【THM】offensive-Overpass 2 - Hacked
原文中文，约3500字，阅读约需9分钟。
📝
内容提要
SOC团队发现PCAPOverpass遭到黑客攻击，攻击者通过上传反向shell获取初始访问权限，利用PHP执行系统命令并提升权限，最终获取敏感信息并设置SSH后门。
🎯
关键要点
-
SOC团队发现PCAPOverpass遭到黑客攻击。
-
攻击者通过上传反向shell获取初始访问权限。
-
攻击者利用PHP执行系统命令并提升权限。
-
攻击者获取敏感信息并设置SSH后门。
-
攻击者的IP地址被识别，便于后续数据包过滤。
-
攻击者使用python稳定shell并获取sudo权限。
-
攻击者访问了/etc/shadow文件，获取了敏感数据。
🔎
延伸解读
攻击手法分析
此次攻击利用了反向shell上传的方式，攻击者通过PHP代码执行系统命令，显示了对Web应用程序安全性的重要威胁。开发者应加强对文件上传功能的安全检查，防止恶意代码的注入。
权限提升风险
攻击者成功提升权限并访问了敏感文件，如/etc/shadow，显示了系统权限管理的脆弱性。企业应定期审查用户权限，确保最小权限原则的实施，以降低潜在的安全风险。
数据包过滤的重要性
识别攻击者的IP地址并进行数据包过滤是应对网络攻击的有效措施。通过监控和分析网络流量，安全团队可以及时发现异常活动，增强系统的防御能力。
❓
延伸问答
PCAPOverpass是如何被黑客攻击的？
黑客通过上传反向shell获取初始访问权限，利用PHP执行系统命令并提升权限。
攻击者在PCAPOverpass中获取了哪些敏感信息？
攻击者访问了/etc/shadow文件，获取了敏感数据。
攻击者是如何提升权限的？
攻击者使用PHP代码执行系统命令，并通过python稳定shell获取sudo权限。
SOC团队是如何发现攻击的？
SOC团队在深夜值班时查看可疑活动，并成功捕获了攻击发生时的数据包。
攻击者的IP地址有什么重要性？
攻击者的IP地址被识别后，可以用于后续的数据包过滤。
攻击者设置了什么后门？
攻击者在端口2222上设置了SSH后门以实现持久性。
🏷️
