第六章-哥斯拉4.0流量分析

1、黑客的IP是什么？

我们打开wireshark，哥斯拉的流量都是用POST的传输的，所以什么直接抓取post流量包

http.request.method=="POST"

发现post的流量包都集中在hello.jsp这个文件,我们再搜索一下这个文件

http contains "/hello.jsp"

这里有个hello.jsp的文件打开看看

典型的哥斯拉流量包的特征至此我们确认黑客ip

flag{192.168.31.190}

2.黑客是通过什么漏洞进入服务器的？（提交CVE编号）

我们继续分析流量包

在这个流量包的末尾这里发现了中间件为Apache Tomcat/8.5.19，这里又是用的put方式讲文件上传，所以我猜黑客是使用了Tomcat/8.5.19文件上传漏洞

flag{CVE-2017-12615}

3.黑客上传的木马文件名是什么？(提交文件名)

根据前面第一题可以知道文件名为hello.jsp

flag{hello.jsp}

4.黑客上传的木马连接密码是什么？

根据第一题可知

flag{7f0e6f}

5.黑客上传的木马解密密钥是什么？

根据第一题可知

flag{1710acba6220f62b}

6.黑客连接webshell后执行的第一条命令是什么？

我们继续分析流量包，在长度为313这里这个流量包点击进去感觉有点不对劲，返回包的内容比较少怀疑是执行了命令，讲请求包的加密内容丢到工具箱进行分析

解密出来是命令执行，可以看到第一条的命令

cmdLine sh -c "cd "/";uname -r" 2>&1arg-3 2>&1executableFile shexecutableArgs -c "cd "/";uname -r" 2>&1arg-0 shargsCount 4arg-1 -carg-2 cd "/";uname -rmethodName execCommand

命令结构解析

sh -c "cd "/";uname -r"
- sh -c：以Shell解释器执行指定命令。
- ```
"cd "/";uname -r"
```
  - cd /：切换到根目录（/）。
  - ;uname -r：执行uname -r命令，获取系统内核版本信息。

2>&1

将标准错误输出（2）重定向到标准输出（1），合并输出和错误信息。
用途：捕获命令执行的完整输出（包括错误信息），便于调试或日志记录

我们再把返回包丢进去解密即可确定黑客执行的命令是uname -r

flag{uname -r}

7.黑客连接webshell时查询当前shell的权限是什么？

我们继续分析流量包，在305这个数据包里面解密返回包内容，可以看到用户拿到shell后执行了id命令，返回当前用户权限

flag{root}

8.黑客利用webshell执行命令查询服务器Linux系统发行版本是什么？

继续分析流量包，在长度329流量包这里，讲该流量包解密

黑客在这里执行了命令cat /etc/os-release命令,这个命令是显示发行版名称和版本的我们讲这里的返回包进行解密

可以看到返回包返回的发发行版本,拿到flag

flag{Debian GNU/Linux 10 (buster)}

9.黑客利用webshell执行命令还查询并过滤了什么？（提交整条执行成功的命令）

继续分析流量包，在长度为323这里讲流量包进行解密

可以看到黑客在这里明显使用了grep命令,

sh -c "cd /; rpm -qa | grep pam" 2>&1

sh -c "..."：使用sh shell执行一个命令。
cd /：切换到根目录。
rpm -qa：列出所有已安装的RPM包。
grep pam：过滤出包含pam的包名。
2>&1：将标准错误输出重定向到标准输出，这样所有的输出（包括错误信息）都会被捕捉到。

简单分析；

rpm: not found：表示系统中没有安装 rpm 命令，或者该命令不可用。rpm 是 Red Hat 系列 Linux 发行版中用于管理软件包的工具。
2>&1: 1: 2>&1:：这部分似乎是命令执行时的错误输出，但语法不太正确，可能是命令执行时的格式问题，导致输出混乱。

我讲这条命令没有成功执行不是我们想要的结果，继续分析流量包

cmdLine 0 sh -c "cd "/";dpkg -l libpam-modules:amd64" 2>&1arg-3 2>&1executableFile shexecutableArgs - -c "cd "/";dpkg -l libpam-modules:amd64" 2>&1arg-0 shargsCount 4arg-1 -carg-2 # cd "/";dpkg -l libpam-modules:amd64methodName execCommand

命令结构：sh -c "cd "/";dpkg -l libpam-modules:amd64" 2>&1
- sh -c：使用 shell 来执行命令。
- cd "/"：切换到根目录，但在这个上下文中没有实际效果。
- dpkg -l libpam-modules:amd64：查询安装的 libpam-modules 包，特定于 amd64 架构。
- 2>&1：将标准错误输出重定向到标准输出，以捕获所有输出信息。
参数和方法：
- arg-0 sh：表示命令的第一个参数是 sh。
- arg-1 -c：表示使用 -c 选项来执行字符串中的命令。
- arg-2 cd "/";dpkg -l libpam-modules:amd64"：表示要执行的具体命令。
- methodName execCommand：表示这是一个执行命令的方法调用。
命令目的：黑客通过这个命令检查目标系统中是否安装了 libpam-modules 包，该包与 PAM（可插入式认证模块）相关，负责系统的身份验证和安全管理。通过查询该包的状态和版本信息，黑客可以评估系统的安全性。