数据分析取证:dump.pcapng

dump.pcapng:dump.pcapng-其它文档类资源-CSDN下载

1、某公司网络系统存在异常，猜测可能有黑客对公司的服务器实施了一系列的扫描和攻 击，使用 Wireshark 抓包分析软件查看并分析 PC20201 服务器 C:\Users\Public\Documents路径下的dump.pcapng数据包文件，找到黑客的IP地址， 并将黑客的 IP 地址作为 Flag 值（如：172.16.1.1）提交；

过滤http请求方式 过滤出源地址

在最后一条数据发现horse。。？

木马后门

172.16.1.110

2.继续分析数据包文件dump.pcapng分析出黑客通过工具对目标服务器的哪些服务进行 了密码暴力枚举渗透测试，将服务对应的端口依照从小到大的顺序依次排列作为 Flag 值（如：77/88/99/166/1888）提交；

过滤出黑客的syn连接

升序端口

3.继续分析数据包文件 dump.pcapng，找出黑客已经获取到目标服务器的基本信息，请 将黑客获取到的目标服务器主机名作为 Flag 值提交；

过滤出23端口

随便显示数据包

SecTestLabs

4.黑客扫描后可能直接对目标服务器的某个服务实施了攻击，继续查看数据包文件 dump.pcapng 分析出黑客成功破解了哪个服务的密码，并将该服务的版本号作为 Flag 值(如：5.1.10)提交；

对爆破端口进行分析 发现mysql的流中出现sql语句得知该服务密码被爆破成功

根据time字段可知mysql服务被爆破成功的时间最早

ftp时间没mysql早

5.7.26

5、继续分析数据包文件 dump.pcapng，黑客通过数据库写入了木马,将写入的木马名称作 为 Flag 值提交（名称不包含后缀）；

horse

6、继续分析数据包文件 dump.pcapng，黑客通过数据库写入了木马,将黑客写入的一句话 木马的连接密码作为 Flag 值提交；

 

lqsym

7、继续分析数据包文件 dump.pcapng，找出黑客连接一句话木马后查看了什么文件，将 黑客查看的文件名称作为 Flag 值提交；

 

passwd

8、继续分析数据包文件 dump.pcapng，黑客可能找到异常用户后再次对目标服务器的某 个服务进行了密码暴力枚举渗透，成功破解出服务的密码后登录到服务器中下载了一 张图片，将图片文件中的英文单词作为 Flag 值提交。

 

发现一个56489bytes大小的图片

过滤ftp-data

追踪流发现56KB大小的对话 保存原始数据