挑战内容

前景需要：

小李在值守的过程中，发现有CPU占用飙升，出于胆子小，就立刻将服务器关机，并找来正在吃苕皮的hxd帮他分析，这是他的服务器系统，请你找出以下内容，并作为通关条件：

1.攻击者的shell密码

2.攻击者的IP地址

3.攻击者的隐藏账户名称

4.攻击者挖矿程序的矿池域名(仅域名)

5.有实力的可以尝试着修复漏洞

攻击者的shell密码

既然是shell 那就直接掏出d盾开扫

webshell的密码:hack6618

攻击者的IP地址

既然是webshell 那必然要查看一下日志文件看看哪个ip连的webshell

很轻易的发现了一个ip:192.168.126.135

还缺一个ip

但是日志文件里面就只有这一个ip了

于是我猜测是有后门然后用另一个ip连的后面

用工具快速看一下发现确实有一个后面账户

rdp记录看看的果然找到了另一个ip

qq号存在这里

C:\Users\Administrator\Documents\Tencent Files

用时间区间法观察被攻陷期间的所有可疑文件

找到frp

1
2
3

[common]
server_addr = 256.256.66.88
server_port = 65536

那么最初的突破口是哪里呢？这个webshell是如何上传上去的呢？

我一开始以为是通过wordpress站点的nday打进去的后来发现不对

因为从第一次出现system.php这个webshell 之前的请求路径来看，对方似乎还是在爆破，并没有找到有效合理的upload文件的地方或者是rce的入口也就是说这个webshell是从其他地方传过来的

其实phpstudy还有和ftp服务看看他的服务日志

可以看到是admin的账号被爆破成功了

我们上ftp的文件看看这个用户的密码

cmd5 尝试爆破

可以看到已经查询到这个md5哈希所对应的明文了所以就是通过ftp爆破进行登陆的