WireShark流量分析（中国菜刀，webshell）

拼搏现实的明天。 2022-10-29 10:28 275阅读 0赞

## 首先拿到这个流量包，还是先对整个包中的帧进行初步的查看，发现为大量的TCP数据帧和HTTP数据帧。 ##

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L29KaXVKaWVaaG9uZw_size_16_color_FFFFFF_t_70]

**网络攻击一般来自于web，是web那就一定有http，接下来对http进行筛选**  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L29KaXVKaWVaaG9uZw_size_16_color_FFFFFF_t_70 1]  
**发现为大量的GET请求，GET请求在实质性的破坏上比POST请求的破坏性小，那接下来再进行对POST请求的筛选。**

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L29KaXVKaWVaaG9uZw_size_16_color_FFFFFF_t_70 2]  
**发现一个很特殊的数据帧，在访问xiaoma.php，并且一般用户是不会访问到upload文件夹的，接下来对此IP进行筛选，方便查看。**

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L29KaXVKaWVaaG9uZw_size_16_color_FFFFFF_t_70 3]

## **攻击者通过提前上传一个webshell文件（xiaoma.php），接下来通过使用中国菜刀访问webshell文件从而进行一系列的攻击** ##

**由上图可知，这是一个中国菜刀的连接接口，会进行一个BASE64的解码。**

**那现在问题就大了，中国菜刀一旦连接上来，那意味着，攻击者就拥有了所有的权限。那接下来我们就再看一下攻击者操作了什么。**

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L29KaXVKaWVaaG9uZw_size_16_color_FFFFFF_t_70 4]  
**由上图可知，攻击者在访问数据库管理系统，并且知道账户和密码，为root 、root，进行了一个查看所有数据库的操作。**

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L29KaXVKaWVaaG9uZw_size_16_color_FFFFFF_t_70]: /images/20221024/5716a4270b2a41cea19dc6670d44742b.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L29KaXVKaWVaaG9uZw_size_16_color_FFFFFF_t_70 1]: /images/20221024/cef8edcbc4a7459c8f34d8f7d9bf494b.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L29KaXVKaWVaaG9uZw_size_16_color_FFFFFF_t_70 2]: /images/20221024/a6407ec2d5f549b6ab8b04ce4e09cb41.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L29KaXVKaWVaaG9uZw_size_16_color_FFFFFF_t_70 3]: /images/20221024/4e74d403b9384a01ac71493879837849.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L29KaXVKaWVaaG9uZw_size_16_color_FFFFFF_t_70 4]: /images/20221024/5ebc8131a3f9472b8e10ee08b5cdd701.png