新手也能搞定的应急响应实战：从一台被黑的Linux靶机里，如何一步步挖出攻击者的IP、邮箱和ID？
新手也能搞定的应急响应实战：从被入侵的Linux靶机中追踪攻击者
当你第一次面对一台被入侵的Linux服务器时，那种手足无措的感觉我至今记忆犹新。屏幕上满是陌生的日志文件和可疑进程，就像走进了一个犯罪现场却不知道从何查起。本文将带你体验一次完整的应急响应过程，从最基本的命令行操作开始，逐步揭开攻击者的真实身份。
1. 应急响应前的准备工作
在开始调查之前，我们需要先了解几个基本概念。应急响应(Incident Response)是指对网络安全事件进行识别、分析和处理的过程。而溯源(Tracing)则是通过分析攻击痕迹，追踪攻击者身份和攻击路径的技术。
必备工具清单：
history：查看命令历史记录ps/top：查看系统进程netstat/ss：检查网络连接grep：强大的文本搜索工具base64：编码/解码工具strings：查看二进制文件中的可读字符串
提示：在进行任何操作前，建议先对系统进行完整备份，避免破坏关键证据。
2. 初步系统检查与信息收集
2.1 检查用户历史记录
登录系统后，第一件事就是查看命令历史记录：
history在输出中，你可能会发现可疑的命令。比如在某次实战中，我发现了这样一条记录：
echo cHJpbnRsbiAxOTIuMTY4LjExLjEyOQ== | base64 -d解码这个base64字符串：
echo cHJpbnRsbiAxOTIuMTY4LjExLjEyOQ== | base64 -d # 输出：println 192.168.11.129这很可能就是攻击者使用的内网跳板机IP地址。
2.2 检查异常进程
使用以下命令查看系统进程：
ps aux或者更详细的查看方式：
ps -ef --forest重点关注：
- 不认识的进程名
- 异常高的CPU/内存占用
- 可疑的用户权限
2.3 检查网络连接
netstat -tulnp # 或 ss -tulnp查找：
- 异常的对外连接
- 监听在非标准端口的服务
- 来自可疑IP的连接
3. 深入调查攻击痕迹
3.1 分析可疑文件
在/root目录下发现一个名为"chuantou"的目录（中文"穿透"的拼音），里面包含frpc相关文件：
ls -la /root/chuantou查看frpc配置文件：
cat /root/chuantou/frpc.toml配置文件可能包含攻击者的C2服务器地址：
serverAddr = "156.66.33.66" serverPort = 70003.2 检查Web服务日志
通过历史记录发现攻击者查看了Jenkins日志：
cat /var/log/jenkins/jenkins.log或者在浏览器历史记录中发现访问了127.0.0.1:8080，直接访问该地址发现可以未授权访问Jenkins面板，并在页面上发现了攻击者留下的flag：
zgsf{gongzhonghaozhigongshanfangshiyanshi}3.3 检查桌面文件
桌面上的password.txt文件可能包含重要信息：
cat ~/Desktop/password.txt虽然这个文件可能只是面板的登录凭证，但有时攻击者会粗心地留下自己的信息。
4. 攻击者信息整合与分析
通过以上调查，我们已经收集到以下关键信息：
| 信息类型 | 具体内容 |
|---|---|
| 内网跳板IP | 192.168.11.129 |
| C2服务器地址 | 156.66.33.66 |
| 被利用的服务 | Jenkins |
| Flag | zgsf{gongzhonghaozhigongshanfangshiyanshi} |
接下来需要通过这些信息进一步追踪攻击者：
4.1 通过IP地址追踪
使用以下命令查询IP信息：
whois 156.66.33.664.2 通过Flag内容分析
Flag内容"gongzhonghaozhigongshanfangshiyanshi"可能是攻击者的某种标识，可以尝试：
- 在GitHub等代码平台搜索相关关键词
- 在社交媒体平台搜索可能的用户名
- 分析可能的拼音组合
4.3 通过邮箱和ID追踪
如果在系统任何地方发现了疑似攻击者的邮箱或ID（如Github用户名），可以使用以下方法进一步调查：
# 搜索Github用户 curl -s "https://api.github.com/users/<用户名>" | jq5. 应急响应后的系统加固
完成调查后，别忘了修复系统漏洞：
- 修复Jenkins未授权访问漏洞
- 删除可疑用户和文件
- 更新所有软件到最新版本
- 检查并修复其他可能的安全配置问题
加固检查清单：
- [ ] 修改所有用户密码
- [ ] 检查sudoers文件
- [ ] 审查crontab任务
- [ ] 检查SSH authorized_keys
- [ ] 更新系统和应用补丁
在实际应急响应过程中，每个线索都可能成为突破口。记得保持耐心和细心，攻击者往往会在意想不到的地方留下痕迹。