数据分析数字取证-attack 中职网络安全

数据分析数字取证-attack

任务环境说明：

• 渗透机场景：Windows 7
• 渗透机场景用户名：administrator,密码：123456

1.从靶机服务器的FTP上下载attack.pcapng数据包文件，通过分析数据包attack.pcapng，找出黑客的IP地址，并将黑客的IP地址作为FLAG（形式：[IP地址]）提交；

 flag：[192.168.10.106]

2.继续查看数据包文件attack.pacapng，分析出黑客扫描得到的靶机开放的端口，将靶机开放的端口作为FLAG（形式：[端口名1,端口名2,端口名3…,端口名n]）从低到高提交;

根据tcp的链接原理，猜测黑客使用的是半开式扫描，我们使用过滤规则：

ip.src==192.168.10.106 and tcp.flags.reset==1

flag:[21,22,23,80,139,445,3306,8080]

3. 继续查看数据包文件attack.pacapng，分析出黑客成功入侵后获得的操作系统的版本号，将操作系统的版本号作为FLAG（形式：[操作系统版本号]）提交；

在筛选所有常规服务后，发现只有FTP是黑客成功入侵的服务

过滤FTP

tcp.port==6200

tcp格式：tcp.port(显示指定的tcp端口的流量)==6200(端口)

随便一个追踪流

 Flag:[Linux localhost.localdomain 2.6.32-504.el6.i686]

4. 继续查看数据包文件attack.pacapng，分析出黑客成功入侵后执行的第一条命令，并将执行的第一条命令作为FLAG（形式：[第一条命令]）提交；

 到了后面就很简单了

 flag:[id]

5. 继续查看数据包文件attack.pacapng，分析出黑客成功入侵后执行的第二条命令，并将执行的第二条命令作为FLAG（形式：[第二条命令]）提交；

 flag:[uname -a]

6. 继续查看数据包文件attack.pacapng，分析出黑客成功入侵后执行的第二条命令的返回结果，并将执行的第二条命令返回结果作为FLAG（形式：[第二条命令返回结果]）提交；

 Flag:[ Linux localhost.localdomain 2.6.32-504.el6.i686 #1 SMP Wed Oct 15 03:02:07 UTC 2014 i686 i686 i386 GNU/Linux]

需要环境加本人QQ：2404628131