背景：黑仔某次攻防演练中，有以下一个靶标。
PS:忘了是哪家的Tools，反正就Github上常见的那几个。
写内存马，写文件马均不解析
疑似存在网页防篡改之类的安全设备
更让人头疼的是存在360
查看当前进程，发现存在向日葵查看当前进程，发现存在向日葵
遍历盘符，搜索文件，探测向日葵路径，得出当前路径：
C:Program Files (x86)OraySunLoginSunloginClientSunloginClient.exe"向日葵默认配置文件路径:安装版：C:Program FilesOraySunLoginSunloginClientconfig.ini便携版(绿色版)：C:ProgramDataOraySunloginClientconfig.ini
[base]installautorun=nowindowuserpwd=0configpath=C:Program Files (x86)OraySunLoginSunloginClientconfig.initracksvr=encrypwd=SxudeIOP2vs=macaddress=20:F1:7C:B2:F3:12hasuu=0showupdatetip=1hostname=defaulthostdesc=level=levelname=levelchanel=istransfer=ismessage=expires=skin=sunlogincode=isfastcodelogin=1logintype=0license=01ad-c92c-eec3-ee58licensepsw=fastcode=k107xxxxxxfastcodepsw=etXDq1sXsrFkESG0RNxxxxxxxxxsunloginserver=rc10-fc05.oray.com:443slapiserver=slapi.oray.netaccount=language=0firstrun=0lastview=1openeyes=1screenshots_path=C:UsersAdministratorDocumentsSunlogin Files[common]serviceonly=0autorun=1
fastcode=k107xxxxxxfastcodepsw=etXDq1sXsrFkESG0RNxxxxxxxxx
wafinfo大佬的解密脚本https://github.com/wafinfo/Sunflower_get_Password
最终得出远程账密
10722xxxxxpassxxxxx
远程连接向日葵
发现360等安全进程
成功进入内网打卡
END
本文始发于微信公众号（NOVASEC）：实战案例：就是你把鬼子引进来的？
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论