简单的服务器取证-Toy模板网

这篇具有很好参考价值的文章主要介绍了简单的服务器取证。希望对大家有所帮助。如果存在错误或未考虑完全的地方，请大家不吝赐教，您也可以点击"举报违法"按钮提交疑问。

一次简单的服务器取证入门
检材：https://pan.baidu.com/s/1T_OBlqe–7C-sfYhYyMZjQ?pwd=8e19

1、系统的内核版本

简单的服务器取证,Forensics,服务器,网络,网络安全,数据分析

3.10.0-693.el7.x86_64

2、系统的历史命令第32条

简单的服务器取证,Forensics,服务器,网络,网络安全,数据分析

rm WhatsNew.txt

3、SSH服务的开放端口

对镜像进行仿真

简单的服务器取证,Forensics,服务器,网络,网络安全,数据分析

使用火眼来仿真，系统默认的网络接口配置文件是BOOTPROTO=static，也就是静态IP地址。
- 做题的时候要改为dhcp，这题的网络接口配置文件在 /etc/sysconfig/network-scripts/ifcfg-ens33，一般也是在/etc/sysconfig/network-scripts目录下；虚拟机的网络适配器是仅主机模式下
成功变成动态的IP
- 或者在VM的编辑 --> 虚拟网络编辑器 --> 都改成110的同网段；虚拟机 --> 设置 --> 网络适配器 --> NAT模式；改为dhcp
下图就是BOOTPROTO=static，静态IP
使用美亚的仿真，系统默认的网络接口配置文件是BOOTPROTO=dhcp，就不用进行更改了

netstat -lnpt

简单的服务器取证,Forensics,服务器,网络,网络安全,数据分析

端口也知道了，就可以进行ssh连接

2222

4、宝塔面板的用户名

简单的服务器取证,Forensics,服务器,网络,网络安全,数据分析

root

5、宝塔面板的端口号

上图

8888

6、面板上的网站域名

简单的服务器取证,Forensics,服务器,网络,网络安全,数据分析

ypzxw.local

7、面板是否开启了SSL服务

这里进行宝塔的登录，只知道用户名是root，不知道密码，加上宝塔的版本是旧版本，使用以下的命令进行改密码，改为123456

cd /www/server/panel && python tools.py panel 123456

进入宝塔面板，在网站中能找到SSL服务
简单的服务器取证,Forensics,服务器,网络,网络安全,数据分析

否

8、面板别名是什么

简单的服务器取证,Forensics,服务器,网络,网络安全,数据分析

控制面板

9、系统所使用的web服务是什么

netstat -lnpt

nginx

10、网站所用的mysql服务版本（x、x、xx）

简单的服务器取证,Forensics,服务器,网络,网络安全,数据分析

5.6.37

11、网站数据库名称

简单的服务器取证,Forensics,服务器,网络,网络安全,数据分析

ypzxw

12、接上问，数据库root密码是什么

简单的服务器取证,Forensics,服务器,网络,网络安全,数据分析
在终端中修改数据库root密码的命令

cd /www/server/panel && python tools.py root 123456

b86551ee7ffc7eb5

13、网站管理员账号用户名

简单的服务器取证,Forensics,服务器,网络,网络安全,数据分析

admin

14、网站默认端口

简单的服务器取证,Forensics,服务器,网络,网络安全,数据分析

80

15、登录网站的密码加密盐值是否固定，若固定，请给出盐值

Tip：加密盐值

MD5（'密码' + 'salt(盐值)' ）= '密文'

也有可能是SHA加密的方式

要做这题就要分析源代码了

结合题目使用了加盐的方式，得知关键词salt

用火眼的全局搜索

简单的服务器取证,Forensics,服务器,网络,网络安全,数据分析

知道了关于这个代码的文件/www/wwwroot/includes/functions.inc.php

对加密方式进行分析

/**
 * generates password hash
 *
 * @param string $pw
 * @return string
 */
function generate_pw_hash($pw)
 {
  $salt = random_string(10,'0123456789abcdef');
  $salted_hash = sha1($pw.$salt);
  $hash_with_salt = $salted_hash.$salt;
  return $hash_with_salt;
 }

盐值是从0123456789abcdef中随机抽取10个，所以加密盐值是不固定的

不固定

16、网站帖子总数为多少

简单的服务器取证,Forensics,服务器,网络,网络安全,数据分析

登录后台进行确认

首先要设置hosts文件，路径：C:\Windows\System32\drivers\etc，
在最后加上一行

[IP] [域名]

简单的服务器取证,Forensics,服务器,网络,网络安全,数据分析

这里的后台页面不是要找到某一个目录，用扫描软件是行不通的，要直接登录管理员账号；

从第15题里分析的那段加密代码下面就是验证密码的方式了，验证密码的方式是哈希值的比对

/**
 * checks password comparing it with the hash
 *
 * @param string $pw
 * @param string $hash
 * @return bool
 */
function is_pw_correct($pw,$hash)
 {
  if(strlen($hash)==50) // salted sha1 hash with salt
   {
    $salted_hash = substr($hash,0,40);
    $salt = substr($hash,40,10);
    if(sha1($pw.$salt)==$salted_hash) return true;
    else return false;
   }
  elseif(strlen($hash)==32) // md5 hash generated in an older version
   {
    if($hash == md5($pw)) return true;
    else return false;
   }
  else return false;
 }