深育杯 Pwn部分题解

Pwn

虽然分了很多方向，基本都是流量，应急响应的题目，接触的不多。

【任务一】木马排查

小王是一家it公司的运维管理员，在运维抓包期间，发现自己部署的监控程序显示，服务器执行异常命令，但这不是小王的操作，但是小王不知道该如何排查这个异常命令是怎么执行的。现在需要各位网络安全专家协助小王，根据攻击流量包以及登机排查本次执行异常命令事件。下述链接地址为服务器SSH连接地址。 服务器用户名：root 服务器密码：Sangfor!7890 问题1：攻击者的ip是多少？落地的文件名是什么？第一次连接恶意文件的北京时间是多少？flag{md5(ip+文件名+????-??-?? ??:??)}，示例，flag{md5(127.0.0.1+a.exe+2001-10-10 10:10)}

前面大部分操作回显都是404，到后面userLogin.jsp这个接口开始才有200，推测是后门路径。

这是第一次上传的地方，追踪流：

时间是GMT转化成北京时间是 2024-11-13 23:53:02 CST

ip是192.168.233.1,文件名就是userLogin.jsp

192.168.233.1+userLogin.jsp+2024-11-13 23:53算md5

flag{3018ec0e9ca0fb52d0a43836cc727b59}

【任务二】木马排查

题目问的是哪个命令用于维持权限。flag{md5(命令)}

在这个流可以看到一个pk是传进去的.jsp文件。

直接复制原始数据，保存为zip再解压缩即可得到传进去的.jsp文件：

这就是经典的哥斯拉加密方式。

用工具解密一下后面流量里面的执行的代码和回显:

可以找到这个命令，维持权限的。

第三题没写出来，实在没找到什么奇怪的代码回显有符号位的。

【任务四】木马排查

管理员发现root目录下的一个文件被删除了，请你帮他恢复该文件，并获取到文件内容flag{文件内容}

直接看符号链接即可，就算删除了原文件也还是能看内容，多试几次就可以。

cd /proc/1/fd

ls

再一个个cat即可，这里3是flag.txt