type
status
date
slug
summary
tags
category
icon
password
思路1：
1、改服务器密码
（1）linux：passwd
（2）如果是root删除可登录用户：cat /etc/passwd | grep bash userdel -r 用户名
（3）mysql：update mysql.user set password=md5('密码') where user='root';
进入mysql：5.7之后的版本
update user set authentication_string=password("您要修改的密码") where user="root";
（4）mysql删除匿名空用户：delete from mysql.user where user=' ';
（5）数据库刷新：flush privileges;
（6）修改网站后台密码：页面，源码，御剑扫描，尝试弱口令进去改管理密码
2、web防护
（1）打包网站目录/var/www/html ：tar -cvf xxx.tar 打包对象/*
（2）ssh ftp 将文件拉到本地
①ssh ：scp root@192.168.16.8:/root/flag.txt /root/
②ftp：#ftp [IP地址] #get [文件名] 或者用ftp登入软件下载
（3）d盾查杀木马文件，删除文件
①：rm -rf 文件
②：echo其为空：html目录下：echo > xx.php 两个空格
3、站点实时守护
（1）查看进程 关闭现有连接的IP
①：who获取pts，pkill -kill -t pts/进程号
（2）http下新增文件 删除：find ./ -cmin -30 rm -rf 或制空 echo
（3）不死马抗衡删除
创建文件：vim killshell.sh
#!/bin/bash
while true
do
rm -rf xxx.php
done
赋予权限 运行：chmod 777 killshell.sh nohup ./killshell.sh &
进程查看：ps -aux | grep killshell.sh
（4）发现存在漏洞页面，考虑制空
echo > xxx.php
ps：
平台可能root密码为toor 或者内核溢出提权4.4.0-31-generic Ubuntu 内核。
chmod 777 payload (可能需要编译)
./payload
root后删除curl ，防止读取文件 rm -rf /bin/curl
攻击思路：
（1）22端口的弱口令攻击
（2）通过已知的木马，编写读取脚本
（3）不死马种植
思路2：
文件备份与监控
部署监控脚本：无python环境使用jiank_kpy2_z
上传文件后：chmod +x jiank_kpy_z
./执行，选择监控位置：/www/wwwroot/xxx
自动备份文件：www/wwwroot
有python环境：python3 py3监控.py
waf脚本：linux
找到网站子目录上传waf 找到index.php文件包含 waf文件
在第二行包含 include 'waf3_ruoji_1.php';保存
会在tmp/1log生成日志文件
当攻击者访问带有flag语句 则会执行假的flag输出
ip封禁
当监控到访问数据包
ip_heimd上传到子目录下
并且包含在waf前面
include 'ip_heimd.php';
include 'waf3_ruoji_1.php';
考虑封多个IP？
python3搅屎：将对方url输入 持续发送垃圾数据包
ip资产收集 py脚本 循环url
指纹识别 离线 目录扫描 御剑 d盾 w13scan
waf监控脚本
实时监测本地文件的缺失增加
waf黑名单策略（慎用）
日志审计系统
做一个简单的记录，最近刚比赛完
- 作者:告白
- 链接:https://www.gbsec.top/article/AWD%E6%AF%94%E8%B5%9B%E4%B8%AD%E7%9A%84%E4%B8%80%E4%BA%9B%E9%98%B2%E6%8A%A4%E6%80%9D%E8%B7%AF
- 声明:本文采用 CC BY-NC-SA 4.0 许可协议，转载请注明出处。
相关文章