应急响应靶机练习-Linux2

最新推荐文章于 2025-04-13 20:50:55 发布

Aurora Dream极光之梦

最新推荐文章于 2025-04-13 20:50:55 发布

阅读量972

点赞数 33

分类专栏：应急响应文章标签：网络安全

本文链接：https://blog.youkuaiyun.com/m0_74631795/article/details/146280573

版权

应急响应专栏收录该内容

5 篇文章

订阅专栏

1.背景

前景需要：看监控的时候发现webshell告警，领导让你上机检查你可以救救安服仔吗！！
挑战内容：
（1）提交攻击者IP
（2）提交攻击者修改的管理员密码(明文)
（3）提交第一次Webshell的连接URL(http://xxx.xxx.xxx.xx/abcdefg?abcdefg只需要提交abcdefg?abcdefg)
（4）提交Webshell连接密码
（5）提交数据包的flag1
（6）提交攻击者使用的后续上传的木马文件名称
（7）提交攻击者隐藏的flag2
（8）提交攻击者隐藏的flag3

2.环境准备

（1）创建虚拟机

（2）登录虚拟机

账号密码：root/Inch@957821.
(ps:这个密码很坑，我一开始试了很多遍都不对，密码第一个字符是大写的i，最后一个字符是点. )

（3）XShell连接虚拟机

这里使用xshell是为了方便操作，好看一点

3.开始

（1）last

发现192.168.20.1多次登录

[root@web-server ~]# last
root     pts/0        192.168.76.1     Sat Mar 15 23:48   still logged in   
root     tty1                          Sat Mar 15 23:46   still logged in   
reboot   system boot  3.10.0-1160.el7. Sat Mar 15 23:45 - 23:48  (00:02)    
root     pts/1        192.168.20.1     Wed Mar 20 15:36 - crash (360+08:09) 
root     pts/0        192.168.20.1     Wed Mar 20 15:04 - 15:39  (00:34)    
root     pts/0        192.168.20.1     Wed Mar 20 14:30 - 15:04  (00:33)    
reboot   system boot  3.10.0-1160.el7. Wed Mar 20 14:29 - 23:48 (360+09:19) 
root     pts/1        localhost        Wed Mar 20 10:30 - 10:30  (00:00)    
root     pts/0        192.168.20.1     Wed Mar 20 07:59 - crash  (06:30)    
reboot   system boot  3.10.0-1160.el7. Wed Mar 20 07:58 - 23:48 (360+15:49) 
root     pts/0        192.168.20.1     Thu Mar  7 15:36 - crash (12+16:21)  
root     pts/0        192.168.20.1     Thu Mar  7 15:25 - 15:36  (00:11)    
root     pts/0        192.168.20.1     Thu Mar  7 14:39 - 15:25  (00:45)    
root     pts/0        192.168.20.1     Thu Mar  7 14:07 - 14:09  (00:01)    
reboot   system boot  3.10.0-1160.el7. Thu Mar  7 14:06 - 23:48 (373+09:42) 
root     pts/0        192.168.20.1     Thu Mar  7 11:37 - 11:52  (00:15)    
reboot   system boot  3.10.0-1160.el7. Thu Mar  7 11:36 - 23:48 (373+12:11) 
root     pts/0        192.168.20.1     Mon Mar  4 09:48 - down   (00:01)    
root     tty1                          Mon Mar  4 09:47 - 09:50  (00:02)    
reboot   system boot  3.10.0-1160.el7. Mon Mar  4 09:47 - 09:50  (00:03)

（2）lastlog

[root@web-server ~]# lastlog
Username         Port     From             Latest
root             pts/0    192.168.76.1     Sat Mar 15 23:48:06 +0800 2025
bin                                        **Never logged in**
daemon                                     **Never logged in**
adm                                        **Never logged in**
lp                                         **Never logged in**
sync                                       **Never logged in**
shutdown                                   **Never logged in**
halt                                       **Never logged in**
mail                                       **Never logged in**
operator                                   **Never logged in**
games                                      **Never logged in**
ftp                                        **Never logged in**
nobody                                     **Never logged in**
systemd-network                            **Never logged in**
dbus                                       **Never logged in**
polkitd                                    **Never logged in**
sshd                                       **Never logged in**
postfix                                    **Never logged in**
ntp                                        **Never logged in**
www                                        **Never logged in**
mysql                                      **Never logged in**

（3）grep "Failed" /var/log/secure*

[root@web-server ~]# grep "Failed" /var/log/secure*
/var/log/secure:Mar 20 15:36:25 web-server sshd[4377]: Failed password for root from 192.168.20.1 port 1378 ssh2

（4）grep "Accepted" /var/log/secure*

同（1）

[root@web-server ~]# grep "Accepted" /var/log/secure*
/var/log/secure:Mar 20 10:30:25 web-server sshd[4111]: Accepted publickey for root from 127.0.0.1 port 55976 ssh2: ED25519 SHA256:5wjncpQo9MtvNtk8t3A1CdOx2horMhYTghdrKk4ey0k
/var/log/secure:Mar 20 14:30:21 web-server sshd[2365]: Accepted password for root from 192.168.20.1 port 9509 ssh2
/var/log/secure:Mar 20 15:04:22 web-server sshd[4068]: Accepted password for root from 192.168.20.1 port 12423 ssh2
/var/log/secure:Mar 20 15:36:28 web-server sshd[4377]: Accepted password for root from 192.168.20.1 port 1378 ssh2
/var/log/secure:Mar 15 23:48:06 web-server sshd[2550]: Accepted password for root from 192.168.76.1 port 61662 ssh2
/var/log/secure-20240320:Mar  4 09:48:23 web-server sshd[8287]: Accepted password for root from 192.168.20.1 port 11035 ssh2
/var/log/secure-20240320:Mar  7 11:37:01 web-server sshd[1436]: Accepted password for root from 192.168.20.1 port 7796 ssh2
/var/log/secure-20240320:Mar  7 14:07:42 web-server sshd[2375]: Accepted password for root from 192.168.20.1 port 7322 ssh2
/var/log/secure-20240320:Mar  7 14:39:51 web-server sshd[5216]: Accepted password for root from 192.168.20.1 port 13752 ssh2
/var/log/secure-20240320:Mar  7 15:25:23 web-server sshd[5673]: Accepted password for root from 192.168.20.1 port 3129 ssh2
/var/log/secure-20240320:Mar  7 15:36:49 web-server sshd[5849]: Accepted password for root from 192.168.20.1 port 10490 ssh2
/var/log/secure-20240320:Mar 20 07:59:13 web-server sshd[2476]: Accepted password for root from 192.168.20.1 port 5237 ssh2

（5）history

history里面有很多关键信息，是很重要的命令。

[root@web-server ~]# history
    1  systemctl disable firewalld
    2  systemctl disable --now firewalld
    3  setenforce 0
    4  vim
    5  vi /etc/sysconfig/selinux 
    6  poweroff
    7  ip a
    8  cd /var/
    9  ls
   10  cd ww
   11  cd /home/
   12  ls
   13  mysql
   14  yum install -y wget && wget -O install.sh https://download.bt.cn/install/install_6.0.sh && sh install.sh ed8484bec
   15  BT
   16  bt
   17  ls
   18  cd /www/
   19  cd wwwroot/
   20  ls
   21  cd 127.0.0.1/
   22  ls
   23  cd ..
   24  ls
   25  cd ..
   26  ls
   27  cd wwwlogs/
   28  ls
   29  cat 127.0.0.1.log 
   30  cd nodejs/
   31  ls
   32  cd ..
   33  ls
   34  cd tcp-error.log 
   35  cat tcp-error.log 
   36  cat nginx_error.log 
   37  cat access.log 
   38  ls
   39  cat 127.0.0.1.log 
   40  cd /www/
   41  ls
   42  cd wwwlogs/
   43  ls
   44  cat 127.0.0.1.log 
   45  bt
   46  ls
   47  cd /www/wwwroot/
   48  ls
   49  cd 127.0.0.1/
   50  ls
   51  rm -rf flag1 1
   52  ls
   53  rm -rf version2.php 
   54  ls
   55  hardlink 
   56  hwclock 
   57  ls
   58  docker ps
   59  rm -rf pe9.sql 
   60  ls
   61  cd vendor/
   62  ls
   63  cd ..
   64  ls
   65  cd ..
   66  sl
   67  ls
   68  ls -a
   69  cd 127.0.0.1/
   70  ls
   71  ls -a
   72  vim .api
   73  ls
   74  ls -a
   75  mkdir .api
   76  ls
   77  ls -a
   78  cd .api/
   79  l
   80  ls
   81  cd ..
   82  ls
   83  cd ap
   84  cd api/
   85  ls
   86  cp * ../.api/
   87  ls
   88  cd ..
   89  ls
   90  cd .api/
   91  ls
   92  vim mpnotify.php 
   93  yum install vim
   94  ls
   95  vim  alinotify.php 
   96  cat /etc/shadow
   97  who
   98  w
   99  history
  100  useradd flag3{5LourqoFt5d2zyOVUoVPJbOmeVmoKgcy6OZ}
  101  env
  102  $flag3 = [root@web-server .api]# useradd flag3{5LourqoFt5d2zyOVUoVPJbOmeVmoKgcy6OZ}
  103  useradd: invalid user name 'flag3{5LourqoFt5d2zyOVUoVPJbOmeVmoKgcy6OZ}'
  104  $flag3 = flag{5LourqoFt5d2zyOVUoVPJbOmeVmoKgcy6OZ}
  105  vim /etc/profile
  106  source /etc/p
  107  source /etc/profile
  108  env
  109  history 
  110  q
  111  e
  112  eexir
  113  exit
  114  history 
  115  ls
  116  chmod +X go_build_untitled.exe 
  117  l
  118  chmod +x go_build_untitled.exe 
  119  ls
  120  ./go_build_untitled.exe 
  121  ls
  122  mv go_build_untitled.exe wp
  123  ls
  124  ./wp 
  125  passwd root
  126  clear 
  127  ./wp 
  128  clear 
  129  pwd
  130  ./wp

从上面18-29中多次发现/www目录，并且有127.0.0.1.log文件，可以跟webshell的访问和上传有关。

使用scp命令将虚拟机中的文件复制到本机中。

scp root@192.168.76.128:/www/wwwlogs/127.0.0.1.log D:\桌面

（6）挑战一

查看日志文件，发现几乎都是ip192.168.20.1的记录，判定是攻击者ip

（7）挑战二

要查看管理员密码，密码应该存在mysql数据中，同时，在/www网站目录查看是否存在mysql连接信息。

思路：在/www目录发现/wwwroot，因为含有root，含有配置信息可能性更大，进入/wwwroot，再进入127.0.0.1，使用命令 grep "MYSQL" -r /www/wwwroot/127.0.0.1递归搜索关键字，成功发现配置信息（PS：当然不是一开始就搜索MYSQL，是慢慢试出来的，一开始可能是mysql，Mysql等等）

成功发现mysql配置信息

连接数据库

查看数据库

选择kaoshi数据库

查看x2_user表，有多个用户，暂时无法确认哪个是管理员

查看x2_user_group表，groupid为1代表管理员，确认peadmin用户为管理员

将userpassword字段拿去md5解密，成功发现管理员密码

MD5在线解密 - 土薯在线工具Toolshu.com

（8）挑战三、挑战四

上面在127.0.0.1.log中发现很多连接的记录，怀疑是webshell的连接url但是暂时无法确定，在root目录下发现存在流量包，还是使用scp命令复制到本地进行分析

scp root@192.168.76.128:/root/数据包1.pcapng D:\桌面

过滤出HTTP协议进行分析

发现都是192.168.20.1与服务器连接

选中第一条数据进行追踪

将请求体中编码的数据进行url解码，发现存在蚁剑的特征,发现第一次连接webshell的url，webshell连接密码为Network2020(脚本中开头部分)

1. 代码特征
核心代码：蚁剑的核心代码部分来源于中国菜刀，因此其连接时的流量特征与中国菜刀较为相似。
常见函数：连接时通常会包含以下PHP函数：
@ini_set("display_errors", "0");：关闭错误显示。
@set_time_limit(0);：取消脚本执行时间限制。
@set_magic_quotes_runtime(0);：禁用魔术引号。
eval() 或 assert()：用于执行动态代码。

（9）挑战五

在流量包中发现访问了flag1

进行追踪流，发现flag1

（10）挑战六

观察发现在后半部分，攻击者使用get请求验证version2.php是否存在，后续都是使用它来进行post

追踪流，发现是冰蝎的特征，所以version2.php就是后续使用的脚本

冰蝎4.0
加密方式：支持自定义传输协议，取消了固定的连接密码，加密算法和密钥由用户自定义。
流量特征：
Accept字段为application/json, text/javascript, */*; q=0.01。
Content-Type字段为application/x-www-form-urlencoded。
使用长连接，请求头和响应头带有Connection: Keep-Alive。
固定请求头和响应头，请求头为m7nCS8n4OZG9akdDlxm6OdJevs/jYQ5/IcXK，响应头为mAUYLzmqn5QPDkyI5lvSp6DmrC24FW39Y4YsJhUqS7。
默认连接密钥为e45e329feb5d925b。

（11）挑战七

在history中看到，曾经对文件进行修改

对这两个文件进行查看（PS：是.api目录，不是api目录，需要使用ls -a命令）

[root@web-server 127.0.0.1]# pwd
/www/wwwroot/127.0.0.1
[root@web-server 127.0.0.1]# ls
api  app  data  files  index.php  lib  tasks  vendor
[root@web-server 127.0.0.1]# ls -a
.  ..  api  .api  app  data  files  index.php  lib  tasks  .user.ini  vendor
[root@web-server 127.0.0.1]# cd .api
[root@web-server .api]# ls
alinotify.php  alireturn.php  mpnotify.php  payjsnotify.php  wxnotify.php
[root@web-server .api]# cat alinotify.php

发现flag2

（12）挑战八

直接在history中看到

4.验证

[root@web-server ~]# ./wp
提交攻击者IP？
192.168.20.1
回答正确！
提交攻击者修改的管理员密码(明文)
Network@2020
回答正确！
提交第一次Webshell的连接URL（http://xxx.xxx.xxx.xx/abcdefg?abcdefg只需要提交abcdefg?abcdefg）
index.php?user-app-register
回答正确！
提交Webshell连接密码
Network2020
回答正确！
提交数据包的flag1
flag1{Network@_2020_Hack}
回答正确！
提交攻击者使用的后续上传的木马文件名称
version2.php
回答正确！
提交攻击者隐藏的flag2
flag2 = "flag{bL5Frin6JVwVw7tJBdqXlHCMVpAenXI9In9}
回答错误！
提交攻击者隐藏的flag3
flag3 = flag{5LourqoFt5d2zyOVUoVPJbOmeVmoKgcy6OZ}
回答错误！
[root@web-server ~]# ./wp
提交攻击者IP？
192.168.20.1
回答正确！
提交攻击者修改的管理员密码(明文)
Network@2020
回答正确！
提交第一次Webshell的连接URL（http://xxx.xxx.xxx.xx/abcdefg?abcdefg只需要提交abcdefg?abcdefg）
index.php?user-app-register
回答正确！
提交Webshell连接密码
Network2020
回答正确！
提交数据包的flag1
flag1{Network@_2020_Hack}
回答正确！
提交攻击者使用的后续上传的木马文件名称
version2.php
回答正确！
提交攻击者隐藏的flag2
flag{bL5Frin6JVwVw7tJBdqXlHCMVpAenXI9In9}
回答正确！
提交攻击者隐藏的flag3
flag{5LourqoFt5d2zyOVUoVPJbOmeVmoKgcy6OZ}
回答正确！