应急响应靶机训练之近源

小王从某安全大厂被优化掉后来到了某私立小学当起了计算机老师，某一天上课的时候发现鼠标在自己动弹，又发现除了某台电脑，其他电脑连不上网络，感觉肯定有学生捣乱于是开启了应急：

• 攻击者的外网IP地址

• 攻击者的内网跳板IP地址

• 攻击者使用的限速软件的md5大写

• 攻击者的后门md5大写

• 攻击者留下的flag

下载靶机并使用VMware Workstation打开：

靶机的账号密码：

Administratorzgsf@2024

运行桌面解题工具可以看到如下题目信息：

第一问答

靶机的第一个问题是"攻击者的外网IP地址"，在这里我们首先通过RDP远程链接服务器

随后我们发现桌面上的几个word文件，紧接着我们上传文件到微步进行查杀，进而获取到对应的IP地址信息——8.219.200.130

第二问答

靶机的第二个问题是"攻击者的内网跳板IP地址"，这一个比较隐蔽，通过查看

查看对应的文件内容：

获取对应的IP地址：

第三问答

靶机的第三个问题是"攻击者使用的限速软件的md5大写"，在这里查看arp缓存列表，猜测是通过ARP劫持：

文件程序为——p2pover4.34.exe

文件Hash计算——2A5D8838BDB4D404EC632318C94ADC96

第四问答

靶机的第四个问题是"攻击者的后门md5大写"，另外一个是shift后门，五次shift后执行程序：

文件位置C:WindowsSystem32sethc.exe

MD5计算结果：58A3FF82A1AFF927809C529EB1385DA1

第五问答

靶机的第五个问题是"攻击者留下的flag"，运行shift后门会出现flag——flag{zgsf@shift666}

本篇文章我们主要借助应急响应靶场-近源进行了应急取证，其中主要涉及流量劫持、权限维持排查