玄机:第九章-algo

简介

服务器场景操作系统 Linux

服务器账号密码 root password ssh端口222

1. 通过本地 PC SSH到服务器并且分析黑客的 IP 为多少,将黑客 IP 作为 FLAG 提交;

尝试查看一下登录日志,发现ip为172.20.10.3的ip对我方服务器进行ssh端口爆破,大概率是攻击ip,且成功攻击进入我方服务器shell。

cat /var/log/auth.log.1
flag{172.20.10.3}

2. 通过本地 PC SSH到服务器并且分析黑客挖矿程序反链 IP 为多少,将黑客挖矿程序反链的 IP 作为 FLAG 提交;

此时既然已经知道了攻击者ip为172.20.10.3,那么针对网卡抽取相应的pcap数据包,遗憾的是这台服务器并未安装tcpdump工具。

tcpdump -i eth0 \(host 172.20.10.3\) -w dhpcd.pcap

接着锁定时间段从凌晨1点到凌晨2点我们看看新创建的文件,两者没什么异。

find / -newerct '2024-01-28 01:00:00' ! -newerct '2024-01-28 02:00:00' ! -path '/proc/*' ! -path /'sys/*' ! -path '/run/*' -type f -exec ls -lctr --full-time {} \+ 2>/dev/null

查看进程,发现了一个占用运存很大的一个程序/usr/bin/dhpcd

ps -aux
# md5加密文件名
md5sum  /usr/bin/dhpcd

确认为挖矿病毒

获取反链ip,已知其程序pid为 857,进行lsof定位反索引

lsof -p 857

tunlap反链查询

netstat -tunlap | grep 857

可以发现外连攻击者服务器ip:port为93.240.52.232:3389,矿池ip:port为141.94.96.144:443

但是这个不是正确答案,怀疑是挖矿程序已经改了矿池,但是靶场没改答案,正确的反链 IP为139.99.125.38

flag{139.99.125.38}

3. 通过本地 PC SSH到服务器并且分析黑客权限维持文件的md5,将文件的 MD5(md5sum /file) 作为 FLAG 提交;

shadow

stat /etc/shadow

计划任务

cd /var/spool/cron/crontabs
cat root

计划任务中写了每时每刻运行dhpcd挖矿病毒

md5sum root
flag{7b9a3a8a9e47e5c9675278420e6e7fa0}

4. 通过本地 PC SSH到服务器并且分析黑客的用户名为什么,将黑客的用户名作为 FLAG 提交;

后门排查

ps -ef | awk '{print}' | sort | uniq > 1
ps -ef | awk '{print}' | sort | uniq > 2
diff 1 2

SSH账户排查

cat /etc/passwd | grep -v 'nologin\|false'

启动项排查

service --status-all

账号排查,只有root登录过

w
lastlog

查看登录有效的用户

grep "password" /var/log/auth.log.1 | grep -v Failed | grep -v Invalid
cat /var/log/auth.log.1 |grep 172.20.10.3

这里删除了账户xj,增加了账户debian,并将其赋给了sudo组,这两者尝试拿去交flag,最后都不行

查看密钥

cat /root/.ssh/authorized_keys
flag{otto}

flag

flag{172.20.10.3}
flag{139.99.125.38}
flag{7b9a3a8a9e47e5c9675278420e6e7fa0}
flag{otto}
相关推荐
龙哥说跨境22 分钟前
如何利用指纹浏览器爬虫绕过Cloudflare的防护?
服务器·网络·python·网络爬虫
AltmanChan22 分钟前
大语言模型安全威胁
人工智能·安全·语言模型
马船长32 分钟前
红帆OA iorepsavexml.aspx文件上传漏洞
安全
懒大王就是我36 分钟前
C语言网络编程 -- TCP/iP协议
c语言·网络·tcp/ip
Jack黄从零学c++1 小时前
C++ 的异常处理详解
c++·经验分享
Elaine2023911 小时前
06 网络编程基础
java·网络
海绵波波1072 小时前
Webserver(4.3)TCP通信实现
服务器·网络·tcp/ip
小牛itbull3 小时前
ReactPress:重塑内容管理的未来
react.js·github·reactpress
热爱跑步的恒川5 小时前
【论文复现】基于图卷积网络的轻量化推荐模型
网络·人工智能·开源·aigc·ai编程
云飞云共享云桌面6 小时前
8位机械工程师如何共享一台图形工作站算力?
linux·服务器·网络