玄机-第一章 应急响应- Linux入侵排查

前言

作者这一次也是差一点一次过，因为没有经验的原因，或者说题目对问题描述不太对，如果说是求黑客反连的ip的话我或许就知道要执行一下留下来的那个 .elf 可疑文件。

简介

账号：root 密码：linuxruqin
ssh root@IP
1.web目录存在木马，请找到木马的密码提交
2.服务器疑似存在不死马，请找到不死马的密码提交
3.不死马是通过哪个文件生成的，请提交文件名
4.黑客留下了木马文件，请找出黑客的服务器ip提交
5.黑客留下了木马文件，请找出黑客服务器开启的监端口提交

应急开始

准备工作

• 题目说明了web目录下存在木马，为了节省时间，连上服务器后直接cd /var/www/html (不是这个的话再另外找目录，一般是这个目录。)
• 进入目录后直接导出来，准备webshell查杀工具
  我这里用D盾和河马扫一遍
  
  

这里使用河马发现他每次误报都好多，看来不更新后已经快跟不上了。

同时找到了几个webshell文件分别是：

• 1.php
• .shell.php
• index.php
• 注意：