学习干货|实战中的钓鱼邮件分析

关注本公众号 回复 '钓鱼邮件' 即可获取

关注本公众号-左下角加好友-投稿蓝队应急响应相关镜像获取注册码

    第七章 常见攻击事件分析--钓鱼邮件1. 请分析获取攻击者发送钓鱼邮件时使用的IP flag{127.0.0.1}2. 请分析获取攻击者钓鱼邮件中使用的木马程序的控制端IP flag{127.0.0.1}3. 攻击者在被控服务器上创建了webshell，请分析获取webshell的文件名，请使用完整文件格式 flag{/var/www/html/shell}4. 攻击者在被控服务器上创建了内网代理隐蔽通信隧道，请分析获取该隧道程序的文件名，请使用完整文件路径 flag{/opt/apache2/shell}

问: 请分析获取攻击者发送钓鱼邮件时使用的IP答: 121.204.224.15

Gmail：打开邮件并向下滚动到邮件的底部，然后点击 "显示原始"。在打开的窗口中，你将看到邮件的原始标头，其中包含了 "Received" 部分。Outlook：打开邮件，并在邮件窗口中选择 "文件" 选项卡。然后，在 "信息" 部分中，你会找到 "属性" 选项。点击 "属性" 后，在弹出的窗口中，你可以看到邮件的 "Internet 标头"，其中包含了 "Received" 部分。Thunderbird：打开邮件，并选择邮件窗口上方的 "视图" 菜单。在 "消息源" 或 "邮件头" 选项中，你将看到邮件的原始标头，其中包含了 "Received" 部分。

问: 请分析获取黑客钓鱼邮件中使用的木马程序的控制端IP答: 107.16.111.57

问: 攻击者在被控服务器上创建了webshell，请分析获取webshell的文件名，请使用完整文件格式答: /var/www/html/admin/ebak/Redate.php

exec()：用于执行系统命令。system()：用于执行系统命令，类似于 exec()。shell_exec()：用于执行系统命令，返回命令输出。passthru()：用于执行系统命令，并将命令输出直接发送到输出流。popen()：用于打开进程文件指针，并执行一个命令。proc_open()：用于执行一个命令，并打开进程文件指针。eval()：用于执行字符串中的 PHP 代码。base64_decode()：用于解码经过 Base64 编码的字符串，常用于解码加密的命令。file_get_contents()：用于读取文件内容。file_put_contents()：用于写入内容到文件。fopen() 和 fwrite()：用于打开文件并写入内容。mysql_query()：用于执行 MySQL 数据库查询。preg_replace()：用于执行正则表达式替换。

grep -r -n -i -E 'exec|system|shell_exec|passthru|popen|proc_open|eval|base64_decode|file_get_contents|file_put_contents|fopen|fwrite|mysql_query|preg_replace' var/www/html/

问: 攻击者在被控服务器上创建了内网代理隐蔽通信隧道，请分析获取该隧道程序的文件名，请使用完整文件路径答: /var/tmp/proc/my.conf