帕鲁杯应急响应赛题解析与攻防实战

1. 第二届帕鲁杯应急响应赛题深度解析

作为一名参与过多届网络安全竞赛的老兵，这次帕鲁杯的应急响应赛题让我眼前一亮。整个赛题设计紧密结合企业真实场景，从JumpServer到各类业务服务器，再到WAF、MySQL等基础设施，构建了一个完整的攻防演练环境。下面我将从技术角度详细拆解每个环节的排查过程与解题思路。

1.1 赛题环境概览

比赛环境模拟了一个中型企业的网络架构，包含以下关键组件：

• 入口点：JumpServer（堡垒机）
• 核心服务器：sshServer、Server01、palu01-03
• 数据库：MySQL服务器
• 安全设备：WAF防护系统

网络拓扑显示各节点通过192.168.20.0/24网段互联，部分服务器存在外联行为。这种设计非常贴近真实企业网络，考察选手对混合架构的应急响应能力。

提示：在实际应急中，建议首先绘制网络拓扑图，明确各节点关系和通信路径，这对后续排查至关重要。

2. 入侵痕迹全面排查

2.1 JumpServer初始突破

登录JumpServer后首先进行基础检查：

bash复制# 查看异常用户
cat /etc/passwd | grep -v "nologin"  
# 检查最近登录记录
last -n 20
# 查找flag文件
find / -name "*flag*" 2>/dev/null

在/home目录发现首个flag：palu{2025_qiandao_flag}。值得注意的是，JumpServer的SSH转发功能异常，这可能是攻击者故意破坏的痕迹。

2.2 sshServer深度分析

通过sshServer发现关键线索：

1. 异常用户parloo：

bash复制# 查看用户信息
grep parloo /etc/passwd
# 提取密码hash
grep parloo /etc/shadow

2. 在/home/parloo目录发现第二个flag文件
3. 网络连接检查发现可疑外联：

bash复制netstat -antp | grep ESTABLISHED

发现与47.101.213.153:8084的持久连接，这是典型的C2服务器特征。

2.3 Server01异常进程

在Server01上发现异常：

bash复制# 查找隐藏进程
ps -ef | grep "[a-z]\{5\}"
# 检查定时任务
crontab -l

发现aa进程持续占用CPU，并在/tmp目录下找到恶意脚本，其MD5为0f80a82621b8c4c3303d198d13776b34。

3. 攻击链重建与溯源

3.1 攻击时间线梳理

通过分析各服务器日志，还原攻击过程：

1. 初始入侵：2025-05-04 15:30:38（WAF维护页面被利用）
2. 横向移动：2025-05-05 00:04:40（通过sshServer跳转）
3. 持久化阶段：2025-05-13 16:45:19（部署rootset服务）

3.2 攻击手法分析

攻击者采用多阶段攻击：

1. 利用WAF管理界面弱口令（admin/admin@qwer）获取初始权限
2. 通过反序列化漏洞（端口9999）执行远程代码
3. 部署svhost恶意软件建立C2通道
4. 使用parloohack_script.service实现权限维持

3.3 关键证据提取

在各节点发现的flag和线索：

• MySQL：palu
• WAF：palu
• 恶意程序外联：88.173.90.103
• GitHub信息：ParlooSEc账户下的palu

4. 防御加固建议

4.1 短期处置措施

1. 隔离受影响主机：

bash复制iptables -A INPUT -s 47.101.213.153 -j DROP

2. 清除恶意账户：

bash复制userdel -r parloohack

3. 移除持久化项：

bash复制systemctl disable rootset

4.2 长期防护方案

1. 堡垒机加固：

• 启用MFA认证
• 限制管理接口访问IP
• 定期审计会话日志

2. 网络监控增强：

bash复制# 监控异常外联
tcpdump -i eth0 'dst net not 192.168.20.0/24'

3. 安全基线检查：

• 定期验证系统二进制文件MD5
• 检查/etc/passwd与shadow的完整性
• 监控特权用户操作日志

5. 竞赛经验总结

这次应急响应赛题有几个值得注意的难点：

1. 攻击者故意扰乱JumpServer功能，考验选手的替代排查能力
2. 多台服务器存在时间戳误导，需要交叉验证日志
3. 恶意程序使用了动态加载技术，常规进程检查可能遗漏

在实际比赛中，我建议：

• 优先收集所有flag和关键信息
• 使用自动化脚本快速提取基础信息
• 对异常现象做好完整记录
• 时间有限时先完成必答题

最后分享一个排查小技巧：当遇到大量干扰项时（如99个parloo用户），可以按创建时间排序快速定位异常账户：

bash复制ls -lt /home | head -n 10