好靶场杯第一届综合赛-古法赛道-流量分析webshell3-上

原创

曾董
曾董

内存余响

2026年10月22日 22:47
江西

去阅读

1.提交攻击者IP地址

过滤http

看到192.168.99.28向192.168.99.59发送请求遍历路径查看账号信息文件

答案：192.168.99.28

2.提交受害服务器 IP 地址

见上题

答案：192.168.99.59

3.攻击者使用什么工具进行了内网资产探测？

过滤攻击者ip

我们可以看到这个攻击者先对整个192.168.99.0/24进行探活，之后批量进行端口扫描

这种“先探活、再扫端口、再识别服务”的行为特征是 fscan

答案：fscan

4.攻击者内网扫描了哪些存活主机 IP？（从小到大，逗号分隔）

扫描就是icmp协议

因为是存活的主机，会给攻击机响应，所以过滤ip.dst

答案：192.168.99.58，192.168.99.59，192.168.99.60，192.168.99.61，192.168.99.62，192.168.99.128

5.受害服务器开放了哪些端口？

找开放端口就过滤

tcp.flags.ack==1&&tcp.flags.syn==1

可以看到开放端口有80，445，135，139，3306，5985

6.受害服务器 Web 中间件及版本是什么？

常见web中间件:nginx,apache,tomcat

过滤找一条最大的包

http.response.code==200&&ip.addr==192.168.99.59

答案：nginx/1.15.11

7.受害服务器使用的 WordPress 主题名称和版本号是什么？

WordPress 是一个用 PHP + MySQL 开发的开源内容管理系统（CMS）

过滤包含主题

在这里就可以看到主题名称和版本号

答案：WebStack-1.2024

8.攻击者利用了哪个 CVE 漏洞？

从上一题我们知道主题是WebStack-1.2024

在网上搜索就可以知道是任意文件上传漏洞

答案：CVE-2026-1555

9.攻击者漏洞利用的完整请求路径（含参数）是什么？

根据上一题我们已经知道是那个cve漏洞

漏洞造成的原因是因为io\_img\_upload()这个函数，我们再过滤post请求的时候可以发现

所以完整的请求路径就是wp-admin/admin-ajax.php?action=img\_upload

10.攻击者上传 Webshell 时使用的客户端工具是什么？

追踪流

还找到了文件名是web.php

答案：User-Agent: curl/8.5.0

11.攻击者上传的 Webshell 在服务器上的完整 URL 是什么？

可以看到上传的webshell就在这下面

这里还要带上前面的ip

所以完整的就是

答案：http://192.168.99.28/wp-content/uploads/2026/06/20260617192508\_4dc56fd5.php

12.攻击者上传的 Webshell 原始文件名是什么？

见10题

答案：web.php

13.攻击者使用的 Webshell 管理工具是什么？

webshell管理工具就是一类用于批量连接、控制和管理 Webshell 的软件

也就是蚁剑，中国菜刀，哥斯拉，冰蝎这种

典型的哥斯拉特征

四种主流 Webshell 管理工具的特征对比如下