El servidor web lanzando comandos del sistema

4 tareas · 35 min · Principiante

Un servidor web legítimo sirve páginas y datos. Cuando el proceso del servidor web (apache2, nginx o w3wp.exe) engendra procesos hijos como cmd.exe, sh o powershell, es evidencia directa de ejecución remota.

0 de 4 · 0%

Objetivo de la sala

Ejecuta SELECT * FROM procesos_web. Observa la cuenta de usuario.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Qué cuenta de servicio del servidor web ejecutó los comandos?

Ver pista de ayuda

Consulta la evidencia en el panel de telemetría.

Revisa el proceso hijo lanzado por apache2.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Qué intérprete de comandos fue lanzado directamente por apache2?

Ver pista de ayuda

Consulta la evidencia en el panel de telemetría.

Observa la tercera fila con la utilidad curl.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Qué comando ejecutó la shell para descargar un script externo a /tmp?

Ver pista de ayuda

Consulta la evidencia en el panel de telemetría.

Los servidores web nunca deben lanzar shells interactivas.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Qué regla de detección de endpoint detecta de forma certera la actividad de una web shell?

Detectar cuando el proceso del servidor web (apache2/nginx/w3wp) engendra una shell de comandos (sh/bash/cmd/powershell) Bloquear todas las conexiones entrantes al puerto 443 Detectar cuando el servidor web recibe más de 10 usuarios

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Conectando con la base…

Árbol de procesos del servidor web lanzando utilidades del sistema

Sysmon for Linux / Auditd · Creación de procesos

Tablas

procesos_web

usuario
proceso_padre
proceso_hijo
linea_comando

Ctrl + Enter

Consola de consultas v1.0 · build b77233

1 Cuenta de servicio de Apache Lab

2 Proceso shell lanzado Lab

3 Descarga de malware en /tmp Lab

4 Firma de comportamiento inequívoca Lab

Whoami-Labs Pro utiliza cookies