Silinen Kabuk, Kalan Damga
Altay Kargo'nun gönderi takip sunucusu takip01, 24 Eylül gecesi SOC'un dikkatini çekti. WAF kaydında /kontrol.php adresine giden POST istekleri 200 almış. Aynı adres şimdi 404 dönüyor.
Sunucu kapatıldı ve diski ham imaj olarak alındı. Elinde imaj, özeti, teslim notu ve düzeltme seçenekleri var. İmajı bağlamadan, yalnız Sleuth Kit ile çalışacaksın.
İş akışı sabit: bölüm haritası, dosya listesi, silinmiş girdi, içerik, zaman damgası. Her bulguyu vaka defterine işlersin. Defter yalnız kanıtladığın doğru değeri kabul eder.
Üç flag var. Biri silinen kabuğun doğum anından, biri geride kalan kopyanın gerçek doğum anından, biri doğru düzeltmeden çıkar.
Görevler
0/12 tamamlandı- İmajın özetini doğrula
- mmls ile Linux bölümünün başlangıç sektörünü bul
- Web kökünü fls ile listele, silinmiş girdiyi gör
- Silinen inode'u icat ile dene, neden boş döndüğünü anla
- Silinen inode'un zaman damgalarını istat ile oku
- Kabuğun doğum anını vaka defterine işle flag hedefi
- Web kökünü alt klasörleriyle listele, geride kalan kopyayı bul
- Kopyanın içeriğini icat ile çıkar
- Kopyanın gerçek doğum anını istat ile bul ve deftere işle flag hedefi
- Yükleme betiğini icat ile oku, kök nedeni bul
- nginx günlüğünde yüklemeyi, kopyayı ve silmeyi zamanla eşleştir
- Doğru düzeltmeyi seç ve vakayı kapat flag hedefi
Bu bir simülasyondur. Komutlar gerçek bir sisteme gitmez. Öğrendiğin yöntemi izinsiz bir hedefte denemek suçtur. Yasal ortam için menzil var.