m0_62840741的博客

小李在某单位驻场值守，深夜12点，甲方已经回家了，小李刚偷偷摸鱼后，发现安全设备有告警，于是立刻停掉了机器开始排查。

运行后内存占用极高，应该是挖矿木马，看ico应该是应该是python文件，使用pyinstxtractor进行反编译。攻击者上传webshell文件，web应用日志文件中肯定会有记录，通过webshell文件名在日志中定位攻击者IP。网上找正常可上传的插件包，然后进行修改，插入webshell文件，并将zip包名称和webshell名称一致。最终最Apache的日志文件中，发现了文件shell.php的上传记录。打开任意.pyc文件，将第一行复制，添加到Kuang.pyc的头部。

前景需要：小苕在省护值守中，在灵机一动情况下把设备停掉了，甲方问：为什么要停设备？小苕说：我第六感告诉我，这机器可能被黑了。