工具也对我有了很大的帮助，希望同样能正在学习的的你有所帮助。windouws应急响应摸查微步的云沙箱官方题解。

今天主要记录的是玄机靶场第二章apache日志分析，主要内容是日志分析。以下是题目要求账号密码 root apacherizhi1、提交当天访问次数最多的IP，即黑客IP：2、黑客使用的浏览器指纹是什么，提交指纹的md5：3、查看index.php页面被访问的次数，提交次数：4、查看黑客IP访问了多少次，提交次数：5、查看2023年8月03日8时这一个小时内有多少IP访问，提交次数:先用xshell连一下。我们不妨对一些可能出现的高频日志分析的语句进行整理统计访问量最高的IP地址。

等了好久终于抽到了玄机的靶场邀请码，今天来体验一下，记录下自己的学习过程。靶机账号密码 root xjwebshell1.黑客webshell里面的flag flag{xxxxx-xxxx-xxxx-xxxx-xxxx}2.黑客使用的什么工具的shell github地址的md5 flag{md5}3.黑客隐藏shell的完整路径的md5 flag{md5} 注 : /xxx/xxx/xxx/xxx/xxx.xxx4.黑客免杀马完整路径 md5 flag{md5}

应急响应靶机

在本次靶机中通过查看web日志和ftp日志找到了一个恶意ip对目标主机进行扫描，通过d盾对网站根目录进行扫描发现后门shell，根据shell文件的文件名同步反查文件名，找到了失陷时间，观察到了用户连接ip。利用系统注册表可以查到隐藏的用户名后这个就可以利用windouws系统日志按照敏感事件id去反查。

应急响应靶机练习