墨者学院 电子数据取证

已于 2022-06-18 09:57:15 修改
阅读量1.8k 收藏 33
点赞数 4
分类专栏： 墨者学院 ctf 笔记 文章标签： 网络安全 linux 安全 网络
于 2022-05-29 20:01:05 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/zip471642048/article/details/125034850
版权
笔记 同时被 3 个专栏收录
113 篇文章 5 订阅
订阅专栏
ctf
107 篇文章 4 订阅
订阅专栏
墨者学院
2 篇文章 1 订阅
订阅专栏

文章目录

电子数据取证-流量分析(第1题)

在这里插入图片描述

在这里插入图片描述

网络数据分析溯源(攻击者IP)

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

查看z1的内容，可以知道z5是执行sql的命令

在这里插入图片描述
在这里插入图片描述

网络数据分析溯源(上传WebShell的IP地址)

找上传webshell的ip，主要是筛选http post流量

在这里插入图片描述在这里插入图片描述

Xls文件分析溯源

在这里插入图片描述

网络数据分析溯源(SQL注入的IP地址)

直接筛选http流量查找select之类的sql命令

在这里插入图片描述

网络数据分析溯源(ARP嗅探的IP地址)

筛选arp流量，arp扫描其实很好找，看who ？？ tell 谁最多，他就说扫描者

在这里插入图片描述
最多的就是104，其次是106，104就是扫描者了
在这里插入图片描述

日志文件分析溯源(SQL注入IP地址)

筛选出日志中包含sql语句的条目

cat 4.log | grep -i 'select'

在这里插入图片描述

网络数据分析溯源(查找邮件地址)

在这里插入图片描述
在这里插入图片描述

网络数据分析溯源(数据库密码)

跟上题一样的附件

把z0的base64解码

在这里插入图片描述

可以知道z3岁$pwd大概率就是数据库密码

在这里插入图片描述
在这里插入图片描述

远程电子数据取证-木马分析(第1题)

terminal 下载 rdesktop,然后登录即可

在这里插入图片描述

windows权限维持—— 驱动级文件隐藏

这个xlkfs的软件开启的时候，会隐藏掉文件夹
在这里插入图片描述

sc qc xlkfs 查询一下这个服务，可以看到真的存在

在这里插入图片描述

把这个服务关掉，就可以访问这个目录了

net stop xlkfs

在这里插入图片描述

在这里插入图片描述

远程电子数据取证-木马分析(第2题)

系统保留字 ： http://t.zoukankan.com/hellovan-p-11090560.html

如果文件使用了系统保留字 windows会自动无法对这个文件进行访问、修改、删除等操作

在这里插入图片描述

在C:\Inetpub\wwwroot下可以，直接看到这个asp文件，但是他使用了系统
保留字，我们无法直接查看他的内容

在这里插入图片描述
绕过办法：利用type命令访问网络系统路径

type \\.\C:\Inetpub\wwwroot\COM6.key_shell.asp

在这里插入图片描述
在这里插入图片描述

日志文件分析溯源(下载压缩包的IP地址)

在这里插入图片描述

日志文件分析溯源(连接WebShell的IP地址)

在这里插入图片描述

网络数据分析溯源-查找QQ号

在这里插入图片描述

在这里插入图片描述

远程电子数据取证-木马分析(第3题)

题目地址 ： https://www.mozhe.cn/bug/detail/RHdoNU8zOUEreHdHeUhObGFPT0RGUT09bW96aGUmozhe

win7畸形文件夹
畸形文件夹是window系统中通过非正常途径建立的文件夹，具有难以查看，删除等特点。

在这里插入图片描述
在这里插入图片描述

网络数据分析溯源(登录的用户名)

题目地址 : https://www.mozhe.cn/bug/detail/RzVtY3JOOEtYaU5RMUxGZ1hVSWRXUT09bW96aGUmozhe

首先删选出http 的流量，看到有人一直在爆破弱密码

在这里插入图片描述

筛选出ip.src为爆破使用源地址，且登陆状态为200

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

远程电子数据取证-服务器分析(第2题)

题目地址 : https://www.mozhe.cn/bug/detail/V3lpVHBBK3l6cHdIOWVhSllWQ1MrZz09bW96aGUmozhe

查看windows系统事件

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

筛选出administrator用户操作的事件

在这里插入图片描述
在这里插入图片描述

远程电子数据取证-服务器分析(第1题)

题目地址 : https://www.mozhe.cn/bug/detail/U1prK3FzNjAydzF1bUpxKzVrUWsvQT09bW96aGUmozhe

在这里插入图片描述

取消隐藏文件和文件夹

在这里插入图片描述

RECYCLER它翻译成英文的意思是回收再利用的意思。它是windows操作系统中存放被删除文件的文件夹之一。也就是这个文件夹是回收站的文件夹。在windows系统中，都会帮用户自动创建回收站文件夹，当分区文件系统时NTFS的时候，就会将文件保存在RECYCLER文件夹里面。
那么RECYCLER文件夹可以删除吗？
这个文件夹是受系统保护的隐藏文件夹，所有不能删除该文件夹，如果用户删除了该文件夹之后，系统还是会重新帮你创建一个新的RECYCLER文件夹了。

在这里插入图片描述

Rar文件分析溯源

题目地址 ： https://www.mozhe.cn/bug/detail/WXFPT3JLVE52dUpSMGxTMnlBV3pMUT09bW96aGUmozhe

首先下载来时zip文件，直接解压得到一个又密码的rar压缩包
然后尝试了一系列工具，总是不行，看了wp后，发现时一样的方法

在这里插入图片描述
压缩包密码是z4s2
在这里插入图片描述

网络数据分析溯源(ping服务器的IP地址)

题目地址 : https://www.mozhe.cn/bug/detail/WG9URHk1blRGdmVkaWpjU21KMEFXUT09bW96aGUmozhe

某公司安全工程师抓取到一段Wireshark数据包，其中有一个IP不间断的在ping服务器，,请找到这个ip地址。

ping 是基于 ICMP 协议工作的 筛选出icmp协议发现只有两个ip 最先发送的ip就是src地址

在这里插入图片描述

网络数据分析溯源(HTTPS证书信息)

题目地址 : https://www.mozhe.cn/bug/detail/MFpHTzI3RlJEcGhNZ2s3Z1lUNXlYdz09bW96aGUmozhe

近日工程师捕获到一段流量，发现有人伪造了x.com的证书，请找到这个证书的所属公司名称。

HTTPS协议==HTTP协议+SSL/TLS协议，在HTTPS数据传输的过程中，需要用SSL/TLS对数据进行加密和解密，需要用HTTP对加密后的数据进行传输，由此可见，HTTPS协议是由HTTP和SSL/TLS协议一起合作完成的。至于二者之间的区别，HTTP协议有点类似于“裸奔”，他们数据传输是通过明文的形式做传输，即使约定了加密方式，但是第一次传输的时候还是明文；鉴于此，HTTPS使用的是非对称加密，为秘钥的传输外层再做一层保护，非对称加密的一组秘钥对中，包含一个公钥和一个私钥。明文既可以用公钥加密，用私钥解密；也可以用私钥加密，用公钥解密。

在这里插入图片描述

日志文件分析溯源(境外IP)

题目地址 : https://www.mozhe.cn/bug/detail/SmFjVnp4ZlVtS0hwbUx1THlNemxLUT09bW96aGUmozhe

题目描述 : 某网站遭到境外ip攻击，请通过log，找到找到访问news.html最多的境外IP地址。

筛选出访问news.html的流量，大致扫一眼就137.112.214.191和163.125.211.156比较多，经过尝试答案是137.112.214.191

在这里插入图片描述

网络数据分析溯源(3389登录的IP地址)

题目地址 : https://www.mozhe.cn/bug/detail/N2drOWk2LysyQ3hPMjRPeWpXYmhzZz09bW96aGUmozhe

题目描述 :
安全工程师“墨者”在维护日常网络时，抓取了一段Wireshark数据流量包，发现有3389登录的数据，你也来试试找到这个IP地址吧。

筛选出目的地址端口为3389的流量，发现只有一个源ip地址

在这里插入图片描述

远程电子数据取证-木马分析(第4题)

题目地址 : https://www.mozhe.cn/bug/detail/YmY2Ukw4czkwWi8wZkk5Nmx4bC9FUT09bW96aGUmozhe

题目描述 : 某黑客黑入了某网站服务器，上传并隐藏了webshell，且该webshell具有不死僵尸木马后门的特点。
此后黑客通过URL访问了该webshell，且IIS日志也记录了该webshell的访问信息。

跟第二题同理，取消隐藏文件，用type + 网络路径访问

在这里插入图片描述

网络数据分析溯源(邮箱密码)

题目地址 ： https://www.mozhe.cn/bug/detail/ai9EeVkwcVlYVUR3ZHFFcFl4bmUrZz09bW96aGUmozhe

题目描述 : 近日工程师捕获到一段流量，发现某人从内网登录了邮箱xxx@126.com，请你帮工程师找到这个邮箱的登录密码。

筛选http协议搜索@126.com,发现竟然没有

在这里插入图片描述

想到可能不是http协议登录的猜测是用来邮件协议，搜索imap就可以找到
在这里插入图片描述

网络数据分析溯源(发布文章的IP地址)

题目地址 : https://www.mozhe.cn/bug/detail/WXI4Q3A1aDBMNDVXUG50WUpURkI1QT09bW96aGUmozhe

题目描述 : 近日工程师捕获到一段流量，发现有人从内网发布一篇文章到www.xwast.org上，请找出发布文章的IP。

根据题目搜索http流量筛选www.xwast.org, 但是流量太多了，我们搜索post数据

在这里插入图片描述

在这里插入图片描述

网络数据分析溯源(新增用户的身份证号)

题目地址 : https://www.mozhe.cn/bug/detail/clVzVjc3NlJUVnY2Vm1OVy8reVJIQT09bW96aGUmozhe

筛选http流量

http.request.method=="POST" && http contains "php"

在这里插入图片描述
在这里插入图片描述

经过几次尝试，找到插入的身份证号

在这里插入图片描述

网络数据分析溯源(连接login.php的IP)

题目地址 : https://www.mozhe.cn/bug/detail/ajZTTjFuNG9mUHpqcGhBU0VYUTNaQT09bW96aGUmozhe
在这里插入图片描述

网络数据分析溯源(下载压缩包的IP地址)

题目地址 : https://www.mozhe.cn/bug/detail/amhsZHQ2cXJXZGdlOW1iOEpLcWdDQT09bW96aGUmozhe
在这里插入图片描述

[mzq]
关注
  • 4
    点赞
  • 踩
  • 33
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
墨者学院解题思路之电子数据取证-流量分析(第1题)+wireshak导出图片、视频等文件
伪娘+
04-04 1474
墨者学院解题思路之电子数据取证-流量分析(第1题) +wireshak导出图片、视频等文件 背景介绍 某web安全工程师在网络中捕获到一段可疑流量，发现有人将机密数据隐藏在图片中传输了出去，你能分析出其中的奥秘吗？ 实训目标 1、掌握“wireshark”的基本使用方法； 2、了解数据在网络中传输的过程和协议； 解题方向 使用“wireshark”过滤语句过滤流量。 思路：wireshark是分析...
在线靶场-墨者-电子数据取证5星-网络数据分析溯源(上传WebShell的IP地址)
weixin_42079912的博客
08-09 555
打开靶场网页，下载文件并压缩 根据题意发现有人成功上传了WebShell，请找到上传者的IP地址。 使用Wireshark打开21.pcapng文件，因为是上传WebShell，所以数据走得应该是http协议，使用POST请求方式。属于在Wireshark中输入http.request.method==POST。过滤出http协议POST请求的数据出来。查看数据，找到uploads上传，一般上传...
【电子取证】Wireshark教程：从流量包中导出文件
longxintec的博客
06-04 1499
在某些情况下，消息是使用未加密的SMTP发送的，我们可以从感染主机的流量中导出这些邮件消息。使用wireshark打开例1.pacp文件，使用http.request过滤流量包，找到两个GET请求，第一个请求以doc文件结束，第二个请求以exe文件结束。在进行网络流量分析中，往往需要从获取到的流量包中导出文件，进行更仔细的检查。使用wireshark打开例3.pacp文件，点击文件—导出对象—SMB，就可以导出SMB流量中的文件。保存后的eml文件，可以使用邮件客户端进行查看，或者使用文本编辑器进行查看。
网络数据分析溯源(上传WebShell的IP地址)
qq_36933272的博客
09-05 622
wireshark打开下载的包 因为webshell被上传了，所以需要过滤POST请求，并搜索字符串upload 追踪TCP流 发现有php一句话木马，应该是这个了，输入ip，得到key ...
网络数据分析溯源(WebShell密码)
qq_36933272的博客
09-05 1538
用wireshark打开数据包 有题目提示，有人连接过一句话的webshell，猜想可能是asp、php之类的木马 用http.request.method ==“POST” && http contains "php"尝试过滤，发现xiaoma.php 查看发现d76R3478就是webshell的密码 输入密码，得到key ...
墨者学院 - WebShell代码分析溯源(第4题)
多崎巡礼的博客
08-02 670
唉让我如此信任的工具在这道题上栽了跟头。。。嗯，以后的结果仅供参考。   下载源代码，在hack文件夹下发现bin.php 打开分析代码得知其为php回调函数类一句话木马 且获得其密码，通过菜刀连接 菜刀连接http://219.153.49.228:42394/www/hack/bin.php?e=YXNzZXJ0 密码为POST array_filter()函数用回调函数过...
墨者学院 - 远程电子数据取证-木马分析
多崎巡礼的博客
08-28 2110
第一题 驱动级文件隐藏 此驱动级隐藏文件会在服务项增加一个xlkfs的服务 驱动文件路径为：c:\WINDOWS\system32\drivers\xlkfs.sys 配置文件路径为：c:\WINDOWS\xlkfs.ini 转自：http://www.91ri.org/15356.html 独自等待   解题思路： 连接上服务器，先搜索SEO找到seo文件夹路径，在C:\Inet...
墨者学院-HTML前端代码分析(暗链)、HTTP动作练习、IP地址伪造(第2题)
05-29
HTML前端代码分析(暗链)、HTTP动作练习、IP地址伪造(第2题)、phpMyAdmin后台文件包含分析溯源、PHP代码分析溯源(第1题)、PHP代码分析溯源(第2题)、PHP逻辑漏洞利用实战(第1题)、SQL手工注入漏洞测试(Access数据库)
墨者靶场 post ,DB2,绕过登录，sql注入四关
最新发布
07-22
通关攻略墨者靶场 post ,DB2,绕过登录，sql注入四关
spring IOC实现（墨者革离）
12-12
在这个名为"spring_IOC实现（墨者革离）"的项目中，我们可以通过模拟城门叩问的编剧场景来理解这一概念。 首先，控制反转的基本思想是将对象的创建和依赖关系的管理从应用程序中分离出来，交给一个外部容器（在...
近墨者未必黑.pdf
12-26
近墨者未必黑.pdf
pytorch yolov5 指针表计识别 分步识别表计 数据集
07-29
在电力、工业或家庭自动化等领域，识别指针式仪表盘读数具有重要意义，可以用于自动化监控和数据分析。 首先，我们需要了解PyTorch。PyTorch是Facebook开发的一个开源深度学习框架，它基于Python，提供了动态计算图...
网络数据分析溯源(HTTPS证书信息)
qq_36933272的博客
09-05 574
用wireshark打开数据包 因为是加密，用ssl过滤 要找公司的所属名称，所以搜索字段org 找到数据包，往下查看，公司的名称被编码成了utf8字符串 复制到任意网站搜索框里，显示是重庆xxxxx有限责任公司，输入得到key ...
墨者学院WebShell代码分析溯源(第6题)
vergilben的学习日记
04-03 9523
墨者学院WebShell代码分析溯源(第6题) 进入环境： 下载并分析源码： 在如上路径中发现pic3.jpg.php，打开如下所示： 图中箭头指的很明显，是一句话木马，需要用到菜刀连接，但是后面很明显与base64有关，所以，我们需要一个指令来让它变成（xxx，一句话木马），思考一下这里应该是个插入语句，我们平常用到的，是eval函数，但我们看一下eval函数的解释： 所以eval函数是无...
[墨者学院] 远程电子数据取证-服务器分析(第1题)
0of_blog
06-06 316
某服务器被攻击者远程登录，系统管理员说攻击者删除了部分文件，安全工程师"墨者"对服务器上电子数据进行远程取证分析。有句话叫"智者千虑，必有一失"，攻击者删除的文件会在哪里呢？1、掌握系统隐藏文件的显示方法； 2、了解Windows的NTFS分区文件系统Recycler的作用；显示系统隐藏文件，找到所在分区的Recycler文件夹。给出远程RDP服务的ip和端口，用自带远程桌面工具连接工具>文件夹选项，启用如下设置。再打开文件夹查看RECYCLER目录 点开，看到key......
【愚公系列】2023年05月 网络安全高级班 030.应急响应溯源分析（Webshell 查杀⼯具）
时光隧道
05-12 8080
Webshell是一种可以在被攻击的Web服务器上执行命令的恶意脚本或程序。攻击者可以使用Webshell获取服务器的敏感数据，或者利用服务器的资源执行其他攻击。Webshell通常通过漏洞利用或社会工程学攻击来传播。为了保护Web服务器的安全，管理员应该采取一些安全措施来防止Webshell的入侵。当⽹站服务器被⼊侵时，我们需要⼀款Webshell检测⼯具，来帮助我们发现webshell，进⼀步排查系统可能存在的安全漏洞。本⽂推荐了10款 WebShll 检测⼯具，⽤于⽹站⼊侵排查。
在线靶场-墨者-电子数据取证1星-网络数据分析溯源(邮箱密码)
weixin_42079912的博客
08-10 660
打开靶场网页，下载文件并解压。 根据题意发现某人从内网登录了邮箱xxx@126.com，找到这个邮箱的登录密码。 使用Wireshark打开1.pcapng文件。知道是登录邮箱，于是我们可以搜索imap、smtp、pop3这些协议。 smtp和pop3协议数据包在文件中没有。只有imap协议，于是过滤出imap协议的数据包。分析数据包直接获得这个邮箱的登录密码。 如果过滤出的imap包太多，那...
[墨者学院] 日志文件分析溯源(SQL注入IP地址)
0of_blog
06-04 502
安全工程师“墨者”在维护日常网络时，发现有人对网站进行SQL注入，墨者导出了服务器日志，请你分析日志找到这个人的IP地址。1、了解日志分析方法；2、了解日志结构；3、了解日志的作用；根据提供的日志进行分析，找到IP地址，验证。下载文件，解压，是个log格式文件，随便用一个文本编辑器打开搜索select，看到一行，是它了103.8.68.129...
【实战学习】电子数据取证专题——网络数据分析溯源（上）
weixin_34055787的博客
03-04 526
电子数据取证专题-网络数据分析溯源 新题来了！！！网络取证对网络***事件、网络犯罪活动进行证据获取、保存、分析和还原，它能够真实、连续地获取网络上发生的各种行为；能够完整地保存获取到的数据，并且防篡改；对保存的原始证据进行网络行为还原，重现***现场。网络数据分析溯源(爆破扫描的IP地址)背景介绍某公司安全工程师抓取到一段Wireshark数据包，其中一IP对目标服务器做爆...
墨者学院sql注入布尔
07-27
墨者学院SQL注入布尔是一种常见的SQL注入攻击技术，它利用布尔逻辑来判断SQL查询的真假条件。通过构造恰当的SQL语句，攻击者可以绕过输入验证，直接操作数据库，从而获取、修改或删除敏感数据。 在布尔注入攻击中，攻击者通过不断尝试不同的条件，观察页面返回的结果来推断出数据库的信息。攻击者可以使用布尔逻辑运算符（如AND、OR）和条件语句（如等于、小于、大于等）来构造恶意的SQL查询。 为了防止SQL注入布尔攻击，开发人员应该采取以下预防措施： 1. 输入验证和过滤：对用户输入进行严格的验证和过滤，确保只接受合法的输入。 2. 参数化查询：使用参数化查询或预编译语句来构建SQL查询，这样可以将用户输入作为参数传递给查询，而不是直接拼接在SQL语句中。 3. 最小权限原则：为数据库用户分配最小权限，避免给予不必要的数据库操作权限。 4. 错误消息保护：在生产环境中，不要将详细的错误消息返回给用户，以免泄露敏感信息。 希望这能帮到你！如果有任何其他问题，请随时提问。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值