玄机-应急响应-webshell查杀

题目要求:

要求获取四个flag

webshell查杀:

常见的webshell:

PHP: eval(), system(), exec(), shell_exec(), passthru(), assert(), base64_decode()

ASP: Execute(), Eval(), CreateObject()

JSP: Runtime.getRuntime().exec()

webshell常见位置

python 复制代码
.asp / .php / .jsp / .aspx

命令行搜索

find命令:

python 复制代码
find [路径] [选项] [表达式]
  • 路径:指定查找的起始目录。如果不指定,默认从当前目录开始。
  • 选项 :控制find的行为。
  • 表达式:定义查找的条件。

常见选项:

  • -name:按文件名查找(区分大小写)。
  • -iname:按文件名查找(不区分大小写)。
  • -type:按文件类型查找。
    • f:普通文件。
    • d:目录。
    • l:符号链接。

xargsxargs命令用于将输入数据重新格式化后作为参数传递给其他命令

python 复制代码
find / -name "*.php" | xargs grep "eval("
xargs:xargs命令用于将输入数据重新格式化后作为参数传递给其他命令。在这个命令中,xargs将find命令
找到的文件列表作为参数传递给grep命令。

grep "eval(":grep命令用于搜索文本,并输出匹配的行。这里"eval("是grep命令的搜索模式,用于查找
包含eval(字符串的行。

使用find命令查到了三个可疑文件。

第一个使用cat抓取文本。得到flag1。

通过查看webshell内容可以发现明显为godzilla特征,将哥斯拉github地址通过md5加密获得flag2

@session_start();

@set_time_limit(0);

@error_reporting(0);

$key='3c6e0b8a9c15224a';

哥斯拉常见密钥

黑客隐藏shell的完整路径

使用ls -l查找那三个可疑文件,发现只有Mysql.php是隐藏的,完整路径+md5得到flag3

寻找免杀马

免杀马说明没有特征,所以需要看看有没有什么加密,使用find查找是否有base64加密。

python 复制代码
find / -name "*.php" | xargs grep "base64_decode" 

这个是猜测,最好用日志查看。

linux的网站日志存放在/var/log,目录里面有apache2的,打开查看,浏览之后发现可疑的phpinfo,而且还200。是在一个top.php文件中。

找到文件用cat获取,发现就是恶意文件,完整路径加md5,得到flag4。

相关推荐
香蕉割草机1 小时前
高性能网络DPDK、RDMA、XDP初探
网络
zhaoyang03011 小时前
vue3笔记(2)自用
前端·javascript·笔记
蒙塔基的钢蛋儿2 小时前
将nuttx构建脚本的文件夹复制修改为符号链接
笔记
程序员编程指南2 小时前
Qt 网络编程进阶:网络安全与加密
c语言·网络·c++·qt·web安全
未来之窗软件服务2 小时前
基于 Nginx 与未来之窗防火墙构建下一代自建动态网络防护体系—仙盟创梦IDE
网络·ide·nginx·服务器安全·仙盟创梦ide·东方仙盟
GOATLong4 小时前
传输层协议TCP
c语言·开发语言·网络·c++·网络协议·tcp/ip
墨染枫4 小时前
pytorch学习笔记-使用DataLoader加载固有Datasets(CIFAR10),使用tensorboard进行可视化
pytorch·笔记·学习
wanhengidc4 小时前
服务器被网络攻击后该如何进行处理?
运维·服务器·网络
jarreyer4 小时前
【图像分割】记录1:unet, yolov8_seg
人工智能·笔记·计算机视觉
学Linux的语莫5 小时前
k8s的nodeport和ingress
网络·rpc·kubernetes