1. 침해사고조사 - 리눅스 서버

계정 : tester / 1234 (sudo 계정)

해당 서버는 웹서버로 사용되던 서버이다.
어느날부터인가 비정상 트래픽이 감지가 되었다.
서버 운영자의 얘기로는 바이러스에 감염되었거나 해커에게 공격당한것 같다고 한다.해당 서버를 분석하여 이상 징후를 찾아 분석하여라.

1. 공격자의 아이피는 무엇인가?
	192.168.127.131

2. 공격에 사용된 CVE 넘버는 무엇인가? # cve = 취약점을 넘버링해서 정리해둔 것
3. 공격에 취약한 함수는 무엇인가?
size=version%28%29%20;%20--

4. 해커가 침입 후 수정한 파일 목록은?
index, wp-content~
5. 서버에 설치된 악성코드의 이름은?
wp-content.php
6. 악성코드가 하는 행위는?
66.6.43.21:80 syn 패킷 전송

7. 해커가 궁극적으로 이 서버를 해킹한 목적은?

Usvr 접속
계정 : tester / 1234 (sudo 계정)
/var/log/apache2
vim access.log
150번줄 ~ 157번줄

<http://192.168.111.143/wp/wp-content/plugins/wp-symposium-15.5.1/get_album_item.php?size=version()-->

> cd /var/www/html/wp/wp-content
> vim index.php
> vim wp-content.php  # linux.so.2 실행파일 의심
> cd /var/www/html/wp/index.php     # 18행 내용 확인, wp-content.php 실행 확인 ( 악성코드 )
> ./wp-content.php &   # 백그라운드로 실행
[1] 81465
> netstat -nap
3행 syn 패킷을 66.6.43.21:80으로 전송하고 있음을 확인