前言：
本次应急响应靶机采用的是知攻善防实验室的Web-2应急响应靶机 靶机下载地址为： https://pan.quark.cn/s/4b6dffd0c51a 相关账户密码 用户:administrator 密码:[email protected]
解题过程：
一、攻击者的IP地址（两个）？
还是老办法去看web日志
这边直接搜索.php 发现可疑文件ststem.php
将整个www目录放入d盾扫描
ok 这个system.php 就是webshell文件
那么攻击者的ip地址就出来了
192.168.126.135
但是问题中有两个ip地址
还有一个在哪找呢？？？
先看看有没有隐藏用户
查看注册表
发现隐藏用户hack887$
在日志查看器中查看有没有创建这个用户的ip地址
筛选id为4648
ok找到了第二个ip地址192.168.126.129
二、攻击者的webshell文件名？
文件名自然而然也出来了 显而易见 system.php
三、攻击者的webshell密码？
找到文件所在位置 用记事本打开
密码为hack6618
四、攻击者的伪QQ号？
找寻一下黑客创建的隐藏用户中有没有扫描文件信息
伪qq号 777888999321
五、攻击者的伪服务器IP地址？
FileRecv文件夹内为接收的文件
frp 内网穿透工具
查看配置文件frpc.ini
伪服务器ip256.256.66.88
六、攻击者的服务器端口？
端口65536
七、攻击者是如何入侵的（选择题）？
ftp服务日志有很多内容记录，可以观察到有许多登陆失败的日志，很明显是在做口令暴力破解，攻击者IP也是一样的
直接搜索后门文件，看看是不是通过ftp服务上传的
ftp日志路径为
那么看来攻击者就是由ftp打进来的了
八、攻击者的隐藏用户名？
hack887
ok收工
