2022年广西壮族自治区“网络空间安全“技能大赛——信息取证分析

B-3：信息取证分析

任务环境说明：

 服务器场景：FTPServer220817

 服务器场景操作系统：未知（封闭靶机）
 FTP用户名：wireshark0051密码：wireshark0051

1. 从靶机服务器的FTP上下载wireshark0051.pcap数据包文件，找出黑客获取到的可成功登录目标服务器FTP的账号密码，并将黑客获取到的账号密码作为Flag值（用户名与密码之间以英文逗号分隔，例如：root,toor）提交；
2. 继续分析数据包wireshark0051.pcap，找出黑客使用获取到的账号密码登录FTP的时间，并将黑客登录FTP的时间作为Flag值（例如：14:22:08）提交；
3. 继续分析数据包wireshark0051.pcap，找出黑客连接FTP服务器时获取到的FTP服务版本号，并将获取到的FTP服务版本号作为Flag值提交；
4. 继续分析数据包wireshark0051.pcap，找出黑客成功登录FTP服务器后执行的第一条命令，并将执行的命令作为Flag值提交;
5. 继续分析数据包wireshark0051.pcap，找出黑客成功登录FTP服务器后下载的关键文件，并将下载的文件名称作为Flag值提交；
6. 继续分析数据包wireshark0051.pcap，找出黑客暴力破解目标服务器Telnet服务并成功获取到的用户名与密码，并将获取到的用户名与密码作为Flag值（用户名与密码之间以英文逗号分隔，例如：root,toor）提交；
7. 继续分析数据包wireshark0051.pcap，找出黑客在服务器网站根目录下添加的文件，并将该文件的文件名称作为Flag值提交；
8. 继续分析数据包wireshark0051.pcap，找出黑客在服务器系统中添加的用户，并将添加的用户名与密码作为Flag值（用户名与密码之间以英文逗号分隔，例如：root,toor）提交。

解析

1. 从靶机服务器的FTP上下载wireshark0051.pcap数据包文件，找出黑客获取到的可成功登录目标服务器FTP的账号密码，并将黑客获取到的账号密码作为Flag值（用户名与密码之间以英文逗号分隔，例如：root,toor）提交；
   由题意可知是ftp协议，那我们过滤出ftp协议的包
   过滤式：ftp
   然后找到successful
   
   flag:admin,admin654321

2. 继续分析数据包wireshark0051.pcap，找出黑客使用获取到的账号密码登录FTP的时间，并将黑客登录FTP的时间作为Flag值（例如：14:22:08）提交；
   这里我们单击successful那个包，然后查看Frame信息
   
   flag:01:33:08

3. 继续分析数据包wireshark0051.pcap，找出黑客连接FTP服务器时获取到的FTP服务版本号，并将获取到的FTP服务版本号作为Flag值提交；
   我们直接右击追踪率tcp流
   
   
   flag:3.0.2

4. 继续分析数据包wireshark0051.pcap，找出黑客成功登录FTP服务器后执行的第一条命令，并将执行的命令作为Flag值提交;
   
   因为是directory send，也就是获取了目标靶机的目录，所以不是dir就是ls
   flag:dir

5. 继续分析数据包wireshark0051.pcap，找出黑客成功登录FTP服务器后下载的关键文件，并将下载的文件名称作为Flag值提交；
   
   flag:flag123.txt

6. 继续分析数据包wireshark0051.pcap，找出黑客暴力破解目标服务器Telnet服务并成功获取到的用户名与密码，并将获取到的用户名与密码作为Flag值（用户名与密码之间以英文逗号分隔，例如：root,toor）提交；
   这里是telnet，那我们过滤出telnet的包即可
   然后拉到最下面一个包，再追踪流tcp流即可
   
   
   flag:root,toor654321

7. 继续分析数据包wireshark0051.pcap，找出黑客在服务器网站根目录下添加的文件，并将该文件的文件名称作为Flag值提交；
   
   flag:admin654321

8. 继续分析数据包wireshark0051.pcap，找出黑客在服务器系统中添加的用户，并将添加的用户名与密码作为Flag值（用户名与密码之间以英文逗号分隔，例如：root,toor）提交。
   
   flag:user123,123456

本篇文章到此结束，感谢各位的耐心观看！