Windows靶机应急响应（三）

靶机地址

前来挑战！应急响应靶机训练-Web3_前景需要:小苕在省护值守中,在灵机一动情况下把设备停掉了,甲方问:为什么要停设备-优快云博客

响应背景

（1）攻击者的两个IP

（2）攻击者隐藏用户名称

（3）攻击者留下的flag

响应流程总结

（1）工具查杀webshell——文件名

（2）日志分析——攻击者IP地址

（3）系统用户排查——隐藏用户名

（4）系统操作排查——计划任务

（5）网站排查——攻击者遗留信息

响应流程

启动靶机，账号密码：administrator/xj@123456（运行exe，拿到解题背景）

一、后门查杀

（1）D盾webshell查杀