ciscn暨长城杯广东赛区 ISW阶段应急响应

题目介绍

小路是一名网络安全网管，据反映发现公司主机上有异常外联信息，据回忆前段时间执行过某些更新脚本（已删除），现在需要协助小路同学进行网络安全应急响应分析，查找木马，进一步分析，寻找攻击源头，获取攻击者主机权限获取 flag 文件。

1

找出主机上木马回连的主控端服务器 IP 地址（不定时 (3~5 分钟) 周期性），并以 flag{MD5} 形式提交，其中 MD5 加密目标的原始字符串格式 IP:port

r-studio进行磁盘恢复

在/home/ubuntu/目录下发现1.txt

存在viminfo文件

发现启动相关服务

然后直接定位到system-upgrade.ko内核文件

方法一

从服务器dump出流量包

tcpdump -i eth -w captured_traffic.pcap

方法二

逆向system-upgrade.ko内核文件

程序符号表混淆了

但是可以定位到主函数ULRYvXzICzy880dO

最终得到

__int64 ULRYvXzICzy880dO()

{

  _fentry__();

  Cr8YeLCPy17g2Kqp();

  vH5iRF4rBcsPSxfk();

  QODpPLbPPLRtk397();

  ZRzAVZZOp3EIPba6(&unk_2720);

  XnzbhEaPnydxn1rY("HIDEME", ZRzAVZZOp3EIPba6);

  XnzbhEaPnydxn1rY("SHOWME", bbiVzCN8llELLp6o);

  XnzbhEaPnydxn1rY("HIDE_DENT", Fmk3MFLuFCEiNxgN);

  XnzbhEaPnydxn1rY("SHOW_HIDDEN_DENT", PiCa2rGqFOVs1eiB);

  XnzbhEaPnydxn1rY("HIDE_TCP_PORT", IDZO4NzptW8GaHzj);

  XnzbhEaPnydxn1rY("SHOW_HIDDEN_TCP_PORT", ol186ifyeUPhXKNl);

  XnzbhEaPnydxn1rY("HIDE_TCP_IP", H7XMCPIhJup38DuP);

  XnzbhEaPnydxn1rY("SHOW_HIDDEN_TCP_IP", yiA2lg0kW8v2vOp0);

  XnzbhEaPnydxn1rY("HIDE_UDP_PORT", cuC5zWc4iL4kPgAn);

  XnzbhEaPnydxn1rY("SHOW_HIDDEN_UDP_PORT", LC22j9OZfANw81M7);

  XnzbhEaPnydxn1rY("HIDE_UDP_IP", YlfqRhWLKVqMFbxN);

  XnzbhEaPnydxn1rY("SHOW_HIDDEN_UDP_IP", XBKrkXaghfenXrk6);

  XnzbhEaPnydxn1rY("BINDSHELL_CREATE", NVEKPqx35kIvfacV);

  XnzbhEaPnydxn1rY("RUN_CUSTOM_BASH", T34Z94ahif0BXQRk);

  Fmk3MFLuFCEiNxgN("systemd-agentd");

  Fmk3MFLuFCEiNxgN("system-upgrade");

  Fmk3MFLuFCEiNxgN("system_upgrade");

  IDZO4NzptW8GaHzj("4948");

  IDZO4NzptW8GaHzj("1337");

  H7XMCPIhJup38DuP("192.168.57.203");

  H7XMCPIhJup38DuP("127.0.0.1");

  cuC5zWc4iL4kPgAn("8080");

  return YlfqRhWLKVqMFbxN("127.0.0.1");

}

192.168.57.203:4948

flag{59110F555B5E5CD0A8713A447B082D63}

2

找出主机上驻留的远控木马文件本体，计算该文件的 MD5, 结果提交形式

systemd-agentd 在 /lib/systemd/systemd-agentd

flag{bccad26b665ca175cd02aca2903d8b1e}

3

找出主机上加载远控木马的持久化程序（下载者），其功能为下载并执行远控木马，计算该文件的 MD5, 结果提交形式：flag{MD5}

回到1.txt,答案即.system_upgrade

flag{9729AAACE6C83B11B17B6BC3B340D00B}

4

找出主机上加载远控木马的持久化程序（下载者），其功能为下载并执行远控木马，计算该文件的 MD5, 结果提交形式：flag{MD5}

system-upgrade.ko

flag{78edba7cbd107eb6e3d2f90f5eca734e}

5

分析题目 2 中找到的远控木马，获取木马通信加密密钥, 结果提交形式：flag{通信加密密钥}

逆向systemd-agentd

调用/proc/self/exe

.rodata:00000000004BEFC0 a127001         db '127.0.0.1',0        ; DATA XREF: sub_405D33+41↑o

.rodata:00000000004BEFCA a2D             db '2 %d',0Ah,0         ; DATA XREF: sub_405D33+8C↑o

.rodata:00000000004BEFD0 ; const char path[]

.rodata:00000000004BEFD0 path            db '/proc/self/exe',0   ; DATA XREF: sub_405E44+2D↑o

.rodata:00000000004BEFD0                                         ; sub_4A2720+9↑o

.rodata:00000000004BEFDF aUnknown        db 'unknown ',0Ah,0     ; DATA XREF: sub_4060F5:loc_4062BC↑o

.rodata:00000000004BEFE9 aOk             db 'OK',0               ; DATA XREF: sub_406339+C1↑o

.rodata:00000000004BEFEC aLocalhost      db 'localhost',0        ; DATA XREF: sub_40641D+1D↑o

.rodata:00000000004BEFF6 aSPC            db 's:p:c:',0           ; DATA XREF: sub_40641D:loc_406465↑o

.rodata:00000000004BEFF6                                         ; sub_468A40+207↑o ...

.rodata:00000000004BEFFD unk_4BEFFD      db  3Dh ; =             ; DATA XREF: .data:off_6EB168↓o

.rodata:00000000004BEFFE                 db    1

.rodata:00000000004BEFFF                 db  20h

.rodata:00000000004BF000                 db  3Ah ; :

.rodata:00000000004BF001                 db  36h ; 6

.rodata:00000000004BF002                 db  58h ; X

.rodata:00000000004BF003                 db  3Ah ; :

.rodata:00000000004BF004                 db  36h ; 6

.rodata:00000000004BF005                 db  1Dh

.rodata:00000000004BF006                 db    1

.rodata:00000000004BF007                 db  5Ah ; Z

.rodata:00000000004BF008                 db  36h ; 6

.rodata:00000000004BF009                 db  3Ah ; :

.rodata:00000000004BF00A                 db  5Ah ; Z

.rodata:00000000004BF00B                 db  0Ah

.rodata:00000000004BF00C                 db  3Bh ; ;

.rodata:00000000004BF00D                 db  5Ah ; Z

.rodata:00000000004BF00E                 db  1Dh

.rodata:00000000004BF00F                 db  36h ; 6

.rodata:00000000004BF010                 db  0Fh

.rodata:00000000004BF011                 db    5

.rodata:00000000004BF012                 db  29h ; )

.rodata:00000000004BF013                 db  0Eh

.rodata:00000000004BF014                 db    0

.rodata:00000000004BF015                 db    0

.rodata:00000000004BF016                 db    0

.rodata:00000000004BF017                 db    0

x交叉索引，成功定位核心函数

进一步对unk_4BEFFD索引

最终定位到sub_405EC9

off_6EB168 指向的数据中读取 23 个字节，然后对每个字节进行异或操作（异或值为 0x69）

exp:

# 原始数据

encrypted_data = [

    0x3D, 0x01, 0x20, 0x3A, 0x36, 0x58, 0x3A, 0x36, 0x1D, 0x01, 0x5A, 0x36, 0x3A, 0x5A, 0x0A, 0x3B,

    0x5A, 0x1D, 0x36, 0x0F, 0x05, 0x29, 0x0E

]

# 解密

decrypted_data = [byte ^ 0x69 for byte in encrypted_data]

# 转换为 ASCII 字符

decrypted_string = ''.join(chr(byte) for byte in decrypted_data)

print("Decrypted Data:", decrypted_string)

Decrypted Data: ThIS_1S_th3_S3cR3t_fl@g

flag{ThIS_1S_th3_S3cR3t_fl@g}