应急响应靶机训练-Linux1(题解)

本次靶场来自于知攻善防实验室搭建的靶机目录一、攻击者IP地址二、三个flag(flag格式flag{xxxxx})Flag1Flag2Flag3我在自己网盘上也保存了一份各位师傅有需要的自取网盘下载地址链接https://pan.quark.cn/s/cb00245849b1 提取码SxWk账密defend/defend登录之后在桌面上会有解题脚本运行解题脚本即可开始答题解题过程一、攻击者IP地址先查看开放了哪些端口定位攻击来源大概看了一下ssh服务被攻击的可能性比较高一些于是查看登录日志文件查看secure日志文件定位登录失败的记录发现大量被爆破的痕迹[defendlocalhost log]$ cat secure //记得加sudo或切换root用户 cat: secure: 权限不够 [defendlocalhost log]$sudo cat secure | grep -i Failed再次定位成功登录的记录发现IP一致说明攻击者成功登录了系统sudo cat secure | grep -i acc提交该IP地址正确二、三个flag(flag格式flag{xxxxx})Flag1由于攻击者用的是root账户登录的系统需要切换到root进行排查切换root账户查看历史命令看看有哪些东西在历史命令发现flag一枚Flag2可以看到对/etc/rc.local文件进行了编辑查看编辑的文件获得第二个flagFlag3第三个flag定位攻击者的IP看看还做了哪些操作cd /var/log grep -Rn 192.168.75.129 ./分析日志发现成功还登录了redis于是查看一下redis配置文件cat /etc/redis.conf获得第三枚flag