【玄机】第一章 应急响应-webshell查杀

01 前置知识

常用webshell查杀工具：

打包文件到本地分析
tar -czvf web.tar.gz ./*

河马 WebShell 查杀：http://www.shellpub.com
D盾 WebShell 查杀：自行下载

在线沙箱：

vt  https://www.virustotal.com
奇安信沙箱 https://sandbox.ti.qianxin.com/sandbox/page
微步云沙箱 https://s.threatbook.com/
安恒云沙箱 https://sandbox.ti.qianxin.com/sandbox/page
360沙箱云 https://ata.360.net/

手工查杀：

在根目录下查找所有后缀为php的文件，-iname意思是不区分大小写
查找其中的恶意关键词
find ./ -type f -iname "*.php" |xargs egrep 'assert|bash|system|phpspy|c99sh|milw0rm|eval|\(gunerpress|\(base64_decoolcode|spider_bc|shell_exec|passthru|\(\$\_\POST\[|eval\(|file_put_contents|base64_decode'

02 题目

靶机账号密码 root xjwebshell

1.黑客webshell里面的flag flag{xxxxx-xxxx-xxxx-xxxx-xxxx}

2.黑客使用的什么工具的shell github地址的md5 flag{md5}

3.黑客隐藏shell的完整路径的md5 flag{md5} 注 : /xxx/xxx/xxx/xxx/xxx.xxx

4.黑客免杀马完整路径 md5 flag{md5}

1.黑客webshell里面的flag flag{xxxxx-xxxx-xxxx-xxxx-xxxx}

首先要先进到网页源码路径

cd /var/www/html

打包源码到本地分析

tar -czvf web.tar.gz ./*

或者直接xftp或者shell工具自带的下载进行下载

下载过程中火绒已经报毒😂😂😂

使用河马在线查杀
D盾查杀
再试试手工查杀语句

find ./ -type f -iname "*.php" |xargs egrep 'assert|bash|system|phpspy|c99sh|milw0rm|eval|\(gunerpress|\(base64_decoolcode|spider_bc|shell_exec|passthru|\(\$\_\POST\[|eval\(|file_put_contents|base64_decode'

基本可以确认木马文件就是这四个

/var/www/html/shell.php
/var/www/html/include/gz.php
/var/www/html/wap/top.php
/var/www/html/include/Db/.Mysqli.php

挨个查看一下马子中的文件内容，在gz.php中发现flag

flag{027ccd04-5065-48b6-a32d-77c704a5e26d}

2.黑客使用的什么工具的shell github地址的md5 flag{md5}

将找到的马丢沙箱看看，大概率是常规工具，蚁剑，冰蝎，天蝎，哥斯拉之类的

gz.php判定为哥斯拉马

https://github.com/BeichenDream/Godzilla

flag{39392de3218c333f794befef07ac9257}

3.黑客隐藏shell的完整路径的md5 flag{md5} 注 : /xxx/xxx/xxx/xxx/xxx.xxx

隐藏shell就是.xxx文件，用ls -al可以查看该隐藏文件，此处就是/var/www/html/include/Db/.Mysqli.php

flag{aebac0e58cd6c5fad1695ee4d1ac1919}

4.黑客免杀马完整路径 md5 flag{md5}

/var/www/html/wap/top.php

flag{eeff2eabfd9b7a6d26fc1a53d3f7d1de}