记一次Linux应急响应题目解析

描述：某集团站点遭到攻击，你现在是一名安全服务工程师，请使用"root:123456"登录系统进行应急响应排查。

1、对目标系统进行排查，找出攻击者的地址，将IP地址作为flag值提交，提交格式：flag{0.0.0.0}；

由于说的是站点，所以进/var/log/httpd看一下

找到了access_log-20231230为正确的日志

根据访问的次数即可判断IP

2、对目标系统进行排查，找出攻击者使用的渗透工具，将工具的具体名称作为flag值提交，提交格式：flag{工具名称}；

通过分析web服务日志中攻击者的UA标识判断所使用的工具，并通过请求量来判断

3、对目标系统进行排查，找到攻击者上传的恶意文件，将恶意文件的名称作为flag值提交，提交格式：flag{包含绝对路径的完整名称}；

这里过滤一下，查看后通过关键字upload发现上传了一个p.php文件

查看文件发现是一句话木马

4、对目标系统进行排查，找出攻击者第一次攻击成功的时间，将攻击时间作为flag值提交，提交格式：flag{11/Jun/2019:12:47:22}；

第一次

攻击者访问

/thinkphp/tests/up.php

返回

200

说明上传页面存在，并且访问成功。

第二次

[30/Dec/2023:12:59:51 -0500]

POST /thinkphp/tests/up.php

200 1422

Mozilla Firefox

POST通常表示：

• 提交表单
• 上传文件
• 执行操作

这里明显是上传功能

第三次

[30/Dec/2023:13:00:02]

GET /thinkphp/tests/uploads/p.php

200 "-"
"curl/7.87.0"

攻击者访问：

/thinkphp/tests/uploads/p.php

说明攻击者上传的文件名已经出现在上传目录，并且服务器返回200，说明不是浏览器访问而是命令

5、对目标系统进行排查，找出攻击者遗留的后门，将该后门创建的文件名称作为flag值提交，提交格式：flag{包含绝对路径的完整名称}；

这里在别名中检查出后门