目录
- 前言
- 简介
- 应急开始
- 准备工作
- 步骤 1
- 步骤 2
- 步骤 3
- 步骤 4
- 步骤5
- 总结
前言
作者这一次也是差一点一次过，因为没有经验的原因，或者说题目对问题描述不太对，如果说是求黑客反连的ip的话我或许就知道要执行一下留下来的那个 .elf 可疑文件。
简介
账号：root 密码：linuxruqin
ssh root@IP
1.web目录存在木马，请找到木马的密码提交
2.服务器疑似存在不死马，请找到不死马的密码提交
3.不死马是通过哪个文件生成的，请提交文件名
4.黑客留下了木马文件，请找出黑客的服务器ip提交
5.黑客留下了木马文件，请找出黑客服务器开启的监端口提交
应急开始
准备工作
- 题目说明了web目录下存在木马，为了节省时间，连上服务器后直接cd /var/www/html (不是这个的话再另外找目录，一般是这个目录。)
- 进入目录后直接导出来，准备webshell查杀工具
我这里用D盾和河马扫一遍
这里使用河马发现他每次误报都好多，看来不更新后已经快跟不上了。
同时找到了几个webshell文件分别是：
- 1.php
- .shell.php
- index.php
- 注意：'shell(1).elf' 这个是反连黑客服务器的程序文件。
这个文件是elf可执行文件，名字已经很明显了，但是我经验比较少且比较犟，就一直看log日志去了，没有想到这个是反连的程序文件，但是我主要还是题目问题描述有问题吧，要是改成反连过去的黑客ip我肯定优先执行该文件。
步骤 1
1.web目录存在木马，请找到木马的密码提交
- webshell查杀工具扫描出来后，直接看最明显的一句话木马就是1.php
- flag为：
flag{1}
步骤 2
2.服务器疑似存在不死马，请找到不死马的密码提交
- 不死马（杀不死的马）
其实就是通过一个脚本不停的去检测另外一个木马是否存在，不存在的话就创建出来，然后该检测脚本一般来说会定期执行去检测另外的；不死webshell木马是否存在。
题目使用除了1.php后，可以发现是index.php不停的去检测和创建不死马，创建.shell.php这个不死webshell木马，创建.符号开头也很明确了，就是为了创建隐藏webshell连接木马。 - 不死马连接密码
5d41402abc4b2a76b9719d911017c592 == md5(hello)
- flag为：
flag{hello}
步骤 3
3.不死马是通过哪个文件生成的，请提交文件名
- 在步骤2中，我们已经分析出来index.php是创建不死马的，所以flag就直接出来了。
- flag为：
flag{index.php}
步骤 4
4.黑客留下了木马文件，请找出黑客的服务器ip提交
- 这里确实是一个坑，题目要是改成：请找出反连黑客的服务器ip，我必定先去运行一下 /var/www/html 目录下的 'shell(1).elf' 文件，因为很明显了。
直接执行的话执行不了，因为没有x执行权限，加权限即可：root@ip-10-0-10-1:/var/www/html# chmod +x shell\(1\).elf root@ip-10-0-10-1:/var/www/html# ./shell\(1\).elf & - netstat -alntup #查看一下连接情况（看连接程序文件名字为.shell(1).elf的即可）
- flag为：
flag{10.11.55.21}
步骤5
5.黑客留下了木马文件，请找出黑客服务器开启的监端口提交
- 步骤4了解后，那么端口号也知道了
- flag为：
flag{3333}
总结
成果：
flag{1}
flag{hello}
flag{index.php}
flag{10.11.55.21}
flag{3333}
其实将样本备份出来后，分析完成后，应该要删除掉服务器上面所有webshell文件和后门，并且进行一轮入侵排查。
做完这题的感受就是，在做应急之前的准备工作很重要，虽然这次依旧是10金币的时间做完，但是已经相比之前快了很多，能够逐渐熟悉整个应急流程了。其实很学到了不死马这个词语，说实话作者真的是菜鸟一个，好多术语名词都没有真正去了解和熟悉认识，通过做题来弥补也挺好。
（注：本题目在第一章中属于中等难度，相比另外两个题目难度大的，所以我是按照难度来做的先后顺序，所以我才觉得熟练了）
