第二章日志分析-mysql应急响应

1.黑客第一次写入的shell flag{关键字符串}

发现网站是php写的

find /var/www/html -name "*.php" | xargs grep "eval("

找到flag了

2.黑客反弹shell的ip flag{ip}

查看mysql日志

日志文件在/var/log/mysql下面

只有一个error.log

在日志中发现一个1.shshell脚本然后查看这个1.sh

find / -name "1.sh"

find /是从根目录查找

find ./从当前目录查看

找到反弹shell的IP了

flag{192.168.100.13}

3.黑客提权文件的完整路径 md5 flag{md5} 注 /xxx/xxx/xxx/xxx/xxx.xx

这里mysql提权和应急响应就要联想到udf提权

需要先连接上mysql数据库

要连上数据库需要数据库的密码和账号但是因为是webshell的权限所以是数据库的密码账号应该泄露在web端

在这发现泄露的信息

这是数据库的密码

进数据库了然后就要查看有没有写入权限

show global variables like '%secure%';

secure_file_friv后面是默认这就是数据库有写入权限

然后根据提权会在/usr/lib/mysql/plugin/目录下留下痕迹

这不有个udf.so的文件这是一个提权文件因为udf.so为用户自定义函数用户可以自定义这样就可以使用udf进行提权
flag{B1818BDE4E310F3D23F1005185B973E7}

4.黑客获取的权限 flag{whoami后的值}

select * from mysql.func;//查看自定义函数

因为udf提权自定函数需要我们查看自定义的函数

使用自定义函数查询权限是mysql权限

flag{mysql}