玄机-应急响应-webshell查杀

题目要求:

要求获取四个flag

webshell查杀:

常见的webshell:

PHP: eval(), system(), exec(), shell_exec(), passthru(), assert(), base64_decode()

ASP: Execute(), Eval(), CreateObject()

JSP: Runtime.getRuntime().exec()

webshell常见位置

python 复制代码
.asp / .php / .jsp / .aspx

命令行搜索

find命令:

python 复制代码
find [路径] [选项] [表达式]
  • 路径:指定查找的起始目录。如果不指定,默认从当前目录开始。
  • 选项 :控制find的行为。
  • 表达式:定义查找的条件。

常见选项:

  • -name:按文件名查找(区分大小写)。
  • -iname:按文件名查找(不区分大小写)。
  • -type:按文件类型查找。
    • f:普通文件。
    • d:目录。
    • l:符号链接。

xargsxargs命令用于将输入数据重新格式化后作为参数传递给其他命令

python 复制代码
find / -name "*.php" | xargs grep "eval("
xargs:xargs命令用于将输入数据重新格式化后作为参数传递给其他命令。在这个命令中,xargs将find命令
找到的文件列表作为参数传递给grep命令。

grep "eval(":grep命令用于搜索文本,并输出匹配的行。这里"eval("是grep命令的搜索模式,用于查找
包含eval(字符串的行。

使用find命令查到了三个可疑文件。

第一个使用cat抓取文本。得到flag1。

通过查看webshell内容可以发现明显为godzilla特征,将哥斯拉github地址通过md5加密获得flag2

@session_start();

@set_time_limit(0);

@error_reporting(0);

$key='3c6e0b8a9c15224a';

哥斯拉常见密钥

黑客隐藏shell的完整路径

使用ls -l查找那三个可疑文件,发现只有Mysql.php是隐藏的,完整路径+md5得到flag3

寻找免杀马

免杀马说明没有特征,所以需要看看有没有什么加密,使用find查找是否有base64加密。

python 复制代码
find / -name "*.php" | xargs grep "base64_decode" 

这个是猜测,最好用日志查看。

linux的网站日志存放在/var/log,目录里面有apache2的,打开查看,浏览之后发现可疑的phpinfo,而且还200。是在一个top.php文件中。

找到文件用cat获取,发现就是恶意文件,完整路径加md5,得到flag4。

相关推荐
future14126 分钟前
每日问题总结
经验分享·笔记
GLAB-Mary1 小时前
OSPF虚拟链路术语一览:快速掌握网络路由
网络·智能路由器
tan77º1 小时前
【Linux网络编程】网络基础
linux·服务器·网络
循环过三天2 小时前
3-1 PID算法改进(积分部分)
笔记·stm32·单片机·学习·算法·pid
之歆2 小时前
Python-封装和解构-set及操作-字典及操作-解析式生成器-内建函数迭代器-学习笔记
笔记·python·学习
bing_1583 小时前
MQTT 和 HTTP 有什么本质区别?
网络·网络协议·http
DKPT4 小时前
Java组合模式实现方式与测试方法
java·笔记·学习·设计模式·组合模式
杨浦老苏4 小时前
Docker端口映射查看工具Dockpeek
网络·docker·群晖
受之以蒙4 小时前
Rust & WASM 之 wasm-bindgen 基础:让 Rust 与 JavaScript 无缝对话
前端·笔记·rust
未来之窗软件服务4 小时前
通过网页调用身份证阅读器http websocket方法-华视电子————仙盟创梦IDE
网络·网络协议·http·仙盟创梦ide·东方仙盟·硬件接入