【A9】某官网应急响应排查

“A9 Team 甲方攻防团队，成员来自某证券、微步、青藤、长亭、安全狗等公司。成员能力涉及安全运营、威胁情报、攻防对抗、渗透测试、数据安全、安全产品开发等领域，持续分享安全运营和攻防的思考和实践。”

01

—

cat /etc/passwdcd /var/log    lastlog其他一些Linux重要日志/var/log/message：包括整体系统信息。/var/log/authlog：包含系统授权信息，包括用户登录和使用的权限机制等。/var/log/userlog：记录所有等级用户信息的日志。/var/log/cron：记录crontab命令是否被正确的执行。/var/log/xferlog（vsftpdlog）：记录LinuxFTP日志。/var/log/lastlog：记录登录的用户，可以使用命令lastlog查看。/var/log/secure：记录大多数应用输入的账号与密码，登录成功与否。var/log/wtmp：记录登录系统成功的账户信息，等同于命令last。var/log/faillog：记录登录系统不成功的账号信息，一般会被黑客删除。

只有root登录过

再进一步验证，只有root有登录权限，其他都是nologin

（1）webshell怎么上传的？

查看目录，发现入侵者很聪明，日志文件都删除了，问了旁边的**同事，发现恢复不了，一是时间太久了，二是这个东西删除的渣都不剩（我菜）

i、phpmyadmin开到了公网，通过MySQL写日志写进去shell。

ii、程序本身存在上传点，能任意上传文件。

2、系统存在多少个webshell？

除了是root的，其余均为上传的文件，除去不是php文件，其余均为shell

3、webshell是否还在用？

webshell是还在用的，通过菜刀能连接成功。

1、该老旧个人网站下线处理。

2、告知其领导和网站拥有者不能私自运营任何带公司logo样式的网站。