打开虚拟机之后,运行解题系统:
共有三个问题!
攻击者的两个IP地址
首先我们看到机器的桌面上还是存在phpstudy,那就还是先去看看是不是从web层面进行的攻击,上传webshell从而getshell。
利用D盾尝试对phpstudy目录进行webshell查杀,发现了上面的两个文件!
这两个文件的内容是一样的,唯一的不同就是创建的时间是不同的,404文件的修改时间就是当前的时间。看一下web日志的情况。
再查看整个日志的过程中,并没有发现有访问过post-safe文件的痕迹,反而是发现192.168.75.129主机有过多次的访问404.php文件的行为。
因此这里判断可能是攻击者。追溯到攻击者第一次访问404.php的日志信息:
首先攻击者上面通过GET的方式去请求了模板的404,发现是没有这个文件的。然后继续向下看:
在向下看的时候,发现了疑似文件上传的php文件,通过这个文件上传了404.php文件。
后面便出现了不断通过POST去访问404.php的行为。因此判断第一个攻击者的IP地址为192.168.75.129;后面还通过log parser去查看了远程3389的登陆成功的记录:
发现曾经192.168.75.130主机通过hack6618这个账号远程连接过主机。因此根据下面的题目hack6618其实是一个隐藏账号,所以判断了192.168.75.130主机是第二个攻击者的IP地址。
攻击者隐藏用户名称
使用wmic useraccount查看所有的用户信息:
当然还可以通过工具直接查看:
发现了隐藏用户为hack6618
三个攻击者留下的flag
先看看隐藏用户目录下面的是不是存在什么东西:
打开看一下:
找到了一个flag:flag{888666abc}
接着在查看计划任务的时候:命令taskschd.msc发现了存在一个任务名比较奇怪的Attack@Flag,点击查看:
拿到了第二个flag!flag{zgsfsys@sec},第三个flag尝试恢复网站:
后台登录,不知道密码是什么。
网上找到了一个工具。Z-BlogPHP密码找回工具-程序发布-ZBlogger技术交流中心
上传文件到zblog的根目录下面:
尝试访问nologin.php文件,发现存在两个用户!我们通过Hacker这个用户进行登录:
点击登录之后,找了一下,发现在个人信息界面存在最后一个flag!
flag{H@Ck@sec}