2022TZ GA比武 第二部分 Writeup

最新推荐文章于 2024-08-03 23:46:36 发布
最新推荐文章于 2024-08-03 23:46:36 发布
阅读量343 收藏 1
点赞数
文章标签： 服务器 运维 威胁分析 网络安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_43717836/article/details/131281265
版权

背景介绍

​ 某月某日，县公安局接某公司财务部门报警，称其官网及财务报销系统疑被入侵，且攻击者在财务报销系统中投放了勒索病毒，现已无法运行，且服务器内的重要文件均被加密。

​ 县公安局网安大队高度重视，立即根据受害人的反馈对该被入侵服务器进行取证，初步确定了作案手法：这是一次来自互联网的网络攻击，攻击者利用多种漏洞获取到服务器的权限，并投放了勒索病毒对服务器进行加密，以勒索该公司。

案情梳理

官网和财务报销系统被入侵

攻击者在财务报销系统投放了勒索病毒

步骤：

​ 1）来自互联网的网络攻击

​ 2）多种漏洞得到服务器权限

​ 3）投放勒索病毒加密

题目

前提

做题的方法肯定有很多种，每次我都是随性子用方法。也欢迎大家探讨。

检材二

通过对检材一的分析，你们已经初步掌握了攻击者的攻击路径和攻击手法。接下来请对检材二（PC.E01）进行分析，并回答以下问题

21、该服务器的计算机名为？（50分）

WIN-CCGJNS8OESV

在这里插入图片描述

22、攻击者登陆该服务器的时间为？（100分）（格式：2021-01-01 01:01:01）

2022-03-04 18:15:37

首先明确逻辑：先攻击进入了WEB服务器，然后用web服务器作为跳板来入侵这台PC

那么，如果是登录这台PC，就应该是用的WEB服务器（192.168.100.100）登录

这题目文字也有问题，镜像名字叫PC，但是PC里面的功能包括了一些服务器功能。说登录服务器，那谁知道是登录WEB还是PC

1）在我用弘连的取证分析软件初次筛选登录信息后，看到一条最可能是答案的

2）去远程桌面看看情况

在这里插入图片描述

上边两个时间都很可疑，所以仿真起来去事件查看器分析一下

结合登录成功和远程登录成功的日志来看，确定是下午六点多那个

在这里插入图片描述

日志工具：[windodws-logs-analysis-master][https://github.com/dogadmin/windodws-logs-analysis]

23、该服务器中存在一款用于管理检材一（WEB.E01）软件，请计算该软件主程序的SHA256哈希值？（100分）（格式：大写）

7043e8fbafa40fa869ea856286b86d7472eb052ab35b81f39cf86c7832408b7e

说的就是finalshell

在这里插入图片描述

24、请尝试通过分析该上题中管理软件获取检材一的密码？（150分）

Cse19981228

1）在第22题的时候，仿真看到桌面有一个finalshell工具，找到他的配置文件

在这里插入图片描述

因此，解密出来就好了

2）在线解密

在这里插入图片描述

或者写一个Java代码解密

在这里插入图片描述

还有更简单的方法：弘连软件直接看：

在这里插入图片描述

参考：

https://www.jianshu.com/p/f5bfa7b229de

https://blog.1088web.com/tools/getFinalShellPassDecodeView

25、请计算勒索病毒程序的SHA256哈希值？（100分）（格式：大写）

F0D861EBA9ADBBE87F46AAE549506A2D781FF8DC6D94A7158C0B83A5EABC7795

理清思路：攻击者从网站入手，那病毒应该是从网站上传进来的

勒索病毒进入电脑后，会对文件进行加密，后有一个后缀名，这是一个特征点。

顺便回顾一下应急响应的流程：

1）物理隔离、逻辑隔离

2）判断病毒类型

3）看日志溯源，并看看其他主机是否被牵连

4）对电脑进行处理分析，摸清关于病毒的信息

最开始我是翻了日志、进程，发现没什么异样。毕竟内存镜像都没有，应该也不是这么找。

这台PC虽然有一些服务器的功能，但是攻击者的入侵思路是通过WEB服务器远程连接PC，那只能猜测是从web服务器下载的文件。

翻翻找找，发现财务文件夹中，有加密的文件

在这里插入图片描述

这种后缀，一般都是病毒加密生成的后缀。

然后又发现浏览器的下载地址，是192.168.100.100

在这里插入图片描述
在这里插入图片描述

26、该勒索病毒是如何下载财务电脑上的，请分析后提交下载的链接？（250分）（格式：http://xxx.xx/test/）

http://192.168.100.100/public/upload/encrypt_file.exe

在这里插入图片描述

27、请分析勒索软件会加密哪些文件后缀名的文件？（200分）（格式:doc,pdf,…，注意顺序）

.txt，.doc，.jpg，.png

这道题，有点麻烦，因为我不会做逆向分析。所以感谢某位逆向佬的帮助。

步骤：

1）使用 pyinstxtractor 解压exe，提取pyc文件。

①安装工具

pyinstxtractor：https://github.com/extremecoders-re/pyinstxtractor

uncompyle6：

解压exe：

在这里插入图片描述

解压后会在当前目录生成一个文件夹

在这里插入图片描述

2）使用 uncompyle6 反编译pyc文件。

反编译并存入txt文本中：

在这里插入图片描述

3）打开以后，遍历一遍就看到了（代码逻辑我也不会，反正找我们需要的东西就行了）

在这里插入图片描述

参考：

https://juejin.cn/post/7244809939838566456

28、请分析该勒索软件最终是通过什么算法对数据进行加密的？（200分）(格式特殊：提交前需举手报告)

RSA PKCS1_v1_5 Cipher_pkcs1_v1_5 XOR

而且是异或 XORCBC

在这里插入图片描述
在这里插入图片描述

29、请尝试解密文件销售额.txt，解密后的销售金额为？（150分）

这题要分析代码逻辑，找到加密算法并写出解密算法。不会，不做。

30、另外，我们在财务电脑中发现木马程序，可能是犯罪嫌疑人所留，请找到木马文件，并请计算木马文件的SHA256哈希值为？（100分）

5239b243da6f998d380d1eebd78e273be77c398e5ebb4997c8351c44407aef30

在财务文件夹中，总共三个文件，将exe放入微步在线沙箱中检测，知道就是木马文件

在这里插入图片描述

重要提醒:为防止作弊，31题-39题在提交答案前，参赛人员需主动举手向工作人员展示解题过程后方可提交，否则不得分。工作人员只负责核实解题过程是否真实，不负责答案是否准确。

31、该木马文件以什么方式进行开机自启动？（200分）（格式特殊：提交前需举手报告）

注册表启动项

将该木马文件导入沙盒中分析可知
在这里插入图片描述

32、请分析木马行为，列出自动释放的文件名？（200分）(格式：a.word,b.txt,c.xls，按照a小于b进行填写)

[http_request.json、x64.dll

在这里插入图片描述

33、请分析木马行为，列出远程注入的模块文件名为？（200分）(格式：1.word)

不懂什么叫模块文件名，所以不做。

34、请分析木马行为，列出被远程注入的进程数量为？（200分）

2

在这里插入图片描述

35、请分析木马配置文件“http_request.json”，找出用户ID为？（100分） zhaohong

在这里插入图片描述
第36题图片可见。

36、请分析木马配置文件”http_request.json”，尝试解密“key”字段的明文数据为？（150分）

honglian70011111

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

37、请分析木马配置文件”http_request.json”，尝试解密“tag_data”字段的明文数据为？（200分）

honglian

根据36题图可以确定：

​				"tag_data": "21E71DA1217A9BAC15078752D22F33A2",
加密方式：			"crypt": "AES_CBC_Zeropadding_128bits",
密钥：				"key": "aG9uZ2xpYW43MDAxMTExMQ==",
偏移：				"IV": "123456789       "

要注意偏移IV里面有空格，还要注意下图输出的方式

在这里插入图片描述

38、请分析木马程序，该木马存在POST上传行为，请找出URL资源请求路径为(相对路径)？（250分）(参考格式：http://127.0.0.1/1.txt)

http://222.2.2.21:80/upload_data

在这里插入图片描述

39、请分析木马程序，该木马存在备用跳板服务器，请找出该服务器的IP地址为？（200分）

10.10.10.10

只要是关于逆向的，我都是不太会的。所以最笨的方法就是，IDA反编译以后，把能看到的都看一遍。

在这里插入图片描述

其实这里也能看到上一题的加密方式。

野心未满
关注
  • 0
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
window计算机日志分析详解,windows系统日志分析
weixin_35034072的博客
07-28 4799
一、Windows日志文件的保护日志文件对我们如此重要，因此不能忽视对它的保护，防止发生某些“不法之徒”将日志文件清洗一空的情况。1． 修改日志文件存放目录Windows日志文件默认路径是“%systemroot%system32config”，我们可以通过修改注册表来改变它的存储目录，来增强对日志的保护。点击“开始→运行”，在对话框中输入“Regedit”，回车后弹出注册表编辑器，依次展开“HK...
2022TZ GA比武 第三、四部分 Writeup
qq_43717836的博客
06-25 497
TZ GA比武总共四个检材，这是第三、四个检材题目和答案，至此，本套比武题结束。
windows日志一键分析小工具
02-02
windows 代码仅供参考学习！ 写了个基于.net 4.0的LogParser Windows日志一键分析小工具。所以在使用得时候需要在相同目录放入LogParser.exe即可，使用得时候记得管理员权限运行 可以快速的进行一些日志分析，后续也会慢慢的进一步进行更新。可以帮助一些用户快速的针对服务器日志进行分析发现。 删除一些不必要规则，修复部分bug,优化实在丑的不行的UI。 增加开关机日志规则。 增加本地日志分析版本。先更新固定路径，路径为C:\log，需要把分析的evtx日志放到该目录下面。同时增加mssql爆破日志分析功能以及是否本机存在挖矿木马功能 修改了远程桌面日志显示其他登录类型，只显示rdp成功登录，不显示其他杂音
一次应急演练挖矿病毒的练习笔记
qq_57966839的博客
03-12 1494
挖矿病毒练习笔记，蓝队思路
windows日志分析-Log Parser等工具使用
李安北的博客
05-24 9448
Windows 主要有以下三类日志记录系统事件：应用程序日志、系统日志和安全日志 系统日志：%SystemRoot%\System32\Winevt\Logs\System.evtx 记录操作系统组件产生的事件，主要包括驱动程序、系统组件和应用软件的崩溃以及数据丢失错误等。 应用程序日志：%SystemRoot%\System32\Winevt\Logs\Application.evtx 包含由应用程序或系统程序记录的事件，主要记录程序运行程序方面的事件。 安全日志：%SystemRoot%\Syste
「干货」Linux 应急响应日志分析命令「详细总结」
橙留香Park的博客
02-25 6306
转移发布平台通知：将不再在CSDN博客发布新文章，敬请移步知识星球... ...
2022TZ GA比武 第一部分 Writeup
qq_43717836的博客
06-16 476
去年的一套结合取证和应急响应的题目，还涉及到逆向。
2022强网杯 Quals Reverse 部分writeup
qq_41866334的博客
08-03 1650
强网杯2022 quals reverse部分中game， easyapk， easyre 三题
2022强国杯writeup
07-17
2022强国杯writeup CTF（Capture The Flag）是一种网络安全比赛形式，旨在测试参与者的网络攻击和防御能力。在这场强国杯比赛中，我们将对misc、crypto和web三个方向的题目进行分析和解释。 Misc 在Misc分类中，...
D3CTF2022-官方WriteUp1
08-03
"D3CTF2022-官方WriteUp1" 本文将对 D3CTF 2022 官方 WriteUp1 进行总结，主要涉及 MySQL UDF 提权、Java 反序列化、MySQLInject、Web 短链技术等多方面的知识点。 1. MySQL UDF 提权 在 MySQL 中，可以使用 User...
2022HFCTF-线上赛官方Writeup1
08-04
`Hessian2Output`是一个二进制序列化工具，常用于减少网络传输的数据大小。在这个场景下，可能存在序列化漏洞，攻击者可能利用这个漏洞构造特定的输入，以执行恶意代码。 在HFCTF 2022的各个挑战中，参赛者需要掌握...
网鼎杯writeup-护网先锋1
08-04
【网鼎杯writeup-护网先锋1】的知识点总结： 在网络安全竞赛“网鼎杯”中，参赛者需要解决一系列挑战，这些挑战涉及到多种安全技术，如代码泄露、漏洞利用、加壳破解、文件格式分析等。以下是各部分的具体知识点： ...
【CTF WriteUp】2020网鼎杯第一场部分题解
01-20
第二关解三元一次方程，得x=74, y=68, z=31；第三关解一元二次方程，找正数根x=89127561。全过得flag you raise me up 本题中，模数n = 2 ** 512，所以此处可以使用Pohlig-Hellman算法逐渐升模求出flag。该算法的...
ACl访问控制实验
hello2236的博客
08-03 238
要求：PC1可以telnet登录r1，不能ping通r1，pc1可以ping通r2，但不能telnet登录r2，pc2的所有限制与pc1相反。实验思路：因为华为的ensp默认允许所有，所以只写拒绝规则就行。可以telnet r1，不能telnet r2。可以ping通r2，不可以ping r1。
华为OD机试(C卷,200分)- 可以组成网络的服务器
欢迎来到我的博客~
08-03 173
就再去其上下左右找下一个服务器，当找到新服务器，再递归去找其上下左右，按此逻辑，就像拔地瓜藤一样，一下子把所有地瓜都拔出来。在一个机房中，服务器的位置标识在 n*m 的整数矩阵网格中，1 表示单元格上有服务器，0 表示没有。用ans统计每个局域网包含的服务器个数，每找到一个局域网包含的服务器个数大于当前局域网，则更新ans。说明 [0][0]、[1][0]、[1][1]三台服务器相互连接，可以组成局域网。不同之处在于统计的是最大局域网包含的服务器个数，而不是所有局域网个数。最大局域网包含的服务器个数。
IPV6公网暴露下的OPENWRT防火墙安全设置（只允许访问局域网中指定服务器指定端口其余拒绝）
低温热源的博客
08-03 449
IPV6公网暴露下的OPENWRT防火墙安全设置（只允许访问局域网中指定服务器指定端口其余拒绝）首先是防火墙的常规配置和区域配置 其次是对需要访问的端口做访问放通 情况1 DDNS位于openwrt网关上，外网访问openwrt，通过端口转发访问内部服务器。此情况需要设置端口转发。情况2DDNS做在服务器上，IPV6直接访问服务器，此情况需要设置通信规则。​ 通过这些设置我们可以在openwrt防火墙上对进出局域网流量进行控制。但是服务的安全性还需要依赖https tls 证书 等方法保证在公网的传输安
Unbuntu 服务器- Anaconda安装激活 + GPU配置
NewBaiChen的博客
08-03 217
等待下载完成后，通过 ll 命令可以看到当前路径多了 Anaconda3-2024.06-1-Linux-x86_64.sh。wget https://repo.anaconda.com/archive/ 后面加上图片中的内容。接下来可以在yolov10这个环境中通过 conda install 安装你想要的内容。现在成功安装了Anaconda，接下来可以通过修改。此时可以使用Anaconda创建自己的环境了.点这里，找到最新的适合linux服务器的。完成后，将处于Anaconda的默认。
【DOCKER】基于DOCKER的服务之nginx文件下载服务器
最新发布
zhy29563
08-03 117
基于DOCKER的服务之nginx文件下载服务器。
HFCTF2022线上赛官方Writeup：WEB、CRYPTO与PWN挑战解析
"HFCTF2022线上赛官方Writeup1主要涵盖了多个网络安全和编程挑战，包括WEB、CRYPTO、PWN、REVERSE和MISC等类别。其中，题目涉及了RSA加密、MD5哈希、zlib压缩、SSRF漏洞利用、元数据解析、动态链接器预加载（ld_...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值