玄机-第一章 应急响应-webshell查杀

1.题目

2.解题步骤

启动靶机,用远程连接工具输入靶机ip用户和密码连接到靶机

2.1

黑客webshell里面的flag flag{xxxxx-xxxx-xxxx-xxxx-xxxx}

find . -name "*.php" | xargs grep "eval(" #查找当前目录及其子目录下所有.php文件中包含eval()函数的行

cd /var/www/html/include #切换到所查找的目录下

cat gz.php #查看gz.php文件

发现php文件内有一串字符串即为flag

flag{027ccd04-5065-48b6-a32d-77c704a5e26d}

2.2

黑客使用的什么工具的shell github地址的md5 flag{md5}

用gz.php文件中的几行代码

在浏览器中搜索,匹配到哥斯拉php马

哥斯拉常见特定函数和代码模式

@session_start():用于创建或重启一个会话,这是 PHP 木马中常见的功能,用于存储攻击载荷或状态信息。

@set_time_limit(0):设置脚本执行时间为无限制,确保木马能够持续运行。

@error_reporting(0):关闭错误报告,防止在执行恶意代码时暴露错误信息。

eval()、assert():这些函数用于执行字符串作为 PHP 代码,是 PHP 木马中常见的执行恶意代码的方式。

在githup中查找哥斯拉,得到网址

用md5在线网站对网址进行32位md5加密即为flag

flag{39392de3218c333f794befef07ac9257}

2.3

黑客隐藏shell的完整路径的md5 flag{md5} 注 : /xxx/xxx/xxx/xxx/xxx.xxx

用D盾查杀或用ls -l 和ls -al,发现含有隐藏文件.Mysaqli.php

用在线网站转化为md5值

flag{AEBACOE58CD6C5FAD1695EE4D1AC1919}

2.4

黑客免杀马完整路径 md5 flag{md5}

PHP 免杀马通常为字符串异或加密、Base 加密、rot13加密、字符串拼接等

find ./ -name "*.php" | xargs grep "base64" #在当前目录下查找base64

md5加密得到

flag{EEFF2EABFD9B7A6D26FC1A53D3F7D1DE}

相关推荐
速盾cdn1 小时前
速盾:CDN缓存的工作原理是什么?
网络·安全·web安全
网络安全-杰克2 小时前
网络安全概论
网络·web安全·php
黑客Ela3 小时前
网络安全中常用浏览器插件、拓展
网络·安全·web安全·网络安全·php
Hacker_LaoYi6 小时前
网络安全与加密
安全·web安全
黑客Ash17 小时前
【D01】网络安全概论
网络·安全·web安全·php
.Ayang19 小时前
SSRF漏洞利用
网络·安全·web安全·网络安全·系统安全·网络攻击模型·安全架构
.Ayang19 小时前
SSRF 漏洞全解析(概述、攻击流程、危害、挖掘与相关函数)
安全·web安全·网络安全·系统安全·网络攻击模型·安全威胁分析·安全架构
网络安全-老纪19 小时前
iOS应用网络安全之HTTPS
web安全·ios·https