应急响应靶机练习-Web2

前景需要：

 小李在某单位驻场值守，深夜12点，甲方已经回家了，小李刚偷偷摸鱼后，发现安全设备有告警，于是立刻停掉了机器开始排查。

这是他的服务器系统，请你找出以下内容，并作为通关条件：

1.攻击者的IP地址（两个）？

2.攻击者的webshell文件名？

3.攻击者的webshell密码？

4.攻击者的伪QQ号？

5.攻击者的伪服务器IP地址？

6.攻击者的服务器端口？

7.攻击者是如何入侵的（选择题）？

8.攻击者的隐藏用户名？

账号：Administrator

密码：Zgsf@qq.com

环境：windows

在Apache的日志文件中找到攻击者的IP地址 192.168.126.135

攻击者可能在目录扫描

没有在Apache的日志文件中找到webshell上传特征

在C:\phpstudy_pro\Extensions\FTP0.9.60\Logs目录找到相关特征

下载D盾

D盾防火墙D盾防火墙

访问该文件

攻击者的webshell文件名为system.php

攻击者的webshell密码为hack6618

在克隆检测中找到攻击者的隐藏用户名 hack887$

在文档中找到qq号777888999321

在FileRecv文件中找到攻击者上传的文件

FileRecv文件夹内为接收的文件

找到攻击者的伪服务器IP地址256.256.66.88和服务器端口65536

查看windows登录日志

win+r输入eventvwr.msc回车，选择windows日志->安全

发现另一个攻击者的IP地址为192.168.126.129