应急响应web2

挑战内容

前景需要：小李在某单位驻场值守，深夜12点，甲方已经回家了，小李刚偷偷摸鱼后，发现全设备有告警，于是立刻停掉了机器开始排查。

这是他的服务器系统，请你找出以下内容，并作为通关条件：

1.攻击者的IP地址（两个）？

2.攻击者的webshell文件名？

3.攻击者的webshell密码？

4.攻击者的伪QQ号？

5.攻击者的伪服务器IP地址？

6.攻击者的服务器端口？

7.攻击者是如何入侵的（选择题）？

8.攻击者的隐藏用户名？

 

结合这两个文件就可以发现其中的一个攻击者的ip是192.168.126.135

system.php，经查证，为webshell文件，在文件管理中找到

 webshell密码为hack6618

windows管理工具中找到事件查看器

搜索1149即可

查找隐藏的用户的时候，在设置里面是看不到了

这个时候我们需要去注册表里面看看

隐藏的用户就找到了   隐藏账户hack887$

在文档内发现Tencent Files文件夹，里面有使用工具，QQ号应该就是它了

777888999321

FileRecv文件夹内为接收的文件，frp（内网穿透工具）

伪IP以及伪端口

IP1:192.168.126.135

IP2:192.168.126.129

伪QQID:777888999321

伪服务器地址：256.256.66.88

伪端口：65536

隐藏用户名：hack887$

webshell密码：hack6618

webshell名称：system.php

攻击方式：ftp攻击