玄机-第一章 应急响应-webshell查杀
1.题目
2.解题步骤
启动靶机，用远程连接工具输入靶机ip用户和密码连接到靶机
2.1
黑客webshell里面的flag flag{xxxxx-xxxx-xxxx-xxxx-xxxx}
find . -name "*.php" | xargs grep "eval(" #查找当前目录及其子目录下所有.php文件中包含eval()函数的行
cd /var/www/html/include #切换到所查找的目录下
cat gz.php #查看gz.php文件
发现php文件内有一串字符串即为flag
flag{027ccd04-5065-48b6-a32d-77c704a5e26d}
2.2
黑客使用的什么工具的shell github地址的md5 flag{md5}
用gz.php文件中的几行代码
在浏览器中搜索，匹配到哥斯拉php马
哥斯拉常见特定函数和代码模式
@session_start()：用于创建或重启一个会话，这是 PHP 木马中常见的功能，用于存储攻击载荷或状态信息。
@set_time_limit(0)：设置脚本执行时间为无限制，确保木马能够持续运行。
@error_reporting(0)：关闭错误报告，防止在执行恶意代码时暴露错误信息。
eval()、assert()：这些函数用于执行字符串作为 PHP 代码，是 PHP 木马中常见的执行恶意代码的方式。
在githup中查找哥斯拉，得到网址
用md5在线网站对网址进行32位md5加密即为flag
flag{39392de3218c333f794befef07ac9257}
2.3
黑客隐藏shell的完整路径的md5 flag{md5} 注 : /xxx/xxx/xxx/xxx/xxx.xxx
用D盾查杀或用ls -l 和ls -al,发现含有隐藏文件.Mysaqli.php
用在线网站转化为md5值
flag{AEBACOE58CD6C5FAD1695EE4D1AC1919}
2.4
黑客免杀马完整路径 md5 flag{md5}
PHP 免杀马通常为字符串异或加密、Base 加密、rot13加密、字符串拼接等
find ./ -name "*.php" | xargs grep "base64” #在当前目录下查找base64
md5加密得到
flag{EEFF2EABFD9B7A6D26FC1A53D3F7D1DE}