玄机-第七章 常见攻击事件分析--钓鱼邮件

下载相关附件，得到一个zip文件

解压zip文件

发现有一个eml文件

使用记事本打开看看

1.请分析获取黑客发送钓鱼邮件时使用的IP，flag格式： flag{11.22.33.44}

对邮件头中的几个关键字段的逐步解析：

:::info
Received:from mail.ffcs.cn (unknown[61.154.14.126])

by rmmx-cloud_rmmx_9_04-12063 (RichMail) with SMTP id 2f1f61512e47e91-1c7b5;

Mon, 27 Sep 2021 10:36:55 +0800 (CST)

这条记录表示邮件从IP地址61.154.14.126的服务器mail.ffcs.cn传输到rmmx-cloud_rmmx_9_04-12063服务器。时间为2021年9月27日10:36:55（CST）

:::

:::info
Received: (qmail 191289 invoked by uid 0); 27 Sep 2021 02:36:54 -0000

Received: from 127.0.0.1 by mail.ffcs.cn (envelope-from ffnic@ffcs.cn, uid 0) with qmail-scanner-1.24

(clamdscan: 0.98.4/26074.

Clear:RC:1(127.0.0.1):.

Processed in 0.248744 secs); 27 Sep 2021 02:36:54 -0000

这条记录表示邮件从本地地址127.0.0.1通过qmail-scanner传输到mail.ffcs.cn服务器。时间为2021年9月27日02:36:54（UTC）

:::

:::info
Received: from unknown (HELO localhost) (ffnic@[127.0.0.1])

        (envelope-sender <ffnic@ffcs.cn>)

        by 0 (magicmail) with SMTP

        for <139xxxx7085@139.com>; 27 Sep 2021 02:36:54 -0000

这条记录表示邮件从本地地址127.0.0.1通过magicmail传输，邮件发件人为ffnic@ffcs.cn。时间为2021年9月27日02:36:54（UTC）

:::

:::info
X-Mailer: MagicMail WebMail (from: 121.204.224.15)

这一行表示邮件是通过IP地址121.204.224.15使用MagicMail WebMail发送的。这通常是发送邮件的客户端的IP地址，表示邮件是在该IP地址上通过MagicMail发送的

:::

经过分析确认黑客ip为121.204.224.15

flag{121.204.224.15}

2.请分析获取黑客钓鱼邮件中使用的木马程序的控制端IP，flag格式：flag{11.22.33.44}

把这个eml文件丢到安恒云沙箱进行分析安恒云沙箱-下一代沙箱的领航者 (dbappsecurity.com.cn)

得到木马程序的控制端IP

flag{107.16.111.57}

3.黑客在被控服务器上创建了webshell，请分析获取webshell的文件名，请使用完整文件格式，flag格式：flag{/var/www/html/shell.php}

使用D盾工具

在网站根目录(/var/www/html)进行搜索

发现一个php文件很可疑，查看一下

确认这就是我们要找的php文件

flag{/var/www/html/admin/ebak/ReData.php}

4.flag4: 黑客在被控服务器上创建了内网代理隐蔽通信隧道，请分析获取该隧道程序的文件名，请使用完整文件路径，flag格式：flag{/opt/apache2/shell}

我们可以去临时目录查看一下配置文件进行分析，在这里也就是“\var\tmp\proc\”目录下的文件“my.conf”；

:::info
配置项分析

[common]:

这个部分表明配置文件的通用设置。

server_addr=178.102.115.17:52329:

服务器地址和端口号。这个配置指向外部服务器（IP 地址 178.102.115.17，端口 52329），可能是黑客用来控制或接管服务器的地址。

conn_type=tcp:

连接类型为 TCP。

vkey=6bHW7m4SMvy:

验证密钥或访问密钥，用于验证连接请求。

auto_reconnection=true:

自动重连设置为 true，表示断线后会自动重连。

max_conn=1000:

最大连接数为 1000，表示最多可以建立 1000 个连接。

flow_limit=1000 和 rate_limit=1000:

流量限制和速率限制，均为 1000。这些限制可能用于控制带宽使用。

crypt=true 和 compress=true:

数据加密和压缩设置为 true，表示传输的数据会被加密和压缩，以提高安全性和效率。

username and password of http and socks5 proxy:

注释部分，提到 HTTP 和 SOCKS5 代理的用户名和密码配置（已被注释掉）。

:::

经过分析，可以猜测这个mysql为代理文件

flag{/var/tmp/proc/mysql}