【网络取证篇】取证实战之PHP服务器镜像网站重构及绕密分析

在裸聊敲诈、虚假理财诈骗案件类型中，犯罪分子为了能实现更低成本、更快部署应用的目的，其服务器架构多为常见的初始化网站架构，也称为站库同体服务器！也就是说网站应用程序，数据库及用户账号信息、交易记录，文件（如相关的Apk、视频图片）等资源都部署在同一台服务器中，因此，我们在现场勘验或者获取调证后的涉案网站和数据库都同一个服务器镜像内。

在取证分析时我们通常对服务器镜像进行仿真后，查看历史命令等启动相应服务，进入宝塔面板或修改本地hosts文件等实现网站还原，使用改密或者修改后台登录逻辑等进入后台，用Navical或PHPMyadmin等登录涉案数据库查看相关数据。

然而由于各个案件情况不一致，嫌疑人对网站修改配置各式各样、web中间件或数据库环境受到损坏、一些调证回来的镜像文件本地仿真环境限制等因素导致网站还原失败，从而迟滞了我们案件的进程。

本文通过对某虚假理财类案的调证服务器镜像进行仿真，初始网站还原失败，通过一步步的查找分析配置环境，最后成功重构PHP网站—【凌风、蘇小沐】

1、进入宝塔面板

宝塔面板6.0之后，命令bt集成了很多我们需要的命令，方便我们对宝塔面板相关信息进行修改。

宝塔面板命令行序号	注释
1	重启面板服务
2	停止面板服务
3	启动面板服务
4	重载面板服务
5	修改面板密码
6	修改面板用户名
7	强制修改MySQL密码
8	改面板端口
9	清除面板缓存
10	清除登录限制
11	取消入口限制
12	取消域名绑定限制
13	取消IP访问限制
14	查看面板默认信息
15	清理系统垃圾
16	修复面板(检查错误并更新面板文件到最新版)
17	设置日志切割是否压缩
18	设置是否自动备份面板
22	显示面板错误日志
23	关闭BasicAuth认证
24	关闭谷歌认证
25	设置是否保存文件历史副本

此次涉案服务器中宝塔面板版本低于6.0。输入bt命令后并没有显示相关宝塔的信息。
在这里插入图片描述

我们使用老版本宝塔面板登录命令：bt default 得到进入宝塔面板的网址、用户名和初始密码，验证后发现密码错误。
在这里插入图片描述

2、使用修改面板密码命令修改密码

使用修改面板密码命令修改密码，例如：改成123456 : cd /www/server/panel && python tools.py panel 123456 ，成功登录宝塔面板。

（一）找回网站源码

1、查找网站源码默认存储位置

登录宝塔面板后，我们发现为空，而且宝塔面板操作日志中仅仅有一条清空日志，回收站中也没有源码。
在这里插入图片描述

2、查找宝塔的主数据库配置信息

【宝塔的主数据库路径：/www/server/panel/data/default.db】

宝塔的主数据库，网站信息面板配置什么的都在这里面，随即查看下宝塔面板路径：/www/server/panel/data/default.db中的数据库文件，使用navicat打开发现宝塔面板操作日志，发现有将源码压缩并转移到backup文件夹下的操作记录日志。
在这里插入图片描述

然后查找backup路径，在此果然发现了网站源码备份，遂将其还原至默认路径下。

（二）还原网站前台

在启动中间件和MySQL数据库后网站依旧进不去，报错提示无法连接到 MySQL 数据库。

由于前面有更改过许多默认路径及配置，这里猜测比较可能的原因是网站数据库配置文件未配置好。在启动中间件和MySQL数据库后网站依旧进不去，报错提示无法连接到 MySQL 数据库。

由于前面有更改过许多默认路径及配置，这里猜测比较可能的原因是网站数据库配置文件未配置好。

在这里插入图片描述

1、定位网站数据库配置文件

在网站源码中发现PHP读取配置文件为：db_settings.PHP。
在这里插入图片描述

当然，这里也可以用一种通用的方法快速定位网站数据库配置文件，因为网站数据库中不可避免的会存储数据库的数据库名、用户名、密码等，将网站源码下载到电脑本地后，可以使用FileLocatorPro等文本内容搜索工具搜索包含数据库名"database"或用户名"user"、密码"password"等关键词快速定位到网站数据库配置文件。
在这里插入图片描述