0
点赞
收藏
分享

微信扫一扫

分布式一致性算法

文章目录

前言

一、应急响应

1、背景

2、webshell查杀

3、日志排查

1)apache日志

2)nginx日志

3)ftp日志

4、隐藏账户

5、文件筛选

二、漏洞复现

总结


前言

靶场来源:知攻善防实验室


一、应急响应

1、背景

小李在某单位驻场值守,深夜12点,甲方已经回家了,小李刚偷偷摸鱼后,发现安全设备有告警,于是立刻停掉了机器开始排查。
这是他的服务器系统,请你找出以下内容,并作为通关条件:

账户密码:Administrator/Zgsf@qq.com

1.攻击者的IP地址(两个)?
2.攻击者的webshell文件名?
3.攻击者的webshell密码?
4.攻击者的伪QQ号?
5.攻击者的伪服务器IP地址?
6.攻击者的服务器端口?
7.攻击者是如何入侵的(选择题)?
8.攻击者的隐藏用户名?

2、webshell查杀

进入服务器开启phpstudy,并开启相关服务

使用D盾直接先查杀网站根目录看看

找到了后门文件:system.php,查看一下文件,得到后门密码:hack6618

解决第2,3题

3、日志排查

1)apache日志

可以看到有大量的get请求各种目录,很明显是在做目录扫描,我们可以看到攻击者的IP:192.168.126.135(其中一个)

然后观察到它后面直接通过POST请求访问到了后门文件,但是这里没有文件上传的记录,可以猜测攻击者不是从这里取得服务器权限的。

2)nginx日志

没有日志记录,因为是apache的网站

3)ftp日志

ftp服务日志有很多内容记录,可以观察到有许多登陆失败的日志,很明显是在做口令暴力破解,攻击者IP也是一样的

我们直接搜索后门文件,看看是不是通过ftp服务上传的

可以看到这里有成功上传后门文件的日志,说明攻击者成功爆破了ftp服务的账户密码,然后上传了后门文件

经典弱口令

现在解决了第7,1题(部分)

4、隐藏账户

可以直接借助D盾工具查看

隐藏账户:hack887

通过克隆管理员账号无法通过控制面板和计算机管理查看到,只能到注册表里看

同时可以查一下安全日志有无远程登陆情况

有查看到有远程登陆成功的日志,并且IP为:192.168.126.129

问题1,8解决

5、文件筛选

我们可以查一下攻击者上传后门后的那一段时间新增的文件,进行排查,后门上传时间是2024-2-29 13:00左右。

使用everything工具方便一点

注意到13:45分左右创建了tencent目录和frp压缩包,很明显tencent可能和QQ相关,frp是内网穿透工具,配置文件应该会存在攻击者的vps和端口。对应查看一下

777888999321应该是伪QQ号

frp配置文件中可以看到攻击者服务器地址和端口信息

IP:256.256.66.88,端口:65536

解题完成

二、漏洞复现

这个靶机就不复现了,很简单可以利用kali的msf中的ftp暴力破解模块或者hydra去爆破服务器的ftp账户密码,成功后就直接可以上传后门文件,就取得服务器权限了。


总结

因为是本地靶机的原因,所以省去了检查外联ip和异常进程等过程,以及因为有题目指引也没有检查启动项和计划任务等重要功能,真实应急时都应该做充分检查。

举报

相关推荐

0 条评论