Skip to content

Commit 0908a15

Browse files
Randark-JMTRandark-JMT
committed
update
1 parent 13abc7f commit 0908a15

13 files changed

+266
-0
lines changed

‎docs/Xuanji/Unit-4/89.md‎

Lines changed: 266 additions & 0 deletions
Original file line numberDiff line numberDiff line change
@@ -0,0 +1,266 @@
1+
# 第四章 - windows 日志分析
2+
3+
## 1
4+
5+
> 审计桌面的 logs 日志，定位所有扫描 IP，并提交扫描次数
6+
7+
桌面上的 `logs` 文件夹快捷方式，其实际指向 `C:\phpstudy_pro\Extensions\Nginx1.15.11\logs`
8+
9+
将 `logs` 文件夹传回本地，对其中的 `Nginx` 日志进行分析
10+
11+
根据畸形请求包
12+
13+
![img](img/image_20241214-211405.png)
14+
15+
可以确定 `192.168.150.33` 这个 ip 属于扫描器
16+
17+
根据非常见 User-Agent，以及常见扫描请求路径
18+
19+
![img](img/image_20241215-211531.png)
20+
21+
可以确定 `192.168.150.67` 这个 ip 也属于扫描器
22+
23+
对 `access.log` 文件中的访问次数进行统计
24+
25+
```shell
26+
┌──(randark ㉿ kali)-[~/tmp]
27+
└─$ cat access.log | awk '{print $1}' | sort -n | uniq -c
28+
169 127.0.0.1
29+
524 192.168.150.1
30+
54 192.168.150.33
31+
1 192.168.150.60
32+
6331 192.168.150.67
33+
```
34+
35+
对 `192.168.150.33` 和 `192.168.150.67` 两个 ip 的访问次数进行统计，即可得到结果
36+
37+
```flag
38+
flag{6385}
39+
```
40+
41+
## 2
42+
43+
> 审计相关日志，提交 rdp 被爆破失败次数
44+
45+
服务器上已经提供了一份 `FullEventLogView` 工具，可以直接使用
46+
47+
![img](img/image_20241221-212143.png)
48+
49+
根据登陆失败的日志
50+
51+
![img](img/image_20241226-212610.png)
52+
53+
确认事件 id 为 `4625` 之后，筛选事件 id 为 `4625` 的事件
54+
55+
![img](img/image_20241228-212815.png)
56+
57+
即可得到登陆失败的事件数量，即可得到答案
58+
59+
```flag
60+
flag{2594}
61+
```
62+
63+
## 3
64+
65+
> 审计相关日志，提交成功登录 rdp 的远程 IP 地址，多个以 & 连接, 以从小到大顺序排序提交
66+
67+
确定登陆成功的事件 id 为 `4624` 之后，筛选事件得到
68+
69+
![img](img/image_20241231-213125.png)
70+
71+
将得到的结果导出为 txt 数据文件，导出到本地进行分析
72+
73+
```python
74+
with open("./a.txt", "r", encoding="utf-16-le") as f:
75+
log_data = f.read().split("\n")
76+
77+
78+
log_data_ip = [i.strip().replace("源网络地址:\t", "") for i in log_data if" 源网络地址 " in i]
79+
80+
log_data_ip = [i for i in log_data_ip if i != "-" and i != "127.0.0.1"]
81+
82+
log_data_ip_uniq = []
83+
84+
for i in log_data_ip:
85+
if i not in log_data_ip_uniq:
86+
log_data_ip_uniq.append(i)
87+
88+
log_data_ip_uniq.sort()
89+
90+
print(log_data_ip_uniq)
91+
```
92+
93+
排除掉本次 RDP 连接 ip 地址之后，得到以下结果
94+
95+
```plaintext
96+
['192.168.150.1', '192.168.150.128', '192.168.150.178', '192.168.150.33']
97+
```
98+
99+
还需要排除掉 `192.168.150.33` 这个 ip 地址
100+
101+
![img](img/image_20241247-214723.png)
102+
103+
即可得到答案
104+
105+
```plaintext
106+
flag{192.168.150.1&192.168.150.128&192.168.150.178}
107+
```
108+
109+
## 4
110+
111+
> 提交黑客创建的隐藏账号
112+
113+
使用 `net user` 进行查看
114+
115+
![img](img/image_20241248-214850.png)
116+
117+
并没有发现额外账户，那么可以联想到常见的账户隐藏方式，比如添加 `$` 伪造为服务用户
118+
119+
在用户目录和控制面板中，也未能发现隐藏账户
120+
121+
![img](img/image_20241252-215213.png)
122+
123+
在 `lusrmgr.msc` 中可以查询到所有用户，包括隐藏账户
124+
125+
![img](img/image_20241252-215257.png)
126+
127+
即可得到答案
128+
129+
```flag
130+
flag{hacker$}
131+
```
132+
133+
## 5
134+
135+
> 提交黑客创建的影子账号
136+
137+
影子账户理论上在 `lusrmgr.msc` 中也是隐藏的，但是在注册表中还是会有记录
138+
139+
```plaintext
140+
HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\Names
141+
```
142+
143+
![img](img/image_20241255-215546.png)
144+
145+
```flag
146+
flag{hackers$}
147+
```
148+
149+
## 6
150+
151+
> 提交远程 shell 程序的连接 IP + 端口，以 IP:port 方式提交
152+
153+
:::info
154+
155+
做到这里的时候，建议重启一下远程服务器
156+
157+
在 cmd 中执行 `shutdown /r` 即可
158+
159+
:::
160+
161+
执行`netstat -ano`查看结果
162+
163+
```shell
164+
165+
活动连接
166+
167+
协议 本地地址 外部地址 状态 PID
168+
TCP 0.0.0.0:135 0.0.0.0:0 LISTENING 860
169+
TCP 0.0.0.0:445 0.0.0.0:0 LISTENING 4
170+
TCP 0.0.0.0:3306 0.0.0.0:0 LISTENING 1596
171+
TCP 0.0.0.0:3389 0.0.0.0:0 LISTENING 1152
172+
TCP 0.0.0.0:5357 0.0.0.0:0 LISTENING 4
173+
TCP 0.0.0.0:8088 0.0.0.0:0 LISTENING 1920
174+
TCP 0.0.0.0:8088 0.0.0.0:0 LISTENING 1972
175+
TCP 0.0.0.0:8088 0.0.0.0:0 LISTENING 1772
176+
TCP 0.0.0.0:8088 0.0.0.0:0 LISTENING 1872
177+
TCP 0.0.0.0:49152 0.0.0.0:0 LISTENING 580
178+
TCP 0.0.0.0:49153 0.0.0.0:0 LISTENING 912
179+
TCP 0.0.0.0:49154 0.0.0.0:0 LISTENING 448
180+
TCP 0.0.0.0:49164 0.0.0.0:0 LISTENING 672
181+
TCP 0.0.0.0:49165 0.0.0.0:0 LISTENING 2436
182+
TCP 0.0.0.0:49167 0.0.0.0:0 LISTENING 680
183+
TCP 10.0.10.6:139 0.0.0.0:0 LISTENING 4
184+
TCP 10.0.10.6:3389 218.106.157.104:50468 ESTABLISHED 1152
185+
TCP 10.0.10.6:49172 23.49.60.111:80 SYN_SENT 1152
186+
TCP 10.0.10.6:49173 23.49.60.96:80 SYN_SENT 2076
187+
TCP 10.0.10.6:49174 185.117.118.21:4444 SYN_SENT 2976
188+
TCP 10.0.10.6:49177 23.49.60.96:80 SYN_SENT 2076
189+
TCP 127.0.0.1:9000 0.0.0.0:0 LISTENING 1612
190+
TCP 127.0.0.1:9002 0.0.0.0:0 LISTENING 1628
191+
TCP 127.0.0.1:9004 0.0.0.0:0 LISTENING 1636
192+
TCP [::]:135 [::]:0 LISTENING 860
193+
TCP [::]:445 [::]:0 LISTENING 4
194+
TCP [::]:3306 [::]:0 LISTENING 1596
195+
TCP [::]:3389 [::]:0 LISTENING 1152
196+
TCP [::]:5357 [::]:0 LISTENING 4
197+
TCP [::]:49152 [::]:0 LISTENING 580
198+
TCP [::]:49153 [::]:0 LISTENING 912
199+
TCP [::]:49154 [::]:0 LISTENING 448
200+
TCP [::]:49164 [::]:0 LISTENING 672
201+
TCP [::]:49165 [::]:0 LISTENING 2436
202+
TCP [::]:49167 [::]:0 LISTENING 680
203+
UDP 0.0.0.0:500 *:* 448
204+
UDP 0.0.0.0:3702 *:* 1488
205+
UDP 0.0.0.0:3702 *:* 1488
206+
UDP 0.0.0.0:4500 *:* 448
207+
UDP 0.0.0.0:5355 *:* 1152
208+
UDP 0.0.0.0:65288 *:* 1488
209+
UDP 10.0.10.6:137 *:* 4
210+
UDP 10.0.10.6:138 *:* 4
211+
UDP [::]:500 *:* 448
212+
UDP [::]:3702 *:* 1488
213+
UDP [::]:3702 *:* 1488
214+
UDP [::]:4500 *:* 448
215+
UDP [::]:5355 *:* 1152
216+
UDP [::]:65289 *:* 1488
217+
UDP [fe80::ed19:384:ef72:64a8%14]:546 *:* 912
218+
```
219+
220+
对外连进行排查，即可定位到
221+
222+
```plaintext
223+
TCP 10.0.10.6:49174 185.117.118.21:4444 SYN_SENT 2976
224+
```
225+
226+
即可得到答案
227+
228+
```plaintext
229+
flag{185.117.118.21:4444}
230+
```
231+
232+
## 7
233+
234+
> 黑客植入了一个远程 shell，审计相关进程和自启动项提交该程序名字
235+
236+
对上文得到的结果进行排查
237+
238+
```shell
239+
> tasklist | findstr "2976"
240+
xiaowei.exe 2976 RDP-Tcp#0 2 2,684 K
241+
242+
> wmic process get name,executablepath,processid | findstr 2976
243+
C:\Windows\system64\systemWo\xiaowei.exe xiaowei.exe 2976
244+
```
245+
246+
即可得到答案
247+
248+
```flag
249+
flag{xiaowei.exe}
250+
```
251+
252+
## 8
253+
254+
> 黑客使用了计划任务来定时执行某 shell 程序，提交此程序名字
255+
256+
对计划任务库进行排查
257+
258+
![img](img/image_20241208-220849.png)
259+
260+
其启动程序为`C:\Windows\zh-CN\download.bat`
261+
262+
即可确定答案
263+
264+
```flag
265+
flag{download.bat}
266+
```

‎docs/Xuanji/Unit-4/img/image_20241208-220849.png‎

109 KB
Loading

‎docs/Xuanji/Unit-4/img/image_20241214-211405.png‎

1.2 MB
Loading

‎docs/Xuanji/Unit-4/img/image_20241215-211531.png‎

1.22 MB
Loading

‎docs/Xuanji/Unit-4/img/image_20241221-212143.png‎

112 KB
Loading

‎docs/Xuanji/Unit-4/img/image_20241226-212610.png‎

143 KB
Loading

‎docs/Xuanji/Unit-4/img/image_20241228-212815.png‎

174 KB
Loading

‎docs/Xuanji/Unit-4/img/image_20241231-213125.png‎

189 KB
Loading

‎docs/Xuanji/Unit-4/img/image_20241247-214723.png‎

78.9 KB
Loading

‎docs/Xuanji/Unit-4/img/image_20241248-214850.png‎

12.7 KB
Loading

0 commit comments

Comments
 (0)