应急响应-Web3

打开虚拟机之后,运行解题系统:

共有三个问题!

攻击者的两个IP地址

首先我们看到机器的桌面上还是存在phpstudy,那就还是先去看看是不是从web层面进行的攻击,上传webshell从而getshell。

利用D盾尝试对phpstudy目录进行webshell查杀,发现了上面的两个文件!

这两个文件的内容是一样的,唯一的不同就是创建的时间是不同的,404文件的修改时间就是当前的时间。看一下web日志的情况。

再查看整个日志的过程中,并没有发现有访问过post-safe文件的痕迹,反而是发现192.168.75.129主机有过多次的访问404.php文件的行为。

因此这里判断可能是攻击者。追溯到攻击者第一次访问404.php的日志信息:

首先攻击者上面通过GET的方式去请求了模板的404,发现是没有这个文件的。然后继续向下看:

在向下看的时候,发现了疑似文件上传的php文件,通过这个文件上传了404.php文件。

后面便出现了不断通过POST去访问404.php的行为。因此判断第一个攻击者的IP地址为192.168.75.129;后面还通过log parser去查看了远程3389的登陆成功的记录:

发现曾经192.168.75.130主机通过hack6618这个账号远程连接过主机。因此根据下面的题目hack6618其实是一个隐藏账号,所以判断了192.168.75.130主机是第二个攻击者的IP地址。

攻击者隐藏用户名称

使用wmic useraccount查看所有的用户信息:

当然还可以通过工具直接查看:

发现了隐藏用户为hack6618

三个攻击者留下的flag

先看看隐藏用户目录下面的是不是存在什么东西:

打开看一下:

找到了一个flag:flag{888666abc}

接着在查看计划任务的时候:命令taskschd.msc发现了存在一个任务名比较奇怪的Attack@Flag,点击查看:

拿到了第二个flag!flag{zgsfsys@sec},第三个flag尝试恢复网站:

后台登录,不知道密码是什么。

网上找到了一个工具。Z-BlogPHP密码找回工具-程序发布-ZBlogger技术交流中心

上传文件到zblog的根目录下面:

尝试访问nologin.php文件,发现存在两个用户!我们通过Hacker这个用户进行登录:

点击登录之后,找了一下,发现在个人信息界面存在最后一个flag!

flag{H@Ck@sec}

相关推荐
云上艺旅3 分钟前
K8S学习之基础七十四:部署在线书店bookinfo
学习·云原生·容器·kubernetes
大丈夫立于天地间13 分钟前
ISIS协议中的数据库同步
运维·网络·信息与通信
你觉得20516 分钟前
哈尔滨工业大学DeepSeek公开课:探索大模型原理、技术与应用从GPT到DeepSeek|附视频与讲义下载方法
大数据·人工智能·python·gpt·学习·机器学习·aigc
Dream Algorithm17 分钟前
路由器的 WAN(广域网)口 和 LAN(局域网)口
网络·智能路由器
IT猿手33 分钟前
基于CNN-LSTM的深度Q网络(Deep Q-Network,DQN)求解移动机器人路径规划,MATLAB代码
网络·cnn·lstm
吴盐煮_39 分钟前
使用UDP建立连接,会存在什么问题?
网络·网络协议·udp
hyshhhh1 小时前
【算法岗面试题】深度学习中如何防止过拟合?
网络·人工智能·深度学习·神经网络·算法·计算机视觉
A旧城以西1 小时前
数据结构(JAVA)单向,双向链表
java·开发语言·数据结构·学习·链表·intellij-idea·idea
无所谓จุ๊บ2 小时前
VTK知识学习(50)- 交互与Widget(一)
学习·vtk
币之互联万物2 小时前
AQUA爱克泳池设备入驻济南校园,以品质筑牢游泳教育安全防线
安全