web2

1.攻击者的IP地址（两个）？

2.攻击者的webshell文件名？
3.攻击者的webshell密码？
4.攻击者的QQ号？
5.攻击者的服务器伪IP地址？
6.攻击者的服务器端口？
7.攻击者是如何入侵的（选择题）？
8.攻击者的隐藏用户名？

攻击者的两个ip

第一个ip：看apache日志，发现这个ip在扫目录

image-20251121210836841

攻击者的shell文件和密码

在ftp日志发现攻击者上传了一个名为system.php的文件

image-20251121211108135

打开system.php,为shell文件

image-20251121211208051

攻击者的伪造服务器ip和端口

在浏览记录里发现

image-20251121211804345

打开配置文件

image-20251121211908063

入侵方式：

ftp 内网穿透工具

后面的问题用工具windowslog（一个快速查找计算机相关信息的工具）可以快速找到

image-20251121212149574

攻击流程：

1.扫描网站目录

image-20251122130031792

2.成功爆破了ftp的账号密码并上传恶意文件system.php

image-20251122124636678

image-20251122124722408

3.system.php是一个webshell文件，攻击者连接上之后，创建了一个影子用户hack887$

image-20251122130606779

4.通过qq传输内网反向代理工具FRP

image-20251122131527387

复现攻击：

1.扫描端口

image-20251122132516803

2.使用ncrack对ftp进行爆破

image-20251122133005539

3.进行远程登录ftp，并上传shell文件

image-20251122135022922

4.远程连接

image-20251122214241985

5.创建用户，并加入管理员组

image-20251122215229740

6.远程登录

image-20251122221949626

7.安装FPR内网穿透工具（当时网太卡，没有弄）

修复方法：

加强密码ftp密码强度

对ftp限制ip访问

image-20251123123356929