玄机第六章 流量特征分析-蚂蚁爱上树

第六章 流量特征分析-蚂蚁爱上树

简介

@老狼
应急响应小组成员老狼在 waf 上下载了一段流量，请你分析黑客攻击手法，并且解答下面问题
1. 管理员Admin账号的密码是什么？
2. LSASS.exe的程序进程ID是多少？
3. 用户WIN101的密码是什么?

1. 管理员Admin账号的密码是什么？

筛选POST请求，http.request.method==“POST”

点击Info，会根据字母顺序和流量包的相似性进行排序

大致看一下，可以发现/onlineshop/product2.php上传了蚁剑木马

由于蚁剑webshell会有几个随机参数，参数值的前两个字符也是随机的，第三个字符开始以后的字符串是由base64编码而来的

所以接下来对每个这个路由的随机参数的第三个字符及以后的值进行base64解码后再查看是否有关于admin密码的命令

net user admin Password1 /add 这条命令是在添加(add)一个名为admin，密码为Password1的用户

所以flag为

flag{Password1}

2. LSASS.exe的程序进程ID是多少？

这里先了解一下LSASS.exe是什么？

rundll32.exe 是一个 Windows 系统进程，允许用户调用 Windows DLL 文件中的函数。这通常用于执行系统功能或脚本任务。rundll32.exe 被用来调用 comsvcs.dll 中的 MiniDump 函数，生成一个包含系统账户和密码信息的 lsass.dmp 文件。

LSASS.exe 是 Windows 操作系统中负责管理本地安全策略、用户认证和访问控制的关键系统进程。由于其在系统安全中的重要性，LSASS.exe 常常成为攻击者的目标。通过适当的监控、访问控制和安全工具，管理员可以有效地检测和防止对 LSASS 进程的恶意攻击。

看到进程ID可以想起上一题逐个对随机参数值解码时得到的一个结果

cd /d "C:\\phpStudy\\PHPTutorial\\WWW\\onlineshop"&rundll32.exe comsvcs.dll, MiniDump 852 C:\Temp\OnlineShopBackup.zip full&echo [S]&cd&echo [E]

rundll32.exe comsvcs.dll, MiniDump 852 C:\Temp\OnlineShopBackup.zip

这段命令的作用就是利用系统自带的rundll32.exe来调用comsvcs.dll中的MiniDump函数将进程为852的内存转储文件存到C:\Temp\OnlineShopBackup.zip中

所以这里转储的进程就是852

flag{852}

3. 用户WIN101的密码是什么?

上题的内存转储文件中包含着很多敏感信息，比如凭据或者其他机器数据

rundll32.exe comsvcs.dll, MiniDump 852 C:\Temp\OnlineShopBackup.zip

这个命令会生成包含lsass进程的内存转储文件，通常命名为lsass.dmp

这里的思路是将文件提取出来，放进010中稍微修改一下头部成dmp文件，然后用工具mimikatz提取里面的敏感信息，mimikatz的作用就是从内存中提取明文密码、哈希、PIN 码和 Kerberos 票证

小型转储文件头部（Minidump）；

00000000: 4D 44 4D 50 93 A7 00 00 00 00 00 00 00 00 00 00 MDMP…
00000010: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 …
00000020: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 …

很显然是上一题的OnlineShopBackup.zip文件，关键是提取这个内存转储文件呢？

找了一圈没看到下载zip的数据包，想了想/product2.php是上传webshell的路径，下载zip文件也是通过/product2.php来下载的，所以猜测是product2.php文件

导出http对象，筛选后发现有很多个product2.php，至于是哪个呢？

这里需要了解一下dmp文件的特点

dmp文件特点；

转储文件（dump file）的大小可以变化很大，取决于生成的转储文件类型以及系统的配置。转储文件主要有两种类型：小型转储文件（minidump）和完整内存转储文件（full dump）。这两种文件在大小和包含的信息上有很大的不同。

小型转储文件（Minidump）

大小：通常比较小，几百KB到几MB。
特点：
包含进程崩溃时的基本信息，如线程、调用堆栈、部分内存数据和加载的模块。
适用于快速调试和分析崩溃原因。
生成速度快，占用存储空间小。

所以按照文件大小进行排序，从最大的开始逐个测试，试了之后发现就是47MB的那个

把它导出放到010中，由于dmp的文件头是MDMP，所以需要把前面的这串删掉保存

这时候需要用到mimikatz了，将该文件拖到工具目录下

使用命令提取

sekurlsa::minidump 1.dmp
sekurlsa::logonpasswords

NTLM : 282d975e35846022476068ab5a3d72df 这是进行身份认证时的哈希值

用md5在线解密，https://www.somd5.com/