Практическое задание

Эта задача — шаг 7 курса «Расследование на сервере»

Матрёшка в дампе злоумышленника

средне~5 мин

В /root/evidence/ нашёлся архив exfil.tar, подготовленный злоумышленником к выгрузке. Внутри него — сжатый архив loot.tgz, а уже в нём — файл creds.txt, ради которого всё и затевалось. Достань содержимое creds.txt и запиши его в /root/creds.txt, чтобы понять, какие пароли надо срочно менять.

Справочник:targzipПеренаправления и конвейеры
Что потренируешь:
  • tar
  • вложенные архивы
  • gzip
  • конвейеры
  • расследование

Разбор темы

Архив в архиве — частый приём: так прячут содержимое от беглого взгляда и от сканеров, которые не заглядывают глубже одного уровня. Разбирают такую матрёшку послойно, и на каждом слое важно понять формат: .tar — просто склейка файлов, .tgz (.tar.gz) — она же, сжатая gzip, для неё tar нужен ключ распаковки gzip. tar умеет выводить файл из архива в stdout (-O) и читать архив из stdin (-f -), поэтому два слоя соединяются конвейером без временных файлов — улики при этом не разбрасываются по диску.

Что проверяется

  1. creds.txt извлечён из вложенного архива

Как это выглядит