[TOC]

第一届帕鲁杯

网络拓扑

image-20241127143215200

资产清单

image-20241127143228736

导入虚拟机和设置网卡请看官方给的PDF文件,下面开始做题

应急响应-1题目要求:找到JumpServer堡垒机中flag标签的值。

1
2
3
提交格式:[堡垒机中flag标签的值] BrYeaVj54009rDIZzu4O
签到题,说是要登录JumpServer堡垒机,直接拿着资产清单里的信息来登录,192.168.20.123:8080 admin/Network@2020
堡垒机的日志功能是比较重要的,一般应急响应先看看日志的内容,在日志中能看到关于攻击的信息,在文章末尾有关于堡垒机和DMZ区设备的相关知识

image-20241127144743632

应急响应-2题目要求: 提交攻击者第一次登录时间。

1
第一步先切换到审计台,看看登录日志

image-20241127145636392image-20241127150508886

1
提交格式: [2024/00/00/00:00:00]   2024/04/11 14:21:18

应急响应-3题目要求:提交攻击者源IP。

1
2
提交格式:[0.0.0.0] 192.168.1.4
这道题要查看堡垒机的会话审计里的命令记录和文件传输都可以,太明显了,很明显有一个其他网段的ip

image-20241127160439307

应急响应-4题目要求:提交攻者使用的cve编号。

1
2
提交格式:[CVE-0000-0000] CVE-2024-29201  利用方法:https://blog.csdn.net/qq_43355651/article/details/137275412
这道题看作业日志,都是test01执行的,任务类型是playbook,在网上找到一个CVE漏洞就是通过playbook进行命令执行的

image-20241127164249493image-20241127164448839

应急响应-5题目要求:提交攻击者留在Web服务器上的恶意程序的32位小写md5值。

1
2
3
4
这道题我们需要登录webserver,主办方没有提供密码,我们就自己修改,修改方式在下面先在堡垒机上
要后门的32位小写md5值的话,我们先在堡垒机上的命令日志中搜md5,我们找到这个后门文件在home目录下,上机直接在root目录下发现了这个home目录
md5sum home
提交格式:[xxxxxx] 84413332e4e7138adc5d6f1f688ddd69

image-20241127173232064image-20241127174024554

1
2
修改Linux开机密码在这里输入init=/bin/bash 然后按CTRL+x进入一个root权限的命令行,passwd root 修改密码 ,最后reboot重启机器就能用root登陆了
如果修改失败:"Authentication token manipulation error""password unchanged" mount -o remount,rw / 可读可写重新挂载文件系统。再修改一次

image-20241127170732933

应急响应-6题目要求:分析恶意程序连接地址和密码。

1
开启webserver的ssh服务systemctl start sshd  检查其状态:systemctl status sshd  我们发现这个ssh运行在222端口。下载home文件

image-20241127175255232

1
2
3
4
5
6
7
8
我们需要用脚本下载一个脚本https://github.com/extremecoders-re/pyinstxtractor
home是用Python编译的文件,可以使用反编译获取源码,基本过程如下:
1.将home转换成 PYC 文件;
2.反编译 PYC 文件。(这里也可以不用反编译,直接记事本打开就能看到ip和密码)
执行python3 ./pyinstxtractor.py home
将生成的palucomeyi1.pyc,反编译一下 需要安装一个库:pip install uncompyle
执行uncompyle6 palucomeyi1.pyc > payload.py # 不行,竟然不支持python3.10的反编译。。。
用在线网站::https://tool.lu/pyc/ 注意不开会员好像半小时只能反编译一次,成功拿到信息

image-20241127195215302image-20241127200031890image-20241127200631842image-20241127200807229image-20241127200841297

1
提交格式:[md5(地址)-md5(密码)] md5值为全小写32位长度  e695461c231aee4ed46b201efca18ff8 -7da188c2e2d83e38b7d9e75e500f1af8

应急响应-7题目要求:提交存在反序列化漏洞的端口。

1
2
提交格式:[md5(端口)] 8080
我们查看一下webserver开放的端口 netstat -anplt
image-20241127201636559
1
两个端口都是运行的docker服务,,用docker ps查看,所以是8080 # 0.0.0.0:8080代表本机的8080端口

image-20241127202805316

应急响应-8题目要求:提交攻击者使用的后门路由地址。

1
2
3
路由地址一般在app.py 文件里有
http://192.168.20.123:8080/ui/#/audit/sessions/command?search=app
提交格式:[md5(/api/xxx)] /api/system

image-20241127204245353

应急响应-9题目要求:提交dnslog反弹域名。

1
2
先查看flask/log.txt文件
提交格式:[md5(域名)] 0vqkht.palu.cn

image-20241127204402854

1
2
出题人太狗了,欺负我英语不太好,一时间没看懂
搜索ping user 'whoami'

image-20241127205208038

应急响应-10题目要求:提交第一次扫描器使用时间。

1
2
提交格式:[2024/00/00/00:00:00]  2024-04-15 02:26:59
还是通过web的日志文件,也就是上面的/flask/log.txt,这些扫描器特征但是这个字典太垃圾了,最左侧1713119开头的数字是时间戳

image-20241127205343743image-20241127205715920

应急响应-11题目要求:提交攻击者反弹shell使用的语言。

1
提交格式:[md5(c++&java)]均为小写  python

image-20241127205823426

image-20241127205957221

应急响应-12题目要求:提交攻击者反弹shell的ip。

1
提交格式:[xxx.xxx.xxx.xxx]  82.157.238.174

image-20241127205834953

应急响应-13题目要求:提交攻击者留下的账号。

1
提交格式:[xxxxx]  palu.com

image-20241127210137901

应急响应-14题目要求:提交攻击者的后门账户密码。

1
2
3
提交格式:[md5(password)]  123123
cat /etc/shadow
palu.com:$6$DQ8D3GcMdpWGs4KE$eBm2bLXdKP.NYLPp5HS7HrzNDVBVT8WSKCXhHF1Clyo4UaauojMtBg5StloDidMV9RsNhmcR3bmgltslfZuxL1:19828:0:99999:7:::

image-20241127210244386image-20241127210747469

应急响应-15题目要求:提交测试数据条数。

1
2
提交格式:[md5(xxx)]  5
这里要登录数据库服务器192.168.20.51 root mysql1234

image-20241127211603610

应急响应-16题目要求:请提交攻击者留下的信息。

1
2
提交格式:[xxxx] flag{hi_palu_f10g}
在nginx的日志中发现的有hack文件

image-20241127211755128

应急响应-17题目要求:请提交运维服务器上的恶意文件md5(小写32位md5值)。

1
2
3
4
提交格式:[xxxx]  0fca0f847a45401c878d7a5303ddc1f8  
运维服务器一个是JumpServer堡垒机一个是zabbix server监控机
仍然在堡垒机上找文件上传
果然堡垒机被上传了文件,直接点关于这个文件名的命令记录,看到有查看md5的命令,点会话就能看执行md5sum命令的全过程

image-20241127212430517image-20241127212506295image-20241127212723197

应急响应-18题目要求:提交恶意文件的恶意函数。

1
2
提交格式:[md5(恶意函数)] begingame
登录JumpServer服务器,把文件下载一下

image-20241127213553036

image-20241127214558534

应急响应-19题目要求:请提交攻击者恶意注册的恶意用户条数。

1
2
提交格式:[md5(x)] 10
这个注册是在webserver搭建的论坛-discuz,我们直接在网上搜索 discuz注册的用户在哪个表

image-20241127215616909image-20241127215931130

应急响应-20题目要求:请提交对博客系统的第一次扫描时间。

1
2
提交格式:[2024/00/00/00:00:00]  2024-04-16 21:06:01
对webserver的扫描,得用waf看

image-20241127220633786

应急响应-21题目要求:提交攻击者下载的文件。

1
2
提交格式:[xxxx.xxx] upload.zip
访问这四个站点被访问的目录,upload.zip是文件

image-20241127221518317

image-20241127221209138

应急响应-22题目要求:请提交攻击者第一次下载服务器文件的时间的时间Laopo。

1
2
提交格式:{xx/Apr/2024:xx:xx:}  27/Nov/2024:09:10:44
这个题跟上面那个题相关联,直接看apache的日志文件即可

image-20241127224231438image-20241127224413296

应急响应-23题目要求:请提交攻击者留下的冰蝎马的文件名称。

1
2
提交格式:[xxxx]  nidewen.php
在jumpserver的命令执行里找看看执行了哪些php文件

image-20241127225109424image-20241127225117227

应急响应-24题目要求:提交冰蝎的链接密码。

1
2
提交格式:[xxx]  1be873048db838ac
对应23题的key,进行解密就行

应急响应-25题目要求:提交办公区存在的恶意用户名。

1
2
提交格式:[xxx]  hacker
这个需要登录PC1,登录时有两个账号

image-20241127225748713

应急响应-26题目要求:提交恶意用户密码到期时间。

1
2
提交格式:[xxxx] 
net user hacker

image-20241127225952184

应急响应-27题目要求:请对办公区留存的镜像取证并指出内存疑似恶意进程。

1
2
提交格式:[xxxx] .hack.ex
先下载PC1的镜像文件

image-20241127230139738

1
2
3
4
https://github.com/volatilityfoundation/volatility3 下载工具,还需要pip install -r requestments.txt
确定一下操作系统python C:\Penetration\ForensicsTools\Volatility3\vol.py -f C:\Users\Anonymous\Desktop\raw.raw imageinfo
python C:\Penetration\ForensicsTools\Volatility3\vol.py -f C:\Users\Anonymous\Desktop\raw.raw windows.pslist 放入volatility3分析

image-20241128062258701

应急响应-28题目要求:请指出该员工使用的公司OA平台的密码。

1
2
提交格式:[xxxx] liuling7541
这个题是之前的原题 https://blog.csdn.net/qq_22406677/article/details/135001795

image-20241128071642806

应急响应-29题目要求:攻击者传入一个木马文件并做了权限维持,请问木马文件名是什么。

1
提交格式:[xxxx]  h4ck3d!

应急响应-30题目要求:请提交该计算机中记录的重要联系人的家庭住址。

1
提交格式:[xxxxx]  秋水省雁荡市碧波区千屿山庄1

应急响应-31题目要求:请提交近源靶机上的恶意文件哈希。

1
2
打开PC2 就会自动打开开始菜单的一个文件夹,猜测为恶意文件
提交格式:[xxx]

image-20241128072723562

应急响应-32题目要求:提交恶意程序的外联地址。

1
提交格式:[xxxxx]

image-20241128072756379

应急响应-33题目要求:提交攻击者使用内网扫描工具的哈希。

1
2
提交格式:[xxxx]  1facdcd05c43ba4d37274dffc90b6d4e  
打开堡垒机,很容易就能看到用的fscan

image-20241128072902800image-20241128073217789

应急响应-34题目要求:请提交攻击者在站点上留下的后门密码。

1
提交格式:[xxxx] 123

image-20241128073624238

应急响应-35题目要求:请提交攻击者在数据库留下的信息。

1
提交格式:[xxxx] flag{hack_palu}

image-20241128073708499

应急响应-36题目要求:提交攻击者在监控服务器上留下的dcnlog地址。

1
2
提交格式:[xxx.xx.xx]
起初我还以为要登录zabbix,但是找了好久也没找到,最后在数据库2的zabbix库下scripts表中找到了

image-20241128074126006

应急响应-37题目要求:提交监控服务器上恶意用户的上一次登录时间。

1
2
提交格式:[xx/xx/xx/xx:xx:] 2024-04-17 01:32:44
百度给出来默认账号密码是Admin/zabbix。在管理-用户下面发现有palu,我猜就是这个

image-20241128074350931

应急响应-38题目要求:提交监控服务器上遗留的反弹shell地址和端口。

1
2
提交格式:[xxxxxx]  "154.183.110.12",7890)
在脚本下发现有base64,解密一下发现是python代码

image-20241128074722106image-20241128074835102

应急响应-39题目要求:提交恶意钓鱼文件的哈希。

1
2
提交格式:[xxxx]
钓鱼文件就是PC2(被近源那个)上的比赛通知

image-20241128075512800

应急响应-40题目要求:提交恶意文件外连IP。

1
2
提交格式:[xxx]
这道题做不出来,大佬们的blog上也没有

应急响应-41题目要求:提交被恶意文件钓鱼使用者的姓名。

1
提交格式:[xxx]

image-20241128080605465

应急响应-42题目要求:提交攻击者留下的信息。

1
2
提交格式:[xxxx]
继续查看会话记录 发现在注册表中添加了字符串

image-20241128081819596

应急响应-43题目要求:提交恶意用户数量。

1
2
提交格式:[md5(xxxx)]
net user 除去汉字用户

image-20241128081125246

应急响应-44题目要求:请提交员工集体使用的密码。

1
2
提交格式:[xxxx]
现在读取一下111.txt

image-20241128081229697image-20241128081504739

应急响应-45题目要求:提交加密文件的哈希。

1
提交格式:[xxxx]

image-20241128081913058

应急响应-46题目要求:提交被攻击者加密的内容明文。

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
提交格式:[xxxx]  2024ispassword
把加密密钥放在网上搜索发现 https://www.ddosi.org/drt-aav/

代码
values = ['玛卡巴卡轰', '阿巴雅卡轰', '伊卡阿卡噢轰', '哈姆达姆阿卡嗙轰', '咿呀呦轰', '玛卡雅卡轰', '伊卡阿卡轰', '咿呀巴卡轰', '达姆阿卡嗙轰', '玛卡巴卡玛卡巴卡轰', '玛卡巴卡玛卡巴卡玛卡巴卡轰', '玛卡巴卡玛卡巴卡玛卡巴卡玛卡巴卡轰', '阿巴雅卡阿巴雅卡轰', '阿巴雅卡阿巴雅卡阿巴雅卡轰', '阿巴雅卡阿巴雅卡阿巴雅卡阿巴雅卡轰', '伊卡阿卡噢伊卡阿卡噢轰', '伊卡阿卡噢伊卡阿卡噢伊卡阿卡噢轰', '伊卡阿卡噢伊卡阿卡噢伊卡阿卡噢伊卡阿卡噢轰', '哈姆达姆阿卡嗙哈姆达姆阿卡嗙轰', '哈姆达姆阿卡嗙哈姆达姆阿卡嗙哈姆达姆阿卡嗙轰', '哈姆达姆阿卡嗙哈姆达姆阿卡嗙哈姆达姆阿卡嗙哈姆达姆阿卡嗙轰', '咿呀呦咿呀呦轰', '咿呀呦咿呀呦咿呀呦轰', '咿呀呦咿呀呦咿呀呦咿呀呦轰', '咿呀呦咿呀呦咿呀呦咿呀呦咿呀呦轰', '玛卡雅卡玛卡雅卡轰', '玛卡雅卡玛卡雅卡玛卡雅卡轰', '玛卡雅卡玛卡雅卡玛卡雅卡玛卡雅卡轰', '伊卡阿卡伊卡阿卡轰', '伊卡阿卡伊卡阿卡伊卡阿卡轰', '伊卡阿卡伊卡阿卡伊卡阿卡伊卡阿卡轰', '咿呀巴卡咿呀巴卡轰', '咿呀巴卡咿呀巴卡咿呀巴卡轰', '咿呀巴卡咿呀巴卡咿呀巴卡咿呀巴卡轰', '咿呀巴卡咿呀巴卡咿呀巴卡咿呀巴卡咿呀巴卡轰', '达姆阿卡嗙达姆阿卡嗙轰', '达姆阿卡嗙达姆阿卡嗙达姆阿卡嗙轰', '达姆阿卡嗙达姆阿卡嗙达姆阿卡嗙达姆阿卡嗙轰', '达姆阿卡嗙达姆阿卡嗙达姆阿卡嗙达姆阿卡嗙达姆阿卡嗙轰', '巴卡巴卡轰', '巴卡巴卡巴卡巴卡轰', '巴卡巴卡巴卡巴卡巴卡巴卡轰', '巴卡巴卡巴卡巴卡巴卡巴卡巴卡巴卡轰', '巴卡巴卡巴卡巴卡巴卡巴卡巴卡巴卡巴卡巴卡轰', '呀呦轰', '呀呦呀呦轰', '呀呦呀呦呀呦轰', '呀呦呀呦呀呦呀呦轰', '呀呦呀呦呀呦呀呦呀呦轰', '达姆阿卡轰', '达姆阿卡达姆阿卡轰', '达姆阿卡达姆阿卡达姆阿卡轰', '达姆阿卡达姆阿卡达姆阿卡达姆阿卡轰', '达姆阿卡达姆阿卡达姆阿卡达姆阿卡达姆阿卡轰', '玛巴轰', '玛巴玛巴轰', '玛巴玛巴玛巴轰', '玛巴玛巴玛巴玛巴轰', '巴卡玛巴轰', '巴卡玛巴巴卡玛巴轰', '巴卡玛巴巴卡玛巴巴卡玛巴轰', '巴卡玛巴巴卡玛巴巴卡玛巴巴卡玛巴轰', '妈个巴子轰', '妈个巴卡轰', '妈个巴达轰']
keys = ['a', 'b', 'c', 'd', 'e', 'f', 'g', 'h', 'i', 'j', 'k', 'l', 'm', 'n', 'o', 'p', 'q', 'r', 's', 't', 'u', 'v', 'w', 'x', 'y', 'z', 'A', 'B', 'C', 'D', 'E', 'F', 'G', 'H', 'I', 'J', 'K', 'L', 'M', 'N', 'O', 'P', 'Q', 'R', 'S', 'T', 'U', 'V', 'W', 'X', 'Y', 'Z', '0', '1', '2', '3', '4', '5', '6', '7', '8', '9', '=', '/', '+']

c = '玛卡巴卡玛卡巴卡轰达姆阿卡嗙轰阿巴雅卡阿巴雅卡阿巴雅卡轰达姆阿卡嗙轰哈姆达姆阿卡嗙哈姆达姆阿卡嗙哈姆达姆阿卡嗙轰玛卡巴卡轰达姆阿卡嗙轰阿巴雅卡阿巴雅卡轰咿呀呦轰达姆阿卡嗙轰'

c_list = []
for i in c.split('轰'):
c_list.append(i+'轰')

m = ''
for i in c_list[:-1]:
if i in values:
index = values.index(i)
m+=keys[index]
print(m)

c = '玛巴轰达姆阿卡达姆阿卡达姆阿卡达姆阿卡轰玛巴轰玛巴玛巴玛巴轰达姆阿卡嗙轰哈姆达姆阿卡嗙哈姆达姆阿卡嗙轰伊卡阿卡噢伊卡阿卡噢轰玛卡巴卡轰哈姆达姆阿卡嗙哈姆达姆阿卡嗙轰哈姆达姆阿卡嗙哈姆达姆阿卡嗙轰咿呀呦咿呀呦咿呀呦轰阿巴雅卡阿巴雅卡阿巴雅卡阿巴雅卡轰伊卡阿卡噢伊卡阿卡噢伊卡阿卡噢伊卡阿卡噢轰哈姆达姆阿卡嗙轰'

c_list = []
for i in c.split('轰'):
c_list.append(i+'轰')

m = ''
for i in c_list[:-1]:
if i in values:
index = values.index(i)
m+=keys[index]
print(m)

# flag{jinitaimei} 密码学 玛卡巴卡有什么坏心思
# 2024ispassword 该题flag


应急响应-47题目要求:请提交符合基线标准的服务器数量。

1
2
提交格式:[md5(xx)] 0
这里一共6台服务器,每一个都不符合

应急响应-48题目要求:提交办公区的恶意文件哈希。

1
2
提交格式:[xxx]
在堡垒机的文件传输发现这个文件,定位在PC2中查看md5

image-20241128082348154

image-20241128082508749

应急响应-49题目要求:提交恶意回连端口。

1
2
3
4
提交格式:[xxx] 22
这是一个python封装的exe文件 与第六题类似 将其进行解包得到pyc文件
python3 C:\Penetration\ReverseTools\python反编译\pyinstxtractor.py C:\Users\Anonymous\Desktop\palucomeyi1.exe
然后用在线网站反编译https://tool.lu/pyc/

image-20241128082940664image-20241128083112630image-20241128083213360

应急响应-50题目要求:提交恶意程序中的flag。

1
提交格式:[xxx]flag{234567uyhgn_aiduyai}

image-20241128083258093

应急响应-51题目要求:提交恶意文件中的search_for_text内容。

1
提交格式:[xxxx]  password

image-20241128083459915

应急响应-52题目要求:提交web服务器上攻击者修改后的root密码。

1
2
提交格式:[xxxx]
参考14题 登录web服务器,查看shadow。等下,坏了!打开webserver的时候把密码改了,

image-20241128083800498

1
2
思路就是把webserver的shadow文件下载出来,用john跑
[Network@20202020]

最后附题目列表

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97
98
99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
115
116
117
118
119
120
121
122
123
124
125
126
127
128
129
130
131
132
133
134
135
136
137
138
139
140
141
142
143
144
145
146
147
148
149
150
151
152
153
154
155
156
157
158
159
160
161
162
163
164
165
166
167
168
169
170
171
172
173
174
175
176
177
178
179
180
181
182
183
184
185
186
187
188
189
190
191
192
193
194
195
196
197
198
199
200
201
202
203
204
205
206
207
208
209
210
211
212
213
214
215
216
217
218
219
220
221
222
223
224
225
226
227
228
229
230
231
232
233
234
235
236
237
238
239
240
241
242
243
244
245
246
247
248
249
250
251
252
253
254
255
256
257
258
259
260
261
262
263
264
265
266
267
268
269
270
271
272
273
274
275
276
277
278
279
280
281
282
283
284
285
286
287
288
289
290
291
292
293
294
295
296
297
298
299
300
301
302
303
304
305
306
307
308
309
310
311
应急响应-1

题目要求:找到JumpServer堡垒机中flag标签的值。

提交格式:[堡垒机中flag标签的值]

应急响应-2

题目要求: 提交攻击者第一次登录时间。

提交格式: [2024/00/00/00:00:00]

应急响应-3

题目要求:提交攻击者源IP。

提交格式:[0.0.0.0]

应急响应-4

题目要求:提交攻者使用的cve编号。

提交格式:[CVE-0000-0000]

应急响应-5

题目要求:提交攻击者留在Web服务器上的恶意程序的32位小写md5值。

提交格式:[xxxxxx]

应急响应-6

题目要求:分析恶意程序连接地址和密码。

提交格式:[md5(地址)-md5(密码)] md5值为全小写32位长度

应急响应-7

题目要求:提交存在反序列化漏洞的端口。

提交格式:[md5(端口)]

应急响应-8

题目要求:提交攻击者使用的后门路由地址。

提交格式:[md5(/api/xxx)]

应急响应-9

题目要求:提交dnslog反弹域名。

提交格式:[md5(域名)]

应急响应-10

题目要求:提交第一次扫描器使用时间。

提交格式:[2024/00/00/00:00:00]

应急响应-11

题目要求:提交攻击者反弹shell使用的语言。

提交格式:[md5(c++&java)]均为小写

应急响应-12

题目要求:提交攻击者反弹shell的ip。

提交格式:[xxx.xxx.xxx.xxx]

应急响应-13

题目要求:提交攻击者留下的账号。

提交格式:[xxxxx]

应急响应-14

题目要求:提交攻击者的后门账户密码。

提交格式:[md5(password)]

应急响应-15

题目要求:提交测试数据条数。

提交格式:[md5(xxx)]

应急响应-16

题目要求:请提交攻击者留下的信息。

提交格式:[xxxx]

应急响应-17

题目要求:请提交运维服务器上的恶意文件md5(小写32位md5值)。

提交格式:[xxxx]

应急响应-18

题目要求:提交恶意文件的恶意函数。

提交格式:[md5(恶意函数)]

应急响应-19

题目要求:请提交攻击者恶意注册的恶意用户条数。

提交格式:[md5(x)]

应急响应-20

题目要求:请提交对博客系统的第一次扫描时间。

提交格式:[2024/00/00/00:00:00]

应急响应-21

题目要求:提交攻击者下载的文件。

提交格式:[xxxx.xxx]

应急响应-22

题目要求:请提交攻击者第一次下载的时间Laopo。

提交格式:{xx/Apr/2024:xx:xx:}

应急响应-23

题目要求:请提交攻击者留下的冰蝎马的文件名称。

提交格式:[xxxx]

应急响应-24

题目要求:提交冰蝎的链接密码。

提交格式:[xxx]

应急响应-25

题目要求:提交办公区存在的恶意用户名。

提交格式:[xxx]

应急响应-26

题目要求:提交恶意用户密码到期时间。

提交格式:[xxxx]

应急响应-27

题目要求:请对办公区留存的镜像取证并指出内存疑似恶意进程。

提交格式:[xxxx]

应急响应-28

题目要求:请指出该员工使用的公司OA平台的密码。

提交格式:[xxxx]

应急响应-29

题目要求:攻击者传入一个木马文件并做了权限维持,请问木马文件名是什么。

提交格式:[xxxx]

应急响应-30

题目要求:请提交该计算机中记录的重要联系人的家庭住址。

提交格式:[xxxxx]

应急响应-31

题目要求:请提交近源靶机上的恶意文件哈希。

提交格式:[xxx]

应急响应-32

题目要求:提交恶意程序的外联地址。

提交格式:[xxxxx]

应急响应-33

题目要求:提交攻击者使用内网扫描工具的哈希。

提交格式:[xxxx]

应急响应-34

题目要求:请提交攻击者在站点上留下的后门密码。

提交格式:[xxxx]

应急响应-35

题目要求:请提交攻击者在数据库留下的信息。

提交格式:[xxxx]

应急响应-36

题目要求:提交攻击者在监控服务器上留下的dcnlog地址。

提交格式:[xxx.xx.xx]

应急响应-37

题目要求:提交监控服务器上恶意用户的上一次登录时间。

提交格式:[xx/xx/xx/xx:xx:]

应急响应-38

题目要求:提交监控服务器上遗留的反弹shell地址和端口。

提交格式:[xxxxxx]

应急响应-39

题目要求:提交恶意钓鱼文件的哈希。

提交格式:[xxxx]

应急响应-40

题目要求:提交恶意文件外连IP。

提交格式:[xxx]

应急响应-41

题目要求:提交被恶意文件钓鱼使用者的姓名。

提交格式:[xxx]

应急响应-42

题目要求:提交攻击者留下的信息。

提交格式:[xxxx]

应急响应-43

题目要求:提交恶意用户数量。

提交格式:[md5(xxxx)]

应急响应-44

题目要求:请提交员工集体使用的密码。

提交格式:[xxxx]

应急响应-45

题目要求:提交加密文件的哈希。

提交格式:[xxxx]

应急响应-46

题目要求:提交被攻击者加密的内容明文。

提交格式:[xxxx]

应急响应-47

题目要求:请提交符合基线标准的服务器数量。

提交格式:[md5(xx)]

应急响应-48

题目要求:提交办公区的恶意文件哈希。

提交格式:[xxx]

应急响应-49

题目要求:提交恶意回连端口。

提交格式:[xxx]

应急响应-50

题目要求:提交恶意程序中的flag。

提交格式:[xxx]

应急响应-51

题目要求:提交恶意文件中的search_for_text内容。

提交格式:[xxxx]

应急响应-52

题目要求:提交web服务器上攻击者修改后的root密码。

提交格式:[xxxx]

堡垒机和DMZ

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
一、堡垒机(Bastion Host)
1.1 堡垒机介绍
堡垒机是一种【网络安全设备】 ,一种安全服务器,用于加强网络安全的服务器。
堡垒机是指在网络中放置的一个独立的安全设备,用于加固网络的安全性。
1.2 堡垒机所处位置
堡垒机通常位于内部网络和外部网络之间,充当访问内部网络的唯一入口(内部网络的入口点),起到隔离和保护内部网络的作用。
1.3 堡垒机常见功能列表
堡垒机主要用于加固内部网络的安全性
堡垒机主要用于控制和管理外部用户对内部网络的访问权限,提供安全的远程管理通道。
堡垒机可以提供远程访问和管理内部服务器的安全通道,减少攻击面和安全风险。
堡垒机通过严格的访问控制和身份验证机制,限制外部用户对内部网络的访问权限。
堡垒机通常具有审计和日志记录功能,以便对访问行为进行监控和审计。
堡垒机具有严格控制入口和出口流量的功能,只允许经过授权的用户或服务通过,并提供安全审计和日志记录功能。
1.4 堡垒机的关键字
身份验证,授权访问
日志监控与审计
远程访问,安全通道
二、防火墙(Firewall):
2.1 防火墙介绍
防火墙是一种【网络安全设备】,用于监控和控制数据包在网络中的流动。
防火墙是一种用于保护网络免受未经授权的访问和恶意攻击的网络安全设备或软件。
2.2 防火墙所处位置
防火墙是网络安全的第一道防线,常用于防范网络攻击、恶意软件和网络威胁。
防火墙位于网络边界,通过过滤和监控网络流量,控制网络通信的访问权限。
防火墙可以配置在边界路由器上,限制内部网络和外部网络之间的通信。
2.3 防火墙常见功能列表
防火墙主要用于监控和控制数据包在网络中的流动,以保护内部网络免受未经授权的访问和恶意攻击。
防火墙可以进行包过滤、端口过滤、IP地址过滤、应用程序过滤等操作,根据特定的规则来允许或阻止数据包的传输。防火墙基于预先定义的规则集(根据预设的规则),对通过网络的数据包或具有潜在威胁的网络流量进行筛选和阻止进入,或离开网络,以保护内部网络免受未经授权的访问和恶意攻击。
防火墙还可以提供网络地址转换(NAT)功能,将内部网络的私有IP地址转化为公网IP地址,提供一定的网络隔离。
三、DMZ(Demilitarized Zone)
3.1 DMZ介绍
DMZ不是【网络安全设备】
DMZ意为非军事化区,是一种位于网络边界的区域
DMZ是一个隔离的网络子网(网络区域),通常包含了承载公网服务的服务器(对外提供服务的服务器),例如Web服务器、邮件服务器等。
3.2 DMZ所处位置
DMZ是一种网络区域,位于内部网络和外部网络之间。
DMZ中的服务器与内部网络和外部网络分别处于不同的安全区域,通过防火墙做访问控制,可以增加网络的安全性。
3.3 DMZ常见功能列表
DMZ用于隔离内部网络和外部网络之间的安全风险。
DMZ用于承载公网服务的服务器
DMZ可以提供一定的网络隔离功能,限制外部网络对内部网络的直接访问。
DMZ中的服务器可以设置访问控制策略和防火墙规则,以保护内部网络。