应急响应靶场练习-web3

用户：administrator

密码：xj@123456

环境：windows

题目：

\1. 攻击者的两个IP地址

\2. 隐藏用户名称

\3. 黑客遗留下的flag【3个】

在计算机管理中找到隐藏用户

修改密码，并登录hack6618$用户

在计划任务中找到一个名为flag的任务

找到第一个flag flag{zgsfsys@sec}

在该任务的操作中看到在启动system.bat程序

发现flag, system.bat一运行就会生成404.php,内容为一句话木马，黑客应该是在上传木马读取系统文件

打开Apache日志文件 找到内容最大的那个

可以看到处了本机之外还有两个ip地址，怀疑是攻击者的两个IP地址

可以看到在登录用户，但响应值为500说明该用户名错误，攻击者可能在爆破

发现用户名为admin

打开该网站

使用admin登录，发现登录失败

直接访问发现没有权限

在Z-Blog官网找到密码找到免密登录的工具

下载地址：https://update.zblogcn.com/tools/nologin.zip

解压到phpstudy_pro的www文件夹中

并且访问nologin.php

直接重置密码

重置密码后直接登录

账号：admin

密码：12345678

在用户管理中，看到hacker用户并且查看编辑

发现第3个flag

\1. 攻击者的两个IP地址

192.168.75.129

192.168.75.130

\2. 隐藏用户名称

hack6618$

\2. 黑客遗留下的flag【3个】

flag{zgsfsys@sec}

flag{888666abc}

flag{H@Ck@sec}