应急响应 - Linux2 - 练习篇

相关账户密码：

root/Inch@957821.

开机开搞

1,提交攻击者IP

192.168.20.1

2,提交攻击者修改的管理员密码(明文)

Network@2020

3,提交第一次Webshell的连接URL(http://xxx.xxx.xxx.xx/abcdefg?abcdefg只需要提交abcdefg?abcdefg)

index.php?user-app-register

3,提交Webshell连接密码

Network2020

4,提交数据包的flag1

flag1{Network@_2020_Hack}

5,提交攻击者使用的后续上传的木马文件名称

version2.php

6,提交攻击者隐藏的flag2

flag{bL5Frin6JVwVw7tJBdqXlHCMVpAenXI9In9}

7,提交攻击者隐藏的flag3

flag{5LourqoFt5d2zyOVUoVPJbOmeVmoKgcy6OZ}

解题思路+溯源分析

用vm启动虚拟机我觉得分辨率太小了，我这里用ssh远程，界面不一样望周知，开机输入账号密码，我直接用kali扫一下它的IP

144开了ssh的服务，我直接用Windows的命令行连上看

查看历史命令

history

history > 1.txt | cat 1.txt | grep flag

找到flag3: flag{5LourqoFt5d2zyOVUoVPJbOmeVmoKgcy6OZ}

查看历史命令看看都做了什么

下载了宝塔面板，查看宝塔服务器日志

bt

我们不知道宝塔面板的密码，所以需要修改密码

改完密码登录一下宝塔面板

MD5 哈希特点：固定长度输出：无论输入数据多大，MD5 始终生成一个 32 位的十六进制数字（如 f6f6eb5ace977d7e114377cc7098b7e3）。单向性：MD5 是单向的哈希算法，意味着从哈希值无法直接恢复原始数据（尽管通过暴力破解等方法，哈希值可能会被还原成原始数据，尤其是在原始数据较为简单时）。广泛使用：虽然 MD5 曾经广泛用于密码存储、文件验证等，但由于它存在碰撞问题（即不同输入可能产生相同的哈希值），在安全性要求较高的场合，已逐渐被 SHA-256 等更安全的哈希算法取代。

成功登录，到处看看，在个人中心看到后台管理进去翻翻

进去之后我看到有一个文件，猜测是文件上传，点进去看了没什么东西

继续一个一个翻，在内容里面看到一句话木马

位置在注册页面，退出去看一下注册页面的url：index.php?user-app-register

推测出黑客通过修改注册页面的协议标签反弹一句话木马，一句话木马的密码是Network2020 把流量包导出来分析一下，用MobaXterm远程ssh连接把流量包拖出来

打开数据包开始做流量分析，题目里提到flag，直接 ctrl+f 搜一下flag

追踪流

拿到flag1{Network@_2020_Hack}攻击者还上传了别的文件，过滤一下http的流量包看看

这里看到前面一直访问的是index.php,后面突然出现了version.php追踪流看一下

第一个文件

第二个文件

经典的冰蝎特征

固定请求头和响应头冰蝎的固定请求头特征为：dFAXQV1LORcHRQtLRlwMAhwFTAg/M，固定的响应头特征为：TxcWR1NNExZAD0ZaAWMIPAZjH1BFBFtHThcJSlUXWEd。长连接特征冰蝎通讯默认使用长连接，默认情况下，请求头和响应头里会带有 Connection: Keep-Alive，这可以作为辅助流量特征。GET 请求特征在每一次连接时都能看到一个 GET 请求 ?pass=[XXX] 的数据（XXX 均为数字），且均会产生一个 16 位的随机数密钥（第二个为密钥）。Content-Length 通常为 16。请求体特征JSP 类型 的 webshell，POST 请求体数据均为 Base64 编码，Content-Type 为 application/octet-stream，响应体数据均为二进制文件。执行 JSP webshell，一般较短的命令 Content-Length 都是 9068。Pragma 和 Cache-Control请求头中有 Pragma: no-cache，Cache-Control: no-cache。这些头部字段可以作为进一步识别冰蝎流量的特征。

第二个成功回连，第二个确认是冰蝎木马version2.php，到这里就找完了，隐藏的flag我在数据包里面没找到，那应该是我漏了什么地方，再回去看一下历史命令

cat 1.txt | grep vi

find / | grep alinotify.php  在根目录查找alinotify.php文件cat /www/wwwroot/127.0.0.1/.api/alinotify.php | grep flag  查看alinotify.php文件过滤出flag

原文始发于微信公众号（信安一把索）：应急响应 - Linux2 - 练习篇