第二届parloo应急响应-复现

前言

复现一下应急响应，序号无关，只记录有用的知识点

畸形的爱

1-1 日志1

netstat -anltup
-a, --all
-n, --numeric
-l, --listening
-t, --tcp
-u, --udp
-p, --program

webserver 查日志，/var/log 由于题目是nginx，所以查看/var/log/nginx/access.log.1 可以找到一些发起过恶意请求的ip

1-2 日志2

history # 查看运维执行过哪些命令
docker ps -a # 查看docker容器
docker exec -it container_id /bin/sh # 进入指定容器环境

我们可以进入80端口的web服务容器/var/www/html读取网站中的clean.sh

1-3 日志3

一般登录业务是最有可能爆破的，所以可以进入phpmyadmin容器找日志，但是没有。而docker 容器是会将日志写到标准输出的

docker logs phpmyadmin

1-4 计划任务

crontab -l, linux
taskschd.msc, windows

1-5 hash计算

certutil -hashfile file_path md5/sha256...

1-6 隐藏账户

d盾克隆检测，mimikatz跑账户hash，cmd5查出来隐藏账户密码

# 管理员权限运行
reg save hklm\sam sam.save
reg save hklm\system system.save

mimikatz
privilege::debug
lsadump::sam /sam:sam.save /system:system.save

1-7 exe溯源

ida分析exe，根据路径中的用户名溯源

https://api.github.com/users/<name>/events/public

主线

1-1 用户排查

cat /etc/shadow

1-2 外联IP、进程排查

ps -ef | grep PID/program_name
-e, -A
-f, full format

systemctl status PID
ctl control # 类似systemd daemon 守护进程

systemtl cat name
cat /etc/systemd/system/xxx.service

如果计划任务没问题，那么大概率就是Restart=always，这个时候只有systemctl stop 能够停止服务

1-3 服务下载

python3 -m http.server port
-m, module-name

1-4 劫持程序排查

ls -alh /usr/bin /bin /usr/sbin /sbin | grep -vE 'root|staff|bin'
-h, --human-readable
-v, --invert-match  # 取反
-E, --extended-regexp  # regular expression

/bin：基础命令，如ls、cp
/usr/bin：扩展命令，如vim、python3
/sbin：系统管理命令，如ifconfig、reboot
/usr/sbin：更多管理命令，如sshd、apache2