玄机-第二章日志分析-redis应急响应

前言

记录记录

关于redis的一些手法

• redis未授权访问漏洞
• 利用redis写webshell
• 利用“公私钥” 认证获取root权限
• 利用crontab反弹shell
• redis日志: /var/log/redis.log

 

1. 通过本地 PC SSH到服务器并且分析黑客攻击成功的 IP 为多少,将黑客 IP 作为 FLAG 提交;

cd /var/log

查看redis.log

版本是5.0的，存在radis未授权

来到其目录，发现密码被注释了，确实是存在这种的

再次查看日志

发现有三个ip,挨个尝试

发现是

flag{192.168.100.20}

2. 通过本地 PC SSH到服务器并且分析黑客第一次上传的恶意文件,将黑客上传的恶意文件里面的 FLAG 提交;

strings exp.so | grep "flag"

flag{XJ_78f012d7-42fc-49a8-8a8c-e74c87ea109b}

3.通过本地 PC SSH到服务器并且分析黑客反弹 shell 的IP 为多少,将反弹 shell 的IP 作为 FLAG 提交;

查看日志

flag{192.168.100.20}

4. 通过本地 PC SSH到服务器并且溯源分析黑客的用户名，并且找到黑客使用的工具里的关键字符串(flag{黑客的用户-关键字符串} 注关键字符串 xxx-xxx-xxx)。将用户名和关键字符串作为 FLAG提交

这里对应的是redis写公钥, 因此root用户.ssh目录中会存在authorized_keys

上github上搜

5. 通过本地 PC SSH到服务器并且分析黑客篡改的命令,将黑客篡改的命令里面的关键字符串作为 FLAG 提交;

flag{c195i2923381905517d818e313792d196}