秋季期中考复现xj

flow analysis 1

What is the backdoor file name that comes with the server?( Including file suffix)

服务器自带的后门文件是什么?(含文件后缀)

 题目还要求最后把那个文件名MD5一下,再去提交

开始的前三题是流量分析的,我们就用wireshark打开看看

先从http入手,就会发现d00r.php文件,但是提交之后发现不是

秋季期中考复现xj_第1张图片

然后在检索d00r.php时发现了一个名为ViewMore.php的文件

 右键追踪TCP流发现是ViewMore.php写入的d00r.php,也就是说d00r.php是后续生成的

秋季期中考复现xj_第2张图片

 

ViewMore.php

秋季期中考复现xj_第3张图片

 flow analysis 2

What is the internal IP address of the server?

服务器的内部 IP 地址是什么

这里应该用刚刚door.php进行继续渗透的

如果要判断一下的话就是

http.request.uri contains "d00r.php"

对d00r.php 进行了命令执行并执行了ifconfig

在最后一个d00r.php中的数据流发现了两个ip地址

秋季期中考复现xj_第4张图片

 在它的返回包里面就会发现是下面这一个

 192.168.101.132

 秋季期中考复现xj_第5张图片

 flow analysis 3

What is the key written by the attacker to the server?

攻击者写入服务器的密钥是什么?

 继续追踪刚刚的数据流,里面写入了一些东西

秋季期中考复现xj_第6张图片

 经过url解码之后,得到

UEsDBBQAAQAAANgDvlTRoSUSMAAAACQAAAAHAAAAa2V5LnR4dGYJZVtgRzdJtOnW1ycl/O/AJ0rmzwNXxqbCRUq2LQid0gO2yXaPBcc9baLIAwnQ71BLAQI/ABQAAQAAANgDvlTRoSUSMAAAACQAAAAHACQAAAAAAAAAIAAAAAAAAABrZXkudHh0CgAgAAAAAAABABgAOg7Zcnlz2AE6DtlyeXPYAfldXhh5c9gBUEsFBgAAAAABAAEAWQAAAFUAAAAAAA==

再经过base64解码就可以发现它是一个以PK开头的,是zip文件的文件头

看到了cat /passwd的命令,然后看他的返回包找到了密码

找到疑似密码:7e03864b0db7e6f9,解压出来就可以看到答案了

7d9ddff2-2d67-4eba-9e48-b91c26c42337

 接下来就是取证的

Forensics 1

What is the key in the disk?

磁盘中的密钥是什么

 用到内存取证工具vol

vol.py -f baby_forensics.raw --profile=Win7SP1x64 dumpfiles -Q 0x000000003df94070 -D ./

 秋季期中考复现xj_第7张图片

打开key.txt得到

E96<6J:Da6g_b_f_gd75a3d4ch4heg4bab66ad5d

rot47一下

秋季期中考复现xj_第8张图片

 2e80307085fd2b5c49c968c323ee25d5

 Forensics 2

What is the result of running a calculator on the computer?

在计算机上运行计算器的结果是什么?

vol.py -f 2023exam.raw --profile=Win7SP1x64 windows > windows

就是有点难找,这里需要耐心的找一下

秋季期中考复现xj_第9张图片

 fa507c856dc4ce409ede2f3e2ab1993d

Forensics 3

What is the flag value present in this memory file? 

此内存文件中存在的flag值是什么?

用010打开raw文件

秋季期中考复现xj_第10张图片

U2FsdGVkX195MCsw0ANs6/Vkjibq89YlmnDdY/dCNKRkixvAP6+B5ImXr2VIqBSp
94qfIcjQhDxPgr9G4u++pA== 

知道是aes加密,但是没有密钥

R-Studio翻,最后在C:/Users/admin/Music下找到个i4ak3y.dat里面存放着key

qwerasdf为key

秋季期中考复现xj_第11张图片

对于内存取证还是不太熟悉,还是要加强一下的。

你可能感兴趣的:(零知识证明,备忘录模式)