Windows靶机应急响应（一）

应急响应靶机练习

B-6：应急响应 任务环境说明： ● 服务器场景：FTPServer220817 ● 服务器场景操作系统：未知（封闭靶机） ● FTP用户名:log密码：log 1. 从靶机服务器的FTP上下载日志文件，分析日志文件，将黑客成功登录系统所使用的IP地址作为Flag值提交； 2. 黑客成功登录系统后修改了登录用户的用户名，将修改后的用户名作为Flag值提交； 3. 黑客成功登录系统后成功访问了一个关键位置的文件，将该文件名称（文件名称不包含后缀）作为Flag值提交； 4. 黑客成功登录系统后重启过几次数据库服

知攻善防实验室的应急响应靶场

[护网训练]应急响应靶机整理

靶机地址：https://pan.quark.cn/s/4b6dffd0c51a#/list/share蓝队工具箱：https://github.com/ChinaRan0/BlueTeamTools前景需要：小苕在省护值守中，在灵机一动情况下把设备停掉了，甲方问：为什么要停设备？小苕说：我第六感告诉我，这机器可能被黑了。这是他的服务器，请你找出以下内容作为通关条件：攻击者的两个IP地址隐藏用户名称黑客遗留下的flag【3个】关于靶机启动。

靶机地址：https://pan.quark.cn/s/4b6dffd0c51a#/list/share蓝队工具箱：https://github.com/ChinaRan0/BlueTeamTools。

看来上一阶段我们推测失败，攻击者确实是爆破出了后台的一个管理员账户，且该账户拥有弱口令，直接进行的登录，那么我们要想继续溯源，要么去找我们亲爱的运维，要管理员账号密码（可惜我们没有运维），要么自己爆破，复现渗透流程。如上，可以看到，靶机上通过 EMLOG 搭建了一个个人的 Web 站点。攻击者上传了 WebShell 后肯定是要访问的，而这些访问记录就会被记录在 Web 日志中，所以接下来，我们只要去找哪个 IP 访问了 system.php，我们就知道，谁是攻击者了。肯定是先确定一个值呀，比如，用户名。

小苕在省护值守中，在灵机一动情况下把设备停掉了，甲方问：为什么要停设备？小苕说：我第六感告诉我，这机器可能被黑了。本虚拟机的考点不在隐藏用户以及ip地址，仔细找找把。

发现登录进去就弹出终端界面，自动运行powshell命令，看来存在计划任务，自动下载了一些文件，之后就主动结束退出终端界面了。很明显，就是个挖矿程序，md5值：6D68D914CE545056F383C47A444CEAF8。攻击者开始攻击的时间：2024-05-21 20:25:22。攻击者的ip地址：192.168.115.131。一眼就看到挖矿程序，输入一下所谓的钱包地址。矿池地址(仅域名)：c3pool.org。得知远程桌面服务开启，且端口是3389。攻击者是如何攻击进入的：暴力破解。

应急响应靶机WP大全---知攻善防实验室

如上，通过 ls 命令，我们发现了靶机的 FTP 服务根路径与其 Web 服务根路径疑似是同样的，而且其 Web 根路径上还是 WordPress 的内容，而 WordPress 又是采用的 PHP 编写的，这证明了啥？如上，谁登录过计算机，一目了然，克隆账号就没这个顾虑，它登录的直接是 Administrator 的桌面，就是如果靶机的 Administrator 也同时进行登录，会出现顶号的情况。如上，轻轻松松就扫描出来，但描述说的是 “隐藏账号”，而不是 “克隆账号”。OK，下面开始应急推理。

小李在值守的过程中，发现有占用飙升，出于胆子小，就立刻将服务器关机，这是他的服务器系统，请你找出以下内容，并作为通关条件：攻击者的shell密码2.攻击者的IP地址3.攻击者的隐藏账户名称4.攻击者挖矿程序的矿池域名用户：密码关于靶机启动解压后直接用Vmware打开即可。

[护网训练]原创应急响应靶机整理集合

应急响应是网络安全防御体系中的核心能力，指在安全事件发生后，快速定位、遏制和恢复的系统化过程。其原理在于通过预设的、可控的模拟环境（即靶机），复现真实攻击链，使安全人员能在无风险条件下进行实战训练。这项技术的价值在于能有效提升企业安全运营中心（SOC）和蓝队对真实威胁的处置效率，尤其适用于应对日益频繁的Windows平台勒索软件、横向移动等高级威胁。在应用场景上，靶机广泛用于企业内训、技能评估和教学研究。本文聚焦于**Windows应急响应靶机**的设计与搭建，并融入**无文件攻击**和**供应链攻击模拟*

摘要：Windows应急响应靶机Web1分析过程，发现Apache日志中可疑shell.php文件路径"/content/plugins/tips/shell.php"，确认shell密码为"rebeyond"。在用户桌面发现可疑kuang.exe程序，经反编译分析为PyInstaller打包的Python程序，最终解析出相关域名地址wakuang.zhigongshanfang.top。靶场出自知攻善防实验室，提供完整应急响应分析流程。

玄机靶场；第四章 应急响应-windows日志分析；Windows应急响应；隐藏账户排查；事件排查；恶意进程排查；后门排查；计划任务排查。