qq_58833765的博客

原创 2024第一届帕鲁杯应急响应挑战赛-Writeup

直接开始解密发现这是一条付费记录（话不多说直接购买），没办法，只能遍历md5看能不能碰运气，最后发现文件名就是他的md5值的前半段。登录PC02查看到很多非系统用户，除去公司员工用户（中文名），系统用户，判断其余用户可能为恶意用户。通过堡垒机查看webserver会话记录分析，该ip请求繁多，时间段较长，分析可能为攻击ip。直接把附件exe拖到ida分析动态调试，下断点，看验证码，直接把验证改了，基操，ez~通过查看堡垒机会话记录的监控，查看攻击者视角，得出钓鱼文件。