玄机-应急响应-webshell查杀

题目要求:

要求获取四个flag

webshell查杀:

常见的webshell:

PHP: eval(), system(), exec(), shell_exec(), passthru(), assert(), base64_decode()

ASP: Execute(), Eval(), CreateObject()

JSP: Runtime.getRuntime().exec()

webshell常见位置

python 复制代码
.asp / .php / .jsp / .aspx

命令行搜索

find命令:

python 复制代码
find [路径] [选项] [表达式]
  • 路径:指定查找的起始目录。如果不指定,默认从当前目录开始。
  • 选项 :控制find的行为。
  • 表达式:定义查找的条件。

常见选项:

  • -name:按文件名查找(区分大小写)。
  • -iname:按文件名查找(不区分大小写)。
  • -type:按文件类型查找。
    • f:普通文件。
    • d:目录。
    • l:符号链接。

xargsxargs命令用于将输入数据重新格式化后作为参数传递给其他命令

python 复制代码
find / -name "*.php" | xargs grep "eval("
xargs:xargs命令用于将输入数据重新格式化后作为参数传递给其他命令。在这个命令中,xargs将find命令
找到的文件列表作为参数传递给grep命令。

grep "eval(":grep命令用于搜索文本,并输出匹配的行。这里"eval("是grep命令的搜索模式,用于查找
包含eval(字符串的行。

使用find命令查到了三个可疑文件。

第一个使用cat抓取文本。得到flag1。

通过查看webshell内容可以发现明显为godzilla特征,将哥斯拉github地址通过md5加密获得flag2

@session_start();

@set_time_limit(0);

@error_reporting(0);

$key='3c6e0b8a9c15224a';

哥斯拉常见密钥

黑客隐藏shell的完整路径

使用ls -l查找那三个可疑文件,发现只有Mysql.php是隐藏的,完整路径+md5得到flag3

寻找免杀马

免杀马说明没有特征,所以需要看看有没有什么加密,使用find查找是否有base64加密。

python 复制代码
find / -name "*.php" | xargs grep "base64_decode" 

这个是猜测,最好用日志查看。

linux的网站日志存放在/var/log,目录里面有apache2的,打开查看,浏览之后发现可疑的phpinfo,而且还200。是在一个top.php文件中。

找到文件用cat获取,发现就是恶意文件,完整路径加md5,得到flag4。

相关推荐
写代码的小王吧10 分钟前
【安全】Web渗透测试(全流程)_渗透测试学习流程图
linux·前端·网络·学习·安全·网络安全·ssh
24白菜头1 小时前
C和C++(list)的链表初步
c语言·数据结构·c++·笔记·算法·链表
小军要奋进1 小时前
httpx模块的使用
笔记·爬虫·python·学习·httpx
GalaxyPokemon2 小时前
Muduo网络库实现 [七] - Connection模块
linux·服务器·网络
齐尹秦2 小时前
CSS Id 和 Class 选择器学习笔记
css·笔记·学习
kfepiza2 小时前
`docker run --restart no,always,on-failure,unless-stopped`笔记250406
笔记·docker·容器
sniper_fandc3 小时前
网络编程—Socket套接字(TCP)
网络·tcp/ip·javaee
the_nov3 小时前
19.TCP相关实验
linux·服务器·网络·c++·tcp/ip
林中伊人3 小时前
家庭路由器wifi设置LAN2LAN和LAN2WAN
网络·路由器
郭涤生3 小时前
Chapter 10: Batch Processing_《Designing Data-Intensive Application》
笔记·分布式