0x01 流量分析 - icmp后门.pcapng0x02 流量分析 - FTP.pcapng0x03 流量分析 - 题目3 （未解决）0x04 日志分析 - 1.题目1第一题.确定黑客的攻击手段第二题.找到黑客登陆后台的时间第三题.找到黑客拿到的敏感数据 （未解决）0x04 日志分析 - 2.题目20x05 内存分析 - EternalBlue.raw
0x01 流量分析 - icmp后门.pcapng
发现执行 ls 命令，下一个是执行 cat 命令，返回的就是flag了
welcome_to_the_cisp-ire_and_the_key1_is_6r56F3X8
0x02 流量分析 - FTP.pcapng
发现下载了 key2.zip
查看 ftp-data
跟踪第二个tcp流，Show data as 选raw，下载下来发现压缩包有密码
爆破得密码 coffee，解压后得 key2
key2_is_8dJsd90S
0x03 流量分析 - 题目3 （未解决）
这一红是黑客在进行端口扫描
还尝试了 smb 匿名登录
445 利用完，还整了个 4444 反弹shell至 msf
后面还3389登录了
重点是流量加密了，4444端口的第一个回包也和网上看到的有点不一样，不太清楚要怎么解了
0x04 日志分析 - 1.题目1
第一题.确定黑客的攻击手段
目录爆破
后台用户名密码爆破
SQL注入
第二题.找到黑客登陆后台的时间
2022:03:01:31
第三题.找到黑客拿到的敏感数据 （未解决）
感觉数据包有点不全，因为最后几行就只有爆破列名了
0x04 日志分析 - 2.题目2
直接看爆破字段
key2_is_here ，明显的二分法布尔盲注，先分析第1位， >98 时返回状态码200，表示成功，状态码404表示失败。 >98 为 false，而 >97 为 true，则证明当前位的 ascii 值为 98，即字符 b，以此类推，得到 key2 是：bw9DoWBw0x05 内存分析 - EternalBlue.raw
发现有个 Malware.exe 进程
dump 出来
发现运行不了
尝试从文件里提取
dump出来改后缀运行即可得 key8
3x3QZHuv