Escenario: Un archivo de más en el portal de Embotelladora Andina

4 tareas · 35 min · Principiante

Incidente INC-8833 en Embotelladora Andina del Oriente S.A.S. Una auditoría de integridad detectó un archivo no versionado en la carpeta uploads del portal de proveedores. Debes cruzar los registros de acceso, auditar el árbol de procesos de Apache y dictaminar el saneamiento completo.

0 de 4 · 0%

Objetivo de la sala

Ejecuta SELECT * FROM auditoria_portal. Revisa la primera fila.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Qué archivo no versionado fue identificado como webshell de comando?

Ver pista de ayuda

Consulta la evidencia en el panel de telemetría.

Observa la segunda fila con el proceso apache2 -> sh.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Qué comportamiento confirmó la ejecución remota de comandos en el servidor?

Ver pista de ayuda

Consulta la evidencia en el panel de telemetría.

Revisa la tercera fila en includes/db.php.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Qué código inyectado contenía el archivo legítimo db.php?

Ver pista de ayuda

Consulta la evidencia en el panel de telemetría.

El analista presenta el plan de respuesta ante el comité de crisis.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Cuál es el protocolo de saneamiento adecuado para erradicar completamente el incidente?

Preservar copia forense, aislar el servidor web, rotar las credenciales de base de datos expuestas en db.php, redesplegar la aplicación completa desde el repositorio Git limpio y deshabilitar la ejecución de scripts en la carpeta uploads Borrar únicamente cache_auth.php y dejar el servidor en producción Ignorar el archivo porque la carpeta uploads es para que los proveedores suban archivos

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Conectando con la base…

Embotelladora Andina — Archivo anómalo en portal de proveedores (INC-8833)

Comité de Crisis de Seguridad · Embotelladora Andina

Tablas

auditoria_portal

artefacto
origen_detectado
comportamiento_asociado
dictamen

Ctrl + Enter

Consola de consultas v1.0 · build b77233

1 Webshell clandestina detectada Lab

2 Ejecución de comandos confirmada Lab

3 Segunda puerta trasera inyectada Lab

4 Plan de saneamiento integral Lab

Whoami-Labs Pro utiliza cookies