N-EM-00001-Answer

N-EM-00001

黑客从外网发起了对公司网络进行渗透，并将服务器区一台服务器拿下，以此为跳板，又对其他服务器进行了渗透。有证据表明常用的web和ftp服务器都被入侵了。你现在获得了攻击时间段所有的流量包，请基于次分析溯源黑客在攻击过程中做了哪些操作？
1. 内网被用作跳板的服务器IP地址是多少（答案格式：1.1.1.1）

172.16.60.247

1. 内网中ftp服务器地址是多少（如果有多个，请用英文,连接。例如两台，则答案为1.1.1.1,1.1.1.2）

172.16.60.101,172.16.60.248,172.16.61.200

1. 被入侵的FTP服务器的IP是什么？

172.16.60.248

1. 被入侵的FTP服务器使用的FTP软件版本是什么v*（只填写数字部分）？

6.3

1. 被入侵服务器的ftp文件根目录路径是？

c:\ftp

1. 黑客第一个登录被入侵服务器所使用的账户密码是什么？

ftp@ftp.net

1. 黑客成功登录FTP服务器的高权限用户是什么？

root1984

1. ftp服务器保存配置文件中对应的高权限账户的hash值是什么？

oh627204DC02A216EC34960F048E3814C6

1. ftp服务器最高权限用户的的密码所用的盐(salt)是什么？

oh

1. ftp服务器最高权限用户的密码是什么？

password

1. 黑客在FTP服务器中创建账户所用的完整命令式什么？（注意命令空格保留）

site exec net user qqq qqq /add

1. 从黑客扫描获得的结果看，172.16.60.198是一台web服务器，它的 Server Root目录是?

C:/xampp/apache

1. 172.16.60.198 已经开机多少天了?(填天数)

15

1. 172.16.60.198的web服务器重启时间是（填从数据包获得的年月日格式为2010/1/1）

2016/7/25

1. 黑客入侵FTP服务器使用的PC的公网 IP 是什么？

120.25.166.109

1. 黑客在入侵内网FTP服务器前已经在跳板机植入Bot,请问外网接口IP开放了哪个端口和Bot进行通讯(填端口号）？

8000

1. 黑客转发跳板机3389端口使用的软件的文件名是什么？

lcx.exe

1. 被入侵的FTP服务器开放了哪些端口？（如果有多个，请用英文,连接。例如1,2）

21,3389