应急响应实战—是谁修改了我的密码？网络安全零基础入门到精通教程建议收藏！

最新推荐文章于 2025-05-08 12:05:19 发布

认真写程序的强哥

最新推荐文章于 2025-05-08 12:05:19 发布

阅读量510

点赞数 13

CC 4.0 BY-SA版权

文章标签： web安全计算机网络安全黑客技术应急响应渗透测试干货分享

本文链接：https://blog.youkuaiyun.com/qq_41314882/article/details/146436794

前言：此次应急响应为真实案例，客户反馈无法通过密码登录服务器，疑似服务器被入侵

1、如何找回密码？

客户服务器为windows server2019，运维平台为PVE平台；实际上无论是windows系统或者是linux系统，只要磁盘没有加密的情况，都可以通过挂载live盘的模式加载外部系统对密码进行修改；linux修改密码只需要替换掉/etc/shadow 即可覆盖密码；而windows系统则更简单，只需要使用类似大白菜之类的系统工具即可清空系统密码，当然了，没人敢上去就在客户那瞎搞，所以首先当然是把镜像导出来，而pve导出系统镜像为qcow2格式，这个格式是没办法直接在vmare上直接操练的，所以需要借助工具转化一下

qemu-img convert -f qcow2 windows_server_2019.qcow2 -O vmdk windows_server_2019.vmdk

导出后，即可在vmare产品创建一个windows的虚拟机空壳，然后将vmdk磁盘挂载即可，具体过程请大家自行百度，此处不赘述

我给大家准备了一份全套的《网络安全入门+进阶学习资源包》包含各种常用工具和黑客技术电子书以及视频教程，需要的小伙伴可以扫描下方二维码或链接免费领取~

下图为挂载后正常开机的效果

在这里插入图片描述

解锁后确实是无法进入系统的，但是随便点了几下shift后，笔者发现了个有趣的东西

在这里插入图片描述

一个疑似shift后门的东西出来了，还是魔改带密码的shift后门，这就不着急改密码了，笔者本来想直接利用FTK进行磁盘挂载，然后将注册表取出来看一下注册表，结果，邪门的事发生了，就是挂载的注册表里竟然没有sethc.exe的键值…

在这里插入图片描述

这会不想重置密码都不行了，因为找不到注册表的话就不知道他的密码写在什么位置了

此处借用老白菜的live镜像去挂载系统，这样启动的话直接就可以进老白菜系统，不需要去调bios

在这里插入图片描述

但是需要设置一下打开电源进入固件

在这里插入图片描述

系统重启后，会自动进入老白菜工具面板，使用密码管理工具，将administrator ，这个时候发现了一个mysql用户，经过与客户沟通，该用户确定并非客户创建

在这里插入图片描述

2、shift后门在哪里？

置空administrator后，直接可以无密码进入系统了，这个时候再看一下注册表，发现注册表里又有sethc.exe键值了…
在这里插入图片描述

根据路径，发现了有意思的东西

在这里插入图片描述

从这个注册表劫持文件，可以看出来，该工具加载mysql.bat的文件，用户名当然不是文件里的admin，而是文件名字“mysql”，但是密码是里面的password字段

在这里插入图片描述

尝试使用一下他的后门

在这里插入图片描述

权限还是system权限，太厉害了集霸们

在这里插入图片描述

3、mysql用户里有什么？

利用得到的密码登录mysql用户

在这里插入图片描述

好好好，好活当赏，这是要挖矿啊

4、集霸是通过什么漏洞入侵服务器的

返回到administrator用户，开始翻日志，但是在翻日志之前，看了一眼开放的端口、正在运行的服务和系统资源的占用，发现系统开放了445/3389端口，没有奇怪的外连进程，没有挖矿进程，资源也没有出现波动

在这里插入图片描述

啥也没有，但是看端口猜测是暴力破解，server2019也没听说有溢出漏洞(最新的那个RDP溢出暂时不考虑在内，因为这个应急是在演练之前的，嘻嘻嘻)

通过查看系统安全日志，发现在计算机出现异常当天的登录失败日志(id为4625)高达两万五千次

在这里插入图片描述

继续筛查4624登录成功日志，发现时间节点 7:27:23 PM ，administrator用户从网络登录到本机(疑似使用SMB网络共享)，猜测爆破密码成功

在这里插入图片描述

5、集霸是什么时候创建的mysql用户？

筛选4720 日志，该日志为创建用户日志
时间 7:28:42 PM ，攻击者使用Administrator创建用户mysql 用户
在这里插入图片描述

通过筛选计算机系统安全日志4724/4738发现，在7:28:42 PM 时间节点，攻击者使用administrator用户修改了mysql用户的密码
在这里插入图片描述

而后在 7:37:30 PM 发现mysql用户使用远程桌面方式登录桌面(rdp)

在这里插入图片描述

筛选4738系统安全日志，发现 7:43:45 PM时间节点，确认administrator密码被篡改，因此发生无法登录的情况

在这里插入图片描述

6、集霸是什么时候将挖矿工具部署在服务器里的？

查看system日志，7:35:30 PM系统安装了一个可疑服务WinRing0_1_2_0，安装服务文件名为WinRing0x64.sys。通过日志可以得知，挖矿软件位于C:\Users\administrator\Desktop\xmrig-6.21.3下

查看system日志，7:41:24 PM系统安装了一个可疑服务WinRing0_1_2_0，安装服务文件名为WinRing0x64.sys。通过日志可以得知，挖矿软件位于C:\Users\mysql\Desktop\xmrig-6.21.3下

在这里插入图片描述

接下来查看application应用日志，发现在5/26/2024 7.36.01 PM运行了xmrig程序，同时该程序由于报错而并未成功运行（windows error reporting），报错表明发生了内存泄漏或资源耗尽预警（type 5，RADAR_PRE_LEAK_64）；

在这里插入图片描述

但是只看到了对应在administrator桌面运行挖矿软件的时间，没有看到mysql对应的运行日志，似乎部署之后就没再管了，当然了，administrator的挖矿软件也已经被删除掉了

事已至此，基本也就确定了，攻击者通过暴力破解登录系统，创建mysql用户，部署shift后门并修改注册表劫持粘连键（并非常规的替换setch.exe设置后门）

在这里插入图片描述

最后部署挖矿软件，在挖矿软件启动失败后，直接把administrator密码给替换掉了

后续就是帮客户把密码改了，因为拿到了mysql用户的密码，所以直接用粘连键后门就把密码重置了，而后大家懂的都懂

网络安全学习资源分享:

给大家分享一份全套的网络安全学习资料，给那些想学习网络安全的小伙伴们一点帮助！

对于从来没有接触过网络安全的同学，我们帮你准备了详细的学习成长路线图。可以说是最科学最系统的学习路线，大家跟着这个大的方向学习准没问题。

因篇幅有限，仅展示部分资料，朋友们如果有需要全套《网络安全入门+进阶学习资源包》，请看下方扫描即可前往获取

👉1.成长路线图&学习规划👈

要学习一门新的技术，作为新手一定要先学习成长路线图，方向不对，努力白费。

对于从来没有接触过网络安全的同学，我们帮你准备了详细的学习成长路线图&学习规划。可以说是最科学最系统的学习路线，大家跟着这个大的方向学习准没问题。

在这里插入图片描述

👉2.网安入门到进阶视频教程👈

很多朋友都不喜欢晦涩的文字，我也为大家准备了视频教程，其中一共有21个章节，每个章节都是当前板块的精华浓缩。（全套教程扫描领取哈）
在这里插入图片描述

👉3.SRC&黑客文档👈

大家最喜欢也是最关心的SRC技术文籍&黑客技术也有收录

SRC技术文籍：
在这里插入图片描述
黑客资料由于是敏感资源，这里不能直接展示哦！ （全套教程扫描领取哈）

👉4.护网行动资料👈

其中关于HW护网行动，也准备了对应的资料，这些内容可相当于比赛的金手指！
在这里插入图片描述

👉5.黑客必读书单👈

在这里插入图片描述

👉6.网络安全岗面试题合集👈

当你自学到这里，你就要开始思考找工作的事情了，而工作绕不开的就是真题和面试题。
在这里插入图片描述

所有资料共282G，朋友们如果有需要全套《网络安全入门+进阶学习资源包》，可以扫描下方二维码或链接免费领取~