第三届强网杯决赛应急响应WriteUp（上半场） 1870次阅读 网络安全 2019-09-23 # 写在开头 很有幸能进入这次强网杯的决赛并且拿到第三名的成绩 陪跑了几年线下awd的比赛了，感谢团队成员们的努力  下面是决赛上半场应急响应的WriteUp ## 事中应急响应(两道选择题) ### 第一题 网站目录下的apache文件夹里 access.log有很多post登录记录 所以判断为口令破解  故选择 **E、口令破解攻击** ### 第二题 由于判断是暴利破解 所以可以选择ban攻击者ip 修改登录密码防止弱口令登录 安装waf或者ips等防护暴力破解导致的服务器运行故障 故选择 **C、将攻击源IP地址添加到防火墙 D、修改弱口令为强口令 E、安装WAF、IPS等防护软件或硬件 ** ## 事后应急响应（九道问答题） ### 第一题 把网站源码拖下来之后直接扫描  可直接得shell文件名称： **admmanager**（答案） ### 第二题 在var目录下存放了网站目录和日志目录（log）  故答案为 **/var/log/** ### 第三题 使用命令 `grep "Accepted " /var/log/auth.log | awk '{print $1,$2,$3,$9,$11}'` 读log文件夹下的auth.log文件 发现有个用户名为mysq1的用户名非root用户名 所以确定为黑客登录用户名  所以可得ip地址：**172.16.5.143**（答案） ### 第四题 同上可得用户名 **mysq1**（答案） ### 第五题 同上上可得登录时间 **10:34:30**（答案） ### 第六题 输入命令：ps aux 可以发现挖矿进程  `root 1451 0.0 0.7 290052 7904 ? Sl Sep21 0:20 ./xmr-stak-cpu` 故答案为 **xmr-stak-cpu** ### 第七题 可以先发现在/etc目录下有/xmr-stak-cpu挖矿的文件夹 确定为挖矿文件价，但是挖矿需要可执行的sh结尾文件 在/bin文件夹下面发现两个sh文件(11.sh和22.sh) 在11.sh文件里发现了最终执行挖矿的文件  最后可直接确定绝对路径 **/etc/xmr-stak-cpu/bin/xmr-stak-cpu**（答案） ### 第八题 可以先发现在/etc目录下有/xmr-stak-cpu挖矿的文件夹下有个config.txt文件，里面有钱包地址  "wallet_address" : "fogyisland_x@hotmail.com", 故答案 **fogyisland_x@hotmail.com** ### 第九题 文件还原题...老子不会 ## 场景文件下载链接 下面提供在上方WriteUp中出现的文档以及文件 为比赛中主要的几个目录，可供下载学习 **[点这里下载哦~](https://www.latticehub.xyz/usr/uploads/2019/09/%E5%BA%94%E6%80%A5%E5%93%8D%E5%BA%94.zip)** # 总结 一个人打完上半场..最后上半场第九名 从shell响应到挖矿木马，绿盟出的题还是ok的 累了，各位晚安 手机上阅读 最后一次更新于2022-01-01 awd 应急响应
师傅你好，https://www.latticehub.xyz/usr/uploads/2019/09/%E5%BA%94%E6%80%A5%E5%93%8D%E5%BA%94.zip这个地址失效了
By 小白 at April 21st, 2025 at 11:22 pm.
独特的构思和新颖的观点，让这篇文章在众多作品中脱颖而出。
By idlezritdl at March 4th, 2025 at 09:38 pm.
结论升华部分可联系更高维度价值观。
By ereyniczna at March 4th, 2025 at 03:35 am.
案例丰富且贴合主题，论证逻辑环环相扣。
By ybmklvqvbx at March 2nd, 2025 at 11:24 pm.
情感真挚自然，字里行间传递出强烈的感染力。
By irfcuumvwu at March 1st, 2025 at 07:52 am.