天生双下巴1. 靶场环境与背景介绍
这个Linux应急响应靶机环境模拟了一个真实的Web服务器被入侵场景。攻击者通过Web应用漏洞上传了Webshell，并在系统中留下了多个后门和隐藏文件。作为安全运维人员，我们需要通过日志分析、流量分析和系统取证等技术手段，还原攻击路径并收集所有攻击证据。
靶机运行在VMware虚拟化环境中，采用典型的LAMP（Linux+Apache+MySQL+PHP）架构。系统预装了宝塔面板用于管理，同时运行着多个Web服务和应用。攻击者已经成功入侵系统并进行了横向移动，我们需要通过技术手段找出以下关键信息：
- 攻击者使用的IP地址
- 攻击者修改的管理员账户密码
- Webshell连接URL和密码
- 攻击者上传的木马文件
- 隐藏在系统中的多个flag
需要模型API调用？ 免费领10W Token，多模型网关一键接入 Claude、DeepSeek 等主流模型。
2. 攻击IP定位与分析
2.1 流量包初步分析
首先我们分析靶机提供的网络流量包。使用Wireshark打开pcap文件后，通过"统计"→"IPv4"→"All address"查看所有IP通信情况：
bash复制# 统计IP出现频率的等效命令行
tshark -r attack.pcap -T fields -e ip.src | sort | uniq -c | sort -nr
发现两个异常活跃的IP：
- 192.168.20.1（大量POST请求）
- 192.168.20.144（响应请求）
2.2 攻击行为确认
通过过滤HTTP流量确认攻击行为：
wireshark复制http and ip.src==192.168.20.1
分析发现192.168.20.1向目标发送了大量包含恶意代码的POST请求，典型的Webshell连接行为。而192.168.20.144只是正常响应请求，因此确认攻击者IP为192.168.20.1。
注意：在实际应急中，攻击者常使用代理或跳板机，需要结合时间戳、行为模式等多维度确认。
3. Webshell连接信息取证
3.1 蚁剑特征分析
在流量包中搜索特定关键字：
wireshark复制frame contains "antsword" || frame contains "eval"
发现攻击者使用蚁剑(AntSword)连接Web