应急响应靶机——Windows挖矿事件

载入虚拟机,开启虚拟机:

(账户密码:administrator/zgsf@123)

发现登录进去就弹出终端界面,自动运行powshell命令,看来存在计划任务,自动下载了一些文件,之后就主动结束退出终端界面了


先点击看看桌面的“解题.exe”:

1.攻击者开始攻击的时间

2.攻击者的ip地址

3.攻击者攻击的端口

4.挖矿程序的md5

5.后门脚本的md5

6.矿池地址(仅域名)

7.攻击者的钱包地址

8.攻击者是如何攻击进入的


根据问的问题,推测开机自启动的应该是个挖矿程序,并且一开始显示的下载压缩包的文件路径中没有了,应该是下载后解压后自动删除了,查看任务管理器,发现有个程序占用CPU率贼高,而且杀死进程又会重新启动(跟平时上课的红蜘蛛一样):

复制粘贴下来,放到奇安信沙箱跑一下:

很明显,就是个挖矿程序,md5值:6D68D914CE545056F383C47A444CEAF8


上传一些工具,查看“登录失败日志”:

2024-05-21 20:25:22 administrator DESKTOP-PESL5DR %%2313 0xc000006a NtLmSsp 0x0 - 192.168.115.131 4625

查看”事件查看器“的”Windows日志安全“选项,找到对应的事件ID4625,发现一堆Logon任务规则:

查看“登录成功日志”:

(记得点击“All rows”)

2024-05-21 20:25:22 Administrator WIN-E2Q5H2DPBGH 3 NtLmSsp DESKTOP-PESL5DR - 192.168.115.131 0 4624

得到以下信息:

攻击者开始攻击的时间:2024-05-21 20:25:22

攻击者的ip地址:192.168.115.131

攻击者是如何攻击进入的:暴力破解


一般暴力破解都是远程桌面登录,去防火墙中看看入站规则中有没有启动远程桌面服务:

得知远程桌面服务开启,且端口是3389

得知攻击者攻击的端口是3389


查看“火绒剑”的“启动项”:

是一段powshell脚本,c3pool.org看起来像是个矿池域名,让奇安信沙箱分析一下,文本内容让AI分析一下:

访问一下c3pool.org:

一眼就看到挖矿程序,输入一下所谓的钱包地址

已经可以确定就是钱包地址了

得到以下信息:

后门脚本md5值:8414900F4C896964497C2CF6552EC4B9

矿池地址(仅域名):c3pool.org

钱包地址:

4APXVhukGNiR5kqqVC7jwiVaa5jDxUgPohEtAyuRS1uyeL6K1LkkBy9SKx5W1M7gYyNneusud6A8hKjJCtVbeoFARuQTu4Y


总结一下:

1、2024-05-21 20:25:22

2、192.168.115.131

3、3389

4、6D68D914CE545056F383C47A444CEAF8

5、8414900F4C896964497C2CF6552EC4B9

6、c3pool.org

7、

4APXVhukGNiR5kqqVC7jwiVaa5jDxUgPohEtAyuRS1uyeL6K1LkkBy9SKx5W1M7gYyNneusud6A8hKjJCtVbeoFARuQTu4Y

8、暴力破解

但当我填写挖矿程序得md5值时却突然退出,我对比了一遍别人的攻略,发现我的挖矿程序得md5值不对,我又检查了一遍:

certutil -hashfile xmrig.exe MD5

那看来是”解题.exe“的锅了”,修改之后继续做下去:

A79D49F425F95E70DDF0C68C18ABC564

成功攻克该靶机!

本文来自互联网用户投稿,该文观点仅代表作者本人,不代表本站立场。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如若转载,请注明出处:http://www.rhkb.cn/news/481808.html

如若内容造成侵权/违法违规/事实不符,请联系长河编程网进行投诉反馈email:809451989@qq.com,一经查实,立即删除!

相关文章

构网型与跟网型混合直驱风电场并网稳定域研究

传统的风机变流器控制采用跟网型(grid-following,GFL)控制,需依赖于锁相环跟踪电网电压的频率/相位信息,以实现与电网的同步。随着能源电力系统的转型,电网逐渐转变为呈现低短路比(short-circuitratio,SCR&…

带外配置IP

要想了解带内,私下我 管理IP:9.101.8.20 掩码:255.0.0.0 网关:9.101.0.254 1 首先自己电脑要修改ip 192.168.70.x 段 2 在cmd 去ping 192.168.70.125 必须通 3 去浏览器 登录192.168.70.125 4 更改ip 5 再次修改电脑IP 网关 掩码 7 检测…

设计模式---建造者模式

建造者模式 一种创建型设计模式,它允许你一步一步地构建复杂对象。通过使用建造者模式,你可以将对象的构建过程与其表示分离,使得同样的构建过程可以创建不同的表示。说白点就是,解决了构造函数创建对象的问题。 适用于那种构造函…

学习笔记043——HashMap源码学习1

文章目录 1、HashMap2、Hashtable3、TreeMap4、HashMap 底层结构4.1、什么是红黑树? 1、HashMap HashMap key 是不能重复的,value 可以重复 底层结构 key-value 进行存储,key-value 存入到 Set 中,再将 Set 装载到 HashMap pack…

关于音频 DSP 的接口种类以及其应用场景介绍

在音频系统中,DSP(数字信号处理器)扮演着重要角色,通常会通过不同的接口与音频系统中的其他组件(如功放、扬声器、音频源等)进行连接。以汽车应用场景为例,以下是一些常见的接口类型分类及其介绍…

python实现自动计算排工期

一、需求说明 如果大家涉及到项目管理的话,那么一定逃不掉规划工期。由于在规划工期的时候需要考虑将法定节假日和周六日进行去除,所以许多人都会打开日历,一天一天的去计算。这样效率即慢,同时也容易出现错误,那么如…

【赵渝强老师】PostgreSQL中的模式

在PostgreSQL中,所有的数据库对象都是属于模式中的对象。这里的数据库对象包括:表、索引、视图、存储过程、触发器等等。所有数据库对象都有各自的对象标识符oid(object identifiers),它是一个无符号的四字节整数,相关…

A051-基于Spring Boot的网络海鲜市场系统的设计与实现

🙊作者简介:在校研究生,拥有计算机专业的研究生开发团队,分享技术代码帮助学生学习,独立完成自己的网站项目。 代码可以查看文章末尾⬇️联系方式获取,记得注明来意哦~🌹 赠送计算机毕业设计600…

信息与网络安全笔记2

第三章 对称密钥加密 1.流密码:信息长度与密钥相同(种子密码延伸为key) 分组密码:(confusion)扰乱(diffusion)扩散 2.作用 流密码加密 适用于无线设备或数据速率极高的系统 A5…

网络安全入门之网络安全工具分享-含初期所有工具(附百度网盘链接)

网络安全基础工具 抓包工具 burpsuite 这是一款十分经典的抓包改包工具,在全球范围内使用十分广泛,并且其内置各种插件,具有爆破,自动识别验证码,加解密发包等多种功能 专业版破解网盘链接: 通过百度网…

【AI】JetsonNano启动时报错:soctherm OC ALARM

1、问题描述 将JetsonNano烧写SD卡镜像为Ubuntu20.04后,启动时报错:soctherm OC ALARM,启动失败;然后系统一直重启 2、原因分析 “soctherm OC ALARM”是检测到系统温度超过安全阈值时发出的过热警告。 “soctherm”代表系统…

【传感器技术】第6章 压电式传感器

关注作者了解更多 我的其他CSDN专栏 过程控制系统 工程测试技术 虚拟仪器技术 可编程控制器 工业现场总线 数字图像处理 智能控制 传感器技术 嵌入式系统 复变函数与积分变换 单片机原理 线性代数 大学物理 热工与工程流体力学 数字信号处理 光电融合集成电路…

洛谷 P10491 [USACO09NOV] The Chivalrous Cow B C语言 bfs

题目: https://www.luogu.com.cn/problem/P10491?contestId217365 题目背景 农民 John 有很多牛,他想交易其中一头被 Don 称为 The Knight 的牛。这头牛有一个独一无二的超能力,在农场里像 Knight 一样地跳(就是我们熟悉的象棋…

Zabbix 模板翻译自动化教程

在企业 IT 运维管理中,Zabbix 作为一款强大的开源监控平台被广泛应用。而 Zabbix 模板作为监控配置的重要组成部分,用来定义监控项、触发器、图形等。随着国际化的需求增加,Zabbix 模板的翻译工作变得日益重要,特别是在需要为不同…

Day1 生信新手笔记

生信新手笔记 生信学习第一天笔记打卡。 转录组学中: 上游分析-基于linux,包括质控、过滤、比对、定量; 下游分析-基于R语言,包括差异分析、富集分析、可视化。 1. 级别标题 一个井号加空格 就是一级标题,两个井号加…

【QT入门到晋级】QT项目打生产环境包--(Linux和window)

前言 使用QTcreator完成正常编译后,在构建目录中有可执行程序生成,如果直接把可执行程序拷贝到干净的生产环境上是无法运行成功的,使用ldd(查看程序依赖包)会发现缺失很多QT的特性包,以及将介绍国产Linux桌…

数据结构与算法——N叉树(自学笔记)

本文参考 N 叉树 - LeetBook - 力扣(LeetCode)全球极客挚爱的技术成长平台 遍历 前序遍历:A->B->C->E->F->D->G后序遍历:B->E->F->C->G->D->A层序遍历:A->B->C->D->…

零基础Python学习

1.环境搭建 1.1 安装运行环境python3.13 Welcome to Python.org 1.2 安装集成开发环境PyCharm PyCharm: the Python IDE for data science and web development 1.3 创建项目 && 设置字体 2.基础语法 2.1 常量与表达式 在python中整数除整数不会优化,所…

不同类型转换

如果赋值运算两侧是数值型或字符型,但类型不一致时,赋值时自动进行类型的转换。 赋值转换规则:使赋值号右边表达式值自动转换成其左边变量的类型 350为int型,占4个字节,char占一个字节 350二进制: 000000…

19. C++STL 5(深入理解vector,vector的模拟实现,二维动态数组)

⭐本篇重点:vector深入理解和模拟实现 ⭐本篇代码:c学习/09.vector-2 橘子真甜/c-learning-of-yzc - 码云 - 开源中国 (gitee.com) 目录 一. 深入理解vector 二. 使用模板模拟实现vector (包含迭代器) 2.1 模拟vector类的成员…