2024-04-14

应急响应靶场练习

windows应急 1

背景:

小李在值守的过程中，发现有CPU占用飙升，出于胆子小，就立刻将服务器关机，并找来正在吃苕皮的hxd帮他分析，这是他的服务器系统，请你找出以下内容，并作为通关条件

1.攻击者的shell密码
2.攻击者的IP地址
3.攻击者的隐藏账户名称
4.攻击者挖矿程序的矿池域名(仅域名)
5.有实力的可以尝试着修复漏洞

信息搜集

进去有点卡顿查看一下CPU占用率resmon(cmd)
title
cpu占用率100% 怀疑有挖矿病毒
但是过一会后发现CPU占用率降下来了(emmm可能题目环境有问题)

不管了先对主机进行信息搜集一波

检查进程

查一下主机开的端口和外联的进程

emm,没有找的可疑的进程(猜测是题目环境原因)
唯一得到的信息是本机开放了80 135(RPC) 445(smb)端口 3306(mysql) (查进程应该是最好搜集信息的)

查自启动项和计划任务

title
title
没什么问题

检查最近打开文件

利用LastActivityView工具
title
发现恶意程序kuang.exe和隐藏用户hack$
上传kuang.exe到云沙箱
title
靶场原因不外联
title
title
通过pyd后缀和打包工具确定是python做的免杀

检查web服务

查看web日志

发现黑客的IP 192.168.126.1(内网横向)和shell文件位置时间在2.26

大量的请求猜测是暴力破解攻击
然后D盾查杀网站根目录
备份分析，删除shell.php

冰蝎的标配php后门连接密码rebeyond

检查其他服务的日志

用windows1check一键分析

远程桌面日志

检查注册表

检查隐藏账户(D盾)

发现隐藏账户hack168$ 用D盾删除即可
检查映像挂载(Autoruns)

没有映像挂载

检查hosts

C:\Windows\System32\drivers\etc\hosts

title
hosts没有被修改

梳理思路

虽然没有挖矿进程但是通过web日志和时间进行分析
可以得到挖矿程序被创建的时间然后通过everything搜索
title
可以确定Kuang.exe是挖矿程序

红队攻击思路猜测:
暴破弱口令进入后台->上传webshell命令执行->提权->挖矿

挖矿程序分析

直接用pyinstxtractor 反编译
title
然后把pyc文件拖到pyc在线反编译平台得到源码

Kuang.pyc

#!/usr/bin/env python
# visit https://tool.lu/pyc/ for more information
# Version: Python 3.8

import multiprocessing
import requests

def cpu_intensive_task():
    
    try:
        requests.get('http://wakuang.zhigongshanfang.top', 10, **('timeout',))
    finally:
        continue
        continue

    continue

if __name__ == '__main__':
    cpu_count = multiprocessing.cpu_count()
    processes = (lambda .0: [ multiprocessing.Process(cpu_intensive_task, **('target',)) for _ in .0 ])(range(cpu_count))
    for process in processes:
        process.start()
    for process in processes:
        process.join()