玄机应急：linux入侵排查

最新推荐文章于 2025-07-24 23:58:38 发布
最新推荐文章于 2025-07-24 23:58:38 发布
阅读量338 收藏 10
点赞数 4
CC 4.0 BY-SA版权
文章标签： 服务器 网络 运维 linux
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/cjchsh/article/details/145163159

简介

账号：root 密码：linuxruqin
ssh root@IP
1.web目录存在木马，请找到木马的密码提交
2.服务器疑似存在不死马，请找到不死马的密码提交
3.不死马是通过哪个文件生成的，请提交文件名
4.黑客留下了木马文件，请找出黑客的服务器ip提交
5.黑客留下了木马文件，请找出黑客服务器开启的监端口提交

启动环境，直接ssh连接

1.web目录存在木马，请找到木马的密码提交

因为是web目录，直接进入到根目录

cd /var/www/html

web目录存在木马，将他拖到工具D盾中发现

第一个flag{1}

2.

最低0.47元/天 解锁文章

200万优质内容无限畅学
cjchsh
关注
玄机平台应急响应—Linux入侵排查
2301_76227305的博客
05-29 1480
这个靶机比较简单，体现不出什么来。实际情况都是很复杂滴，有机会接触到再分享吧。最后，以上仅为个人的拙见，如何有不对的地方，欢迎各位师傅指正与补充，有兴趣的师傅可以一起交流学习。
玄机平台应急响应—Linux入侵排查详解
qq_74483249的博客
06-26 447
先通过x7连接后查看/var/www/html中的内容发现有个1.php但拷贝在自己的物理机上时这个文件会消失感觉很可疑（这个可能是我的电脑杀毒太厉害了1.php这个文件就是拷贝不下来）或者使用命令排查，可以看到通过find命令查找.php文件中存在关键字eval的文件得出了三个文件中存在eval函数然后分别进入这三个文件中查看内容。由上一题排查木马时可以知道有三个文件存在eval函数并且当进入index.php文件查看时，发现了不死马然后解密之后就得到了flag答案。
Linux入侵排查——玄机靶场
weixin_47472573的博客
11-16 352
Linux系统上webshell入侵排查
菜鸟的linux云服务器第一次木马入侵处理记录（名为xmrigMiner的木马）
weixin_48713918的博客
04-01 2872
遇到木马入侵linux自查自删过程。 查了一下后台，是这个样子 显示的是cpu与内存占用极高，不停有写入操作大写的懵逼，第一反应是先关机 但是没屁用，cpu与内存占用居高不下 我处理的主要过程如下 kill进程没用，还会重新启动。查了半天资料，说是让我看看启用命令 卧槽，真的有 大概是我用的redis安装包有问题赶快启用删除全部定时任务命令 再次查询，就查不到这个定时任务了但是占用率还是居高不下，kill不掉用top命令查看进程状况 就是这个流氓程序，一直占着， 用kill命令，后面的2988
玄机应急：linux入侵排查&webshell查杀&日志分析
8888的博客
11-29 2009
根据我们第一题分析的是一个哥斯拉webshell，要我们提交github地址，我们网上找一下。发现一个执行了 phpinfo() , 可能是我们要找的，但是提交了发现不对。典型的哥斯拉webshell，猜测这就是要找的，查看进入这个目录，查看路径。发现一个外部连接有一个陌生地址，这个应该是黑客的IP 和端口，直接提交。这里也是直接发现了最后一个文件是一句话木马，密码是1，直接提交。在之前查找php文件的时候，发现了一个以.结尾的隐藏文件。发现有两个，两个中肯定有一个后门用户，一个一个提交试试。
【玄机】第一章 应急响应- Linux入侵排查
ywx05_的博客
02-27 1921
监听端口号（Listening Port）是网络通信中用于等待和接收传入连接请求的端口号。服务器或服务在特定端口上监听，以便与客户端建立连接。这种机制确保了网络应用程序能够接收和处理来自其他网络设备的请求。
【玄机靶场】Linux入侵排查
yujiahui0203的博客
05-17 1515
玄机靶场，Linux入侵排查，webshell
玄机靶场--应急响应- Linux入侵排查
weixin_67729650的博客
10-27 1190
进入靶场,开启环境用远程连接工具进行 ssh 连接,本人比较习惯用 xshell,啥都行,只要能连就行开启环境给的账户和 密码进行登录登录进去了这条命令是查找文件内容有 eval(的后缀为.php 的文件,同样可以把.php 改为.jsp,.asp,等。
玄机-第一章 应急响应- Linux入侵排查
本散修的一些学习心得与笔记，道友请自便。
07-17 1003
玄机-第一章 应急响应- Linux入侵排查 账号：root 密码：linuxruqin ssh root@IP 1.web目录存在木马，请找到木马的密码提交 2.服务器疑似存在不死马，请找到不死马的密码提交 3.不死马是通过哪个文件生成的，请提交文件名 4.黑客留下了木马文件，请找出黑客的服务器ip提交 5.黑客留下了木马文件，请找出黑客服务器开启的监端口提交
玄机靶场 第一章 应急响应- Linux入侵排查
qq_46343633的博客
06-04 1636
1.web目录存在木马，请找到木马的密码提交2.服务器疑似存在不死马，请找到不死马的密码提交3.不死马是通过哪个文件生成的，请提交文件名4.黑客留下了木马文件，请找出黑客的服务器ip提交5.黑客留下了木马文件，请找出黑客服务器开启的监端口提交。
应急响应之linux 排查
网络安全
06-29 1503
有招聘需求的可以后台联系运营人员。最近发现一个不错的在线靶场，给大家推荐一下。 玄机靶场地址：https://xj.edisec.net/第一章 应急响应- Linux入侵排查1.web目录存在木马，请找到木马的密码提交 2.服务器疑似存在不死马，请找到不死马的密码提交 3.不死马是通过哪个文件生成的，请提交文件名 4.黑客留下了木马文件，请找出黑客的服务器ip提交 5.黑客留下了木马...
如何在 Ubuntu 24.04 服务器或桌面版上安装和使用 gedit
最新发布
山岚的运维笔记
07-24 549
gedit是Linux系统下简洁易用的开源文本编辑器，支持Ubuntu 24.04等主流发行版。主要功能包括语法高亮、插件扩展、远程文件编辑、多标签页和正则表达式支持。安装方法简单：先更新系统包(sudo apt update && sudo apt upgrade)，再执行sudo apt install gedit即可。通过GUI菜单或终端命令gedit &启动，支持自定义主题和插件配置。作为轻量级编辑器，gedit适合日常文本处理、编程和脚本编辑，是Linux用户的实用选择。
Linux 下在线安装启动VNC
Tongyao
07-24 98
本文介绍了在CentOS 7系统下在线安装VNC的步骤。主要内容包括：1）使用yum安装tigervnc-server；2）通过vncpasswd命令设置VNC密码；3）启动和停止VNC服务的方法；4）安装GNOME桌面环境以避免黑屏问题。文章提供了完整的命令行操作指南，包括服务管理、端口配置和临时文件清理等实用技巧，适合需要远程桌面功能的Linux用户参考。
【服务器】常用PCIe 5.0 Retimer芯片厂家及型号
都给我的博客
07-23 1066
采用标准BGA封装，适用于Riser卡、主板及NVMe背板，可与Switchtec PCIe交换机协同工作。：PCIe 5.0 Retimer与Redriver不可混用——Retimer重建信号时钟，适用于>10英寸的长距传输；采用354-ball BGA封装，集成自适应CTLE/DFE均衡技术（36dB损耗补偿），适用于服务器、存储设备及高性能工作站。PCIe 5.0 Retimer芯片能够有效补偿信道损耗、消除信号抖动，显著提升信号完整性并延长高速信号传输距离。
编程与数学 03-001 计算机组成原理 21_服务器计算机组成实例解析
明月看潮生的博客
07-23 954
本文以Dell PowerEdge R750服务器为例，深入解析了服务器计算机的硬件架构特点、性能优化技术及典型应用场景。硬件架构方面，探讨了多核/多处理器设计、大容量高带宽内存、高速存储系统和高可用性设计。性能优化技术涵盖并行计算、虚拟化支持和网络I/O优化。
Python脚本服务器迁移至K8S集群部署
凡心所向,素履以往,生如逆旅,一苇以航
07-23 395
本文介绍将CentOS服务器上的Python定时任务迁移到K8S集群的实施方案。通过将Python脚本及其运行环境打包为标准化容器镜像，并使用Kubernetes原生CronJob进行集成。具体步骤包括：1）创建项目目录结构；2）导出Python环境依赖；3）构建包含系统依赖和语言环境的Docker镜像；4）配置持久化存储和CronJob任务。方案重点解决了环境一致性、敏感信息隔离和资源混用问题，同时保留了原有路径和语言设置。通过NFS存储类实现日志持久化，并创新性地挂载节点本地目录以存储临时数据。
阿里云平台使用的ack创建的pod与服务器中的MongoDB不在同一网段如何解决
LCY133的博客
07-21 765
摘要： 阿里云ACK中跨子网Pod访问ECS上的MongoDB失败，主要因VPC路由隔离（Pod在100.210.20.0/24，ECS在100.210.10.0/24）、安全组未放行及MongoDB绑定限制。解决方案包括： 配置VPC路由表，添加双向子网路由； 调整安全组放行Pod网段至MongoDB端口； 修改MongoDB配置监听0.0.0.0； 通过K8s Service暴露外部服务。 建议组合路由+安全组方案，并通过telnet或抓包验证。阿里云环境可辅以VPC对等连接或NAT网关优化。
【服务器】服务器调试及仿真软件安装调试心得
dave496206的博客
07-21 582
调试浪潮机架服务器，以及对应仿真软件的安装和调试经验心得。
Coturn打洞服务器
SeaArea_的博客
07-21 792
a. 如下图，STUN协议通讯失败后，通过请求TURN服务器获取其公网地址作为中继地址，互相转发媒体流给对方客户端，由于TURN服务器参与其中，带宽压力主要由服务端承担，因此多人通讯时受本地带宽影响小；b. 如下图，通过STUN协议建议的UDP通信是端对端的直连， 传输媒体流时使用的是双方各自自己的带宽，若进行多人视频通话，则受本地带宽影响，STUN或可能无法成功建立连接；1. SDP协议：会话描述协议，视频通话的双方通过交换SDP信息进行媒体协商，从而选择使用某一相同的媒体协议进行通信；
玄机linux后门应急
02-25
### Linux 玄机 后门 应急处理 方法 #### 一、初步评估与隔离环境 面对可能被植入‘玄机’后门的Linux系统，立即断开网络连接以防止数据泄露或进一步感染其他设备。这一步骤有助于阻止恶意软件通过网络传播。 #### 二、检查并修复受损组件 对于已知受影响路径如`/tmp/pam_unix.so`被非法复制至`/lib/x86_64-linux-gnu/security/pam_unix.so`的情况[^3]，应立即将其恢复原状或者删除篡改过的文件副本，并确认该操作不会影响系统的正常运行。 #### 三、深入调查潜在威胁源码 利用工具如`chkrootkit`和`rkhunter`扫描整个文件系统寻找隐藏进程和其他可疑迹象；同时审查SSH登录记录以及命令历史(`~/.bash_history`)来追踪入侵者的活动轨迹。 #### 四、强化现有防护措施 加强身份验证机制的安全性，比如启用多因素认证(MFA)，定期更改密码策略，移除不必要的服务端口暴露于公网之上，关闭不使用的守护程序等。 #### 五、监控与审计日志 持续关注各类日志文件的变化情况，特别是/var/log下的auth.log, syslog等相关条目，以便及时捕捉任何异常行为模式。此外，在条件允许的情况下部署专门的日志管理解决方案用于集中存储和实时分析事件流。 ```python import os def check_suspicious_files(): suspicious_paths = [ "/lib/x86_64-linux-gnu/security/pam_unix.so", # Add more paths as needed based on specific threat intelligence. ] for path in suspicious_paths: if not os.path.exists(path): continue with open(path, 'rb') as f: content = f.read() # Implement checks here to identify tampered files or known malicious signatures. pass check_suspicious_files() ```
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值