审之魔法 on wackymaker

剥茧之书

Sun, 26 Oct 2025 21:42:11 +0800

事件日志分析

Sysmon日志是由Microsoft系统监视器（Sysmon）生成的事件日志，它们提供有关Windows上的系统级操作的详细信息，并记录进程启动、网络连接、文件和注册表修改、驱动程序和服务活动以及WMI操作等活动，通过分析Sysmon日志，安全专家可以检测潜在风险、发现异常并响应安全事件，以增强整体系统监控和安全性。在不断变化的网络安全环境中，提前防范威胁非常重要。

sysmon部署

下载

https://learn.microsoft.com/en-us/sysinternals/downloads/sysmon

激活

sysmon.exe -i -accepteula -h md5,sha256,imphash -l -n

导入sysmon配置，可以使用下面这个,能检测常见的dll注入lsass抓取等

https://github.com/SwiftOnSecurity/sysmon-config/blob/master/sysmonconfig-export.xml

下载后将配置文件中需要检测的部分中的参数进行修改

#include更改为exclude
# 比如
	<RuleGroup name="" groupRelation="or">
		<FileCreateTime onmatch="include">
			<Image name="T1099" condition="begin with">C:\Users</Image> <!--Look for timestomping in user area, usually nothing should be doing that here-->
			<TargetFilename name="T1099" condition="end with">.exe</TargetFilename> <!--Look for backdated executables anywhere-->
			<Image name="T1099" condition="begin with">\Device\HarddiskVolumeShadowCopy</Image> <!--Nothing should be written here | Credit: @SBousseaden [ https://twitter.com/SBousseaden/status/1133030955407630336 ] -->
		</FileCreateTime>
	</RuleGroup>
#改为
	<RuleGroup name="" groupRelation="or">
		<FileCreateTime onmatch="exclude">
			<Image name="T1099" condition="begin with">C:\Users</Image> <!--Look for timestomping in user area, usually nothing should be doing that here-->
			<TargetFilename name="T1099" condition="end with">.exe</TargetFilename> <!--Look for backdated executables anywhere-->
			<Image name="T1099" condition="begin with">\Device\HarddiskVolumeShadowCopy</Image> <!--Nothing should be written here | Credit: @SBousseaden [ https://twitter.com/SBousseaden/status/1133030955407630336 ] -->
		</FileCreateTime>
	</RuleGroup>

导入配置

C:\Tools\Sysmon> sysmon.exe -c sysmonconfig-export.xml

Event ID(事件id)

https://learn.microsoft.com/en-us/sysinternals/downloads/sysmon#events

Sysmon日志中所使用的全部Event ID都已经在微软的Sysmon页面上进行了介绍，其中包括：

    1：进程创建
    2：文件创建时间修改
    3：网络连接
    5：进程终止
    11：文件创建
    12：注册表对象创建和删除
    13：注册表值设置
    22：DNS查询
    23：文件删除（带归档）
    26：文件删除（不带归档）

分析

此日志一般后缀为.evtx,要进行分析需要转换为json

https://github.com/EricZimmerman/evtx

.\EvtxECmd.exe -f $待转换日志.evtx --json $输出.json

在转换过程中，我们会看到此日志事件记录条数以及各事件的出现次数类似如下

Records included: 169 Errors: 0 Events dropped: 0

Metrics (including dropped events)
Event ID        Count
1               6
2               16
3               1
5               1
7               15
10              1
11              56
12              14
13              19
15              2
17              7
22              3
23              26
26              2

Processed 1 file in 0.9008 seconds

各事件次数

第一种方式就是利用EvtxECmd.exe转换json的时候会简单看到，第二种是利用jq查询此json的时候使用如下命令

cat .\Output.json | jq -sc 'group_by(.EventId) | map({EventId: .[0].EventId, count: length}) | .[]'

jq会将输入的json当作一个json处理，并依据EventId进行分组并记录次数后输出，效果如下

PS C:\Users\wacky\Desktop\code\tools\EvtxECmd\EvtxeCmd\nite42.json> cat .\20250818040123_EvtxECmd_Output.json| jq -sc 'group_by(.EventId) | map({EventId: .[0].EventId, count: length}) | .[]'
{"EventId":1,"count":6}
{"EventId":2,"count":16}
{"EventId":3,"count":1}
{"EventId":5,"count":1}
{"EventId":7,"count":15}
{"EventId":10,"count":1}
{"EventId":11,"count":56}
{"EventId":12,"count":14}
{"EventId":13,"count":19}
{"EventId":15,"count":2}
{"EventId":17,"count":7}
{"EventId":22,"count":3}
{"EventId":23,"count":26}
{"EventId":26,"count":2}

单独事件分析（举例分析事件1）

利用jq以EventId为参数分离某类事件,这里分类的是1类事件

cat .\20240408132435_EvtxECmd_Output.json | jq -c 'select(.EventId == 1)' > eventid1.json

之后可以取出第一条事件，我们可以了解此json的字段

cat .\eventid1.json | jq -s '.[0]'

事件1信息如下

1️⃣ 基础事件信息

包括 EventId、时间戳、EventRecordId、Channel、Provider、Level、SourceFile 等

描述了这条事件本身的元信息，即日志是谁生成的、什么时候生成、记录编号是多少。

2️⃣ 进程相关信息

包括 PayloadData1~6、ExecutableInfo、ProcessId、ThreadId、UserName、Hashes 等

描述了事件关联的进程及其父进程的详细信息：路径、ID、GUID、命令行、父进程信息、哈希值、执行用户等。

对应输出类似如下

1️⃣ 基础事件信息
字段	示例	说明
EventId	1	Sysmon 事件类型：1 表示 进程创建
EventRecordId	118772	日志在 Sysmon 日志文件中的记录编号
TimeCreated	2024-02-14T03:41:45.3058822+00:00	事件发生的 UTC 时间
Level	Info	日志级别
Keywords	Classic	日志关键字类别
Channel	Microsoft-Windows-Sysmon/Operational	Sysmon 日志通道
Provider	Microsoft-Windows-Sysmon	生成事件的提供者
SourceFile	…\Microsoft-Windows-Sysmon-Operational.evtx	原始 EVTX 文件路径
RecordNumber	26	事件记录编号（局部顺序）
HiddenRecord	false	是否为隐藏记录（通常为 false）

2️⃣ 进程相关信息
字段	示例	说明
PayloadData1	ProcessID: 5584, ProcessGUID: 817bddf3-3679-65cc-2902-000000001900	当前进程 ID 和 GUID
PayloadData4	ParentProcess: C:\Program Files\Mozilla Firefox\firefox.exe	父进程路径
PayloadData5	ParentProcessID: 4292, ParentProcessGUID: 817bddf3-3514-65cc-0802-000000001900	父进程 ID 和 GUID
PayloadData6	ParentCommandLine: "C:\Program Files\Mozilla Firefox\firefox.exe"	父进程启动命令行
ProcessId	3028	当前事件的 Windows 进程 ID（与 PayloadData1 中 5584 对比，可能是 EvtxECmd 内部映射）
ThreadId	4412	触发事件的线程 ID
ExecutableInfo	"C:\Program Files\Mozilla Firefox\pingsender.exe" …	当前进程完整路径及命令行参数
UserName	DESKTOP-887GK2L\CyberJunkie	执行进程的用户

3️⃣ 文件/哈希信息
字段	示例	说明
PayloadData3	SHA1=282F…, MD5=…, SHA256=…, IMPHASH=…	进程可执行文件的哈希值，IMPHASH 用于检测恶意文件家族
PayloadData2	RuleName: technique_id=T1027, technique_name=Obfuscated Files or Information	MITRE ATT&CK 对应技术（这里表示混淆文件或信息）

4️⃣ Parent / 上级进程信息
字段	示例	说明
ParentProcess	C:\Program Files\Mozilla Firefox\firefox.exe	父进程路径
ParentProcessID	4292	父进程 ID
ParentProcessGUID	817bddf3-3514-65cc-0802-000000001900	父进程 GUID
ParentCommandLine	"C:\Program Files\Mozilla Firefox\firefox.exe"	父进程启动命令行
ParentUser	DESKTOP-887GK2L\CyberJunkie	父进程执行用户

5️⃣ Sysmon EventData 字段（Payload）

Payload 内部是 Sysmon 原始 XML EventData 转成 JSON
包含详细字段如：
Image → 进程路径
CommandLine → 启动参数
Hashes → 文件哈希
User → 执行用户
ParentImage / ParentCommandLine / ParentUser → 父进程信息
IntegrityLevel → 进程权限级别（这里是 Medium）

接下来我们可以用下面的语法输出整个事件1当中我们感兴趣的所有字段

cat .\eventid1.json | jq -s '.[] | [.TimeCreated, .PayloadData4, .ExecutableInfo, .PayloadData1, .PayloadData5]'

就像这里我输出了.TimeCreated → 事件发生时间 .PayloadData4 → 父进程路径 .ExecutableInfo → 当前进程完整路径及命令行 .PayloadData1 → 当前进程 ID 和 GUID .PayloadData5 → 父进程 ID 和 GUID

#示例输出
[
  "2024-02-14T03:41:56.5596188+00:00",
  "ParentProcess: C:\\Windows\\explorer.exe",
  "\"C:\\Users\\CyberJunkie\\Downloads\\Preventivo24.02.14.exe.exe\" ",
  "ProcessID: 10672, ProcessGUID: 817bddf3-3684-65cc-2d02-000000001900",
  "ParentProcessID: 1116, ParentProcessGUID: 817bddf3-311f-65cc-0a01-000000001900"
]

简单的利用分析就是这样

常用分析命令

cat .\20240408132435_EvtxECmd_Output.json | jq -c 'select(.EventId == 11)' | findstr 10672 | jq -s '.[] | [.TimeCreated, .PayloadData4]'

这条命令效果是筛选事件id为11的事件，并进一步筛选出包含10672字段的事件并输出其中的TimeCreated, PayloadData4字段

隼鸟快速使用

筛选出存在关键词的事件输出为json

hayabusa search -f Windows-Powershell-Operational.evtx -k "keyword“ -J -o "this.json"

以时间线输出csv,可以手动选择匹配模式，一般选最大

hayabusa csv-timeline -f Windows-Powershell-Operational.evtx -o time_powershell.csv

特殊安全事件速查

痕迹清除痕迹

事件 ID 1102 (The audit log was cleared) ：清除审计日志通常是试图删除入侵或恶意活动证据的迹象。

登陆相关(爆破)

事件 ID 4625 (Failed Logon) ：此事件记录登录失败的次数。多次登录失败可能意味着正在进行暴力攻击。
事件 ID 4624 (Successful Logon) ：此事件记录成功登录事件。此信息对于建立正常的用户行为至关重要。异常行为（例如在非正常时间或从不同地点尝试登录）可能预示着潜在的安全威胁。
事件 ID 4672 (Special Privileges Assigned to a New Logon) ：每当帐户以超级用户权限登录时，都会记录此事件。跟踪这些事件有助于确保超级用户权限不会被滥用或恶意使用
事件 ID 4648 (A logon was attempted using explicit credentials) ：当用户使用显式凭据登录并运行程序时，会触发此事件。这些登录事件中的异常可能表明网络内存在横向移动，这是攻击者常用的技术。
事件 ID 4771 (Kerberos pre-authentication failed) ：此事件与 4625（登录失败）类似，但专用于 Kerberos 身份验证。此类日志数量异常可能表明攻击者正在尝试暴力破解您的 Kerberos 服务。
事件 ID 4776 (The domain controller attempted to validate the credentials for an account) ：此事件用于跟踪域控制器凭据验证的成功和失败尝试。多次失败可能表明存在暴力攻击。
事件 ID 5140 (A network share object was accessed) ：每当访问网络共享时都会记录此事件。这对于识别未经授权的网络共享访问至关重要。

defender检测相关

事件 ID 1116 (Antivirus malware detection) ：此事件尤为重要，因为它会在 Defender 检测到恶意软件时进行记录。此类事件的激增可能表明存在针对性攻击或大范围恶意软件感染。
事件 ID 1118 (Antivirus remediation activity has started) ：此事件表示 Defender 已开始删除或隔离检测到的恶意软件。监控这些事件对于确保补救措施成功至关重要。
事件 ID 1119 (Antivirus remediation activity has succeeded) ：此事件表示检测到的恶意软件的修复过程已成功。定期监控这些事件将有助于确保有效消除已识别的威胁。
事件 ID 1120 (Antivirus remediation activity has failed) ：此事件与 1119 对应，表示补救过程失败。应密切监控并立即处理此类事件，以确保有效消除威胁。
事件 ID 5001 (Antivirus real-time protection configuration has changed) ：此事件表示 Defender 的实时保护设置已被修改。未经授权的更改可能表示有人试图禁用或破坏 Defender 的功能。

敏感行为

事件 ID 4656 (A handle to an object was requested) ：请求对象（例如文件、注册表项或进程）的句柄时会触发此事件。此事件对于检测访问敏感资源的尝试非常有用。
事件 ID 4698 (A scheduled task was created) ：创建计划任务时触发此事件。监控此事件有助于检测持久性机制，因为攻击者经常使用计划任务来维持访问权限并运行恶意代码。
事件 ID 4700 和事件 ID 4701 (A scheduled task was enabled/disabled) ：记录计划任务的启用或禁用。计划任务经常被攻击者操纵，以实现持久化或运行恶意代码，因此这些日志可以为可疑活动提供有价值的洞察。
事件 ID 4702 (A scheduled task was updated) ：与 4698 类似，此事件在计划任务更新时触发。监控这些更新有助于检测可能存在恶意意图的更改。
事件 ID 4719 (System audit policy was changed) ：此事件记录了计算机上审核策略的更改。这可能表明有人试图通过关闭审核或更改要审核的事件来掩盖其踪迹。
事件 ID 4738 (A user account was changed) ：此事件记录对用户帐户所做的任何更改，包括权限、组成员身份和帐户设置的更改。意外的帐户更改可能是帐户被接管或内部威胁的征兆。
事件 ID 5142 (A network share object was added) ：此事件表示创建了新的网络共享。未经授权的网络共享可能被用于窃取数据或在网络中传播恶意软件。
事件 ID 5145 (A network share object was checked to see whether client can be granted desired access) ：此事件表示有人尝试访问网络共享。频繁进行此类检查可能表明用户或恶意软件正在尝试映射网络共享，以备将来利用。
事件 ID 5157 (The Windows Filtering Platform has blocked a connection) ：当 Windows 筛选平台阻止连接尝试时，会记录此事件。这有助于识别网络上的恶意流量。
事件 ID 7045 (A service was installed in the system) ：突然出现未知服务可能表明安装了恶意软件，因为许多类型的恶意软件都会将自身安装为服务。

流量分析

tcpdump使用

需要root权限，并且如果需要生成数据包，请在tmp目录生成

开关级参数

参数	口语化说明
-D	显示所有可用的网络接口
-i	指定要抓包的网络接口，例如 `-i eth0`
-n	不把 IP 地址或端口号转换成名字，直接显示数字
-e	抓包时连以太网头也抓上
-X	以十六进制和 ASCII 显示数据包内容
-XX	跟 -X 一样，但同时显示以太网头
-v / -vv / -vvv	增加输出的详细程度，越多 v 信息越详细
-c	抓指定数量的数据包后退出，例如 `-c 10`
-s	设置每个数据包抓多少字节，`-s 0` 表示抓完整包
-S	显示绝对序列号，而不是相对序列号
-q	输出更简略的协议信息
-r 文件.pcap	从指定文件读取抓包数据，例如 `-r /tmp/capture.pcap`
-w 文件.pcap	把抓到的数据写入指定文件，例如 `-w out.pcap`
-A	仅显示数据包行后的 ASCII 文本
-w 文件.pcap	把抓到的数据写入指定文件，例如 `-w out.pcap`
-l	快速检查捕获，可以利用管道符号配合，例如 `sudo tcpdump -Ar http.cap -l

过滤器

过滤器	说明
host x.x.x.x	仅捕获与特定主机相关的流量
net x.x.x.x/24	捕获进出特定网络的流量（斜杠表示法指定掩码）
src net x.x.x.x/24	仅捕获来自指定网络的流量
dst net x.x.x.x/24	仅捕获发往目标网络的流量
port #	只捕获指定端口的流量，其余端口过滤掉
not	捕获除指定条件之外的所有流量，例如 `not port 80`
and	连接多个过滤条件，例如 `host 192.168.1.1 and port 80`
portrange x-x	捕获指定端口范围内的流量
ip / ether / tcp	只抓指定协议的流量
broadcast	捕获广播流量（一对所有）
multicast	捕获多播流量（一对多）
unicast	捕获单播流量（一对一）

列出可用接口

sudo tcpdump -D

大参数抓取流量包命令示例

sudo tcpdump -i eth0 -nnvXX -c 100 -w /tmp/output.pcap
#禁用名称解析且启用ascii和十六进制的详细抓前100个完整数据包并输出到目标文件

快速读取数据包中的人类可读信息

sudo tcpdump -Ar telnet.pcap

当然也可以配合-l进行查找效果

sudo tcpdump -Ar telnet.pcap -l | grep 'flag*'

恶意软件分析相关

linux静态分析（pe载荷）

类型相关

识别文件类型

file $file

基础hash相关

转md5指纹识别

md5sum $file
#之后去沙箱查找https://www.virustotal.com/gui/home/search

导入hash生成脚本

import sys
import pefile
import peutils

pe_file = sys.argv[1]
pe = pefile.PE(pe_file)
imphash = pe.get_imphash()

print(imphash)

模糊散列碰撞（SSDEEP）

# 也称为上下文触发分段哈希 (CTPH)，是一种哈希技术，旨在计算指示两个文件之间内容相似度的哈希值。该技术将文件分解成较小的固定大小的块，并计算每个块的哈希值。然后将生成的哈希值合并，生成最终的模糊哈希值。

输出模糊散列

ssdeep $file

匹配同目录下是否有相似程序

ssdeep -pb *

pe部分hash

# （对 PE 段进行哈希处理）是一种强大的技术，它允许分析人员识别可移植可执行 (PE) 文件中已被修改的段

脚本

import sys
import pefile
pe_file = sys.argv[1]
pe = pefile.PE(pe_file)
for section in pe.sections:
    print (section.Name, "MD5 hash:", section.get_hash_md5())
    print (section.Name, "SHA256 hash:", section.get_hash_sha256())

字符串分析

strings

strings -n 15 $file
# -n 指定打印至少指定数字的序列 - 在我们的例子中为 15 。

floss

# FLOSS 是“FireEye Labs 混淆字符串解析器”的缩写，是由 FireEye 的 FLARE 团队开发的一款工具，用于自动对恶意软件中 FLOSS 字符串进行反混淆处理

floss $file

脱壳

upx壳

upx -d -o $file $out_file

windows静态分析（pe载荷）

文件类型

这个可以使用die或者cff等pe查看器，不想贴图暂时不记录

基础hash相关

利用powershell生成载荷md5或者sha256hash

Get-FileHash -Algorithm MD5 $file
Get-FileHash -Algorithm SHA256 $file
#之后去沙箱查找https://www.virustotal.com/gui/home/search

导入hash脚本与linux一直，都用python

import sys
import pefile
import peutils

pe_file = sys.argv[1]
pe = pefile.PE(pe_file)
imphash = pe.get_imphash()

print(imphash)

模糊散列碰撞（SSDEEP）

windows上的操作与linux一致，不做复述

pe部分hash

脚本与linux一致

import sys
import pefile
pe_file = sys.argv[1]
pe = pefile.PE(pe_file)
for section in pe.sections:
    print (section.Name, "MD5 hash:", section.get_hash_md5())
    print (section.Name, "SHA256 hash:", section.get_hash_sha256())

也可以使用pe工具（pestudio）

拖入载荷，在footprints中找到section>.text>md5

字符串分析

strings和floss一样能用，不复述，在linux静态分析中

脱壳

upx操作与linux一致，不复述

动态分析

Noriben配合Process Monitor

准备虚拟环境，同时部署Process Monitor以及Noriben脚本

Noriben会在启用后调用Process Monitor过滤无用信息，记录当前的异常访问或系统事件

分析流程

首先启动Noriben

PS C:\Tools\Noriben-master> python .\Noriben.py

--===[ Noriben v1.8.8
[*] Using filter file: ProcmonConfiguration.PMC
[*] Using procmon EXE: C:\ProgramData\chocolatey\bin\procmon.exe
[*] Procmon session saved to: Noriben_27_Oct_25__03_28_473199.pml
[*] Launching Procmon ...
[*] Procmon is running. Run your executable now.
[*] When runtime is complete, press CTRL+C to stop logging.

之后启动恶意载荷，运行一段时间，觉得差不多的时候终止Noriben分析

终止时首先需要使用任务管理器关闭 Procmon，再关闭 Noriben（Ctrl+C），要不然有几率报错

之后会看到生成的txt报告，Noriben会输出载荷运行过程中的典型恶意行为

[*] Procmon is running. Run your executable now.
[*] When runtime is complete, press CTRL+C to stop logging.

[*] Termination of Procmon commencing... please wait
[*] Procmon terminated
[*] Saving report to: Noriben_27_Oct_25__03_28_473199.txt
[*] Saving timeline to: Noriben_27_Oct_25__03_28_473199_timeline.csv
[*] Exiting with error code: 0: Normal exit

逆向工程及调试

二进制内容已经转移，请移步至深渊之书

UFO-1-wp

Sat, 30 Aug 2025 18:04:36 +0800

这两天写了两篇文章一篇adcs的恶意模板发布还有shadowslnk利用，但这两篇文章我需要去先知赚点稿费，所以先等他们过审了才能传到这边。今天做个情报分析就差不多了。

题目简介

在 ICS 行业，您的安全团队始终需要保持最新状态，并且应该了解针对您所在行业组织的威胁。您刚开始担任威胁情报实习生，具有一些 SOC 经验。您的经理给了您一项任务，以测试您的研究技能以及您如何利用 Mitre Att&ck 来发挥自己的优势。对 Sandworm Team（也称为 BlackEnergy Group 和 APT44）进行研究。利用 Mitre ATT&CK 了解如何以可作的形式映射对手的行为和战术。粉碎评估并给您的经理留下深刻印象，因为威胁情报是您的热情所在。

task1

根据 Mitre 援引的消息来源，沙虫团队是哪一年开始行动的？

打开矩阵，我们能搜索Sandworm Team，我们可以看到这是一个来自俄罗斯的军事组织，最早行动于2009年

答案：2009

task2

Mitre 指出，在 2016 年针对乌克兰电网的一次运动中，BlackEnergy 集团使用了两种凭证访问技术来访问受感染网络中的多个主机。一种是 LSASS 内存访问（T1003.001）。另一个的攻击 ID 是什么？

转到此组织2016针对乌克兰电力系统的攻击，进入矩阵

可以看到使用的是暴力破解，也就是T1110

答案：T1110

task3

在 2016 年的活动中，观察到对手在行动中使用了 VBS 脚本。VBS 文件的名称是什么？

不用进入矩阵，直接在2016行动全局搜索vbs

答案：ufn.vbs

task4

APT 在 2022 年开展了一场重大运动。服务器应用程序被滥用以保持持久性。该组使用持久性技术允许他们进行远程访问的 Mitre Att&ck ID 是什么？

转到2022的攻击记录，发现还是乌克兰的电力系统，这俄罗斯去乌克兰系统和回家没什么区别

不用进入矩阵，可以直接看到是利用webshell进行权限维持的

答案：T1505.003

task5

问题 4 中使用的恶意软件/工具的名称是什么？

截图已经把他显示出来了

答案：Neo-REGEORG

task6

在 2022 年的同一活动中，该组织滥用了哪个 SCADA 应用程序二进制文件来在 SCADA Systems 上实现代码执行？

往下找我们能找到

答案：scilc.exe

task7

确定与问题 6 中执行工具相关的完整命令行，以对 SCADA 环境中的变电站执行作。

路径已经在上面的截图出现了

答案：C:\sc\prog\exec\scilc.exe -do pack\scil\s1.txt

task8

在同一活动期间，使用什么恶意软件/工具在受感染的环境中进行数据销毁？

这篇文章详细解释了此破坏性工具，还是挺有意思的，利用null直接进行文件覆盖，并设计了域控相关的操作链接

答案：CaddyWiper

task9

问题 8 中确定的恶意软件/工具还具有其他功能。它可以在执行策略中执行的特定技术的 Mitre Att&ck ID 是什么？

上篇提到的文章讲述了它的攻击都是基于windows原生api，通过SeTakeOwnershipPrivilege它可以夺取程序的进程来绕过文件进程保护

答案：T1106

task10

众所周知，Sandworm 团队在他们的活动中使用不同的工具。它们与自动传播的恶意软件相关联，该恶意软件充当勒索软件，同时具有类似蠕虫的功能 .这个恶意软件的名称是什么？

回到此apt主页，检索其使用工具

答案：NotPetya

task11

问题 10 中的恶意软件用于在世界各地传播的漏洞的 Microsoft 安全公告 ID 是什么？

上题我们看到了smbv1漏洞，那一眼永恒之蓝

答案：MS17-010

task12

该组织用于针对调制解调器的恶意软件/工具的名称是什么？

同上方法一样可以找到

答案：AcidRain

task13

威胁行为者还在其基础架构中使用非标准端口，以达到运营安全目的。据报道，Sandworm 团队在哪个端口上建立了用于监听的 SSH 服务器？

枚举ssh能找到

答案：6789

task14

沙虫小组得到了另一个 APT 小组的协助进行各种行动。已知哪个特定团体与他们合作？

最开始的简介指出了

也是俄罗斯那边的，就是试图干扰美国大选那个

答案：APT28

Phantom-check-wp

Thu, 28 Aug 2025 16:05:44 +0800

题目简介与题目附件

Talion 怀疑威胁行为者进行了反虚拟化检查，以避免在沙盒环境中被检测到。您的任务是分析事件日志并确定用于虚拟化检测的特定技术。Byte Doctor 需要攻击者执行这些检查的注册表检查或进程的证据。

附件提供如下

 C:\Users\wacky\Desktop\sherlock\PhantomCheck 的目录

2025/08/28  15:11    <DIR>          .
2025/08/28  15:11    <DIR>          ..
2025/04/09  17:24         1,118,208 Microsoft-Windows-Powershell.evtx
2025/04/09  17:24        15,798,272 Windows-Powershell-Operational.evtx

Task1

攻击者使用哪个 WMI 类来检索模型和制造商信息以进行虚拟化检测？

wmi类全称（Windows Management Instrumentation Class）是windows管理规范框架中的一种对象定义，它用来表述管理windows中的系统资源，而这种管理接口一般是通过powrshell调用的所以我们将目光转向powershell

这里使用隼鸟过滤出powershell事件中所有关于Wmi的事件记录

C:\Users\wacky\Desktop\sherlock\PhantomCheck>hayabusa search -f Windows-Powershell-Operational.evtx -k "Wmi" -J -o "Wmi.json"

┏┓ ┏┳━━━┳┓  ┏┳━━━┳━━┓┏┓ ┏┳━━━┳━━━┓
┃┃ ┃┃┏━┓┃┗┓┏┛┃┏━┓┃┏┓┃┃┃ ┃┃┏━┓┃┏━┓┃
┃┗━┛┃┃ ┃┣┓┗┛┏┫┃ ┃┃┗┛┗┫┃ ┃┃┗━━┫┃ ┃┃
┃┏━┓┃┗━┛┃┗┓┏┛┃┗━┛┃┏━┓┃┃ ┃┣━━┓┃┗━┛┃
┃┃ ┃┃┏━┓┃ ┃┃ ┃┏━┓┃┗━┛┃┗━┛┃┗━┛┃┏━┓┃
┗┛ ┗┻┛ ┗┛ ┗┛ ┗┛ ┗┻━━━┻━━━┻━━━┻┛ ┗┛
   by Yamato Security

Getting 80% of the work done in 20% of the time~

Searching...

Start time: 2025/08/28 15:26
Total event log files: 1
Total file size: 15.1 MiB

Currently searching. Please wait.

[00:00:00] 1 / 1   [========================================] 100%

Scanning finished.
                                                                                                                        Total findings: 6
Saved results: Wmi.json (5.2 KiB)

Elapsed time: 00:00:00.044

初心忘るべからず - Shoshin Wasuru Bekarazu - Never forget the beginner's mind.

得到的结果不多，就直接看即可

可以看到调用了Win32_ComputerSystem

答案：Win32_ComputerSystem

Task2

攻击者是用哪条 WMI 命令查当前机器温度的？

比较典型的绕沙箱策略，检测实体机的硬件温度进行判断

在刚才调用wmi的查询当中，我们能检索Temperature找到目标

答案：SELECT * FROM MSAcpi_ThermalZoneTemperature

Task3

攻击者加载了powershell脚本来检测虚拟化，脚本函数是什么？

我本来是想过滤Import-Module用来查找加载模块的行为，但是并没有好效果，所以我打算将powershell事件日志转换为时间线输出

C:\Users\wacky\Desktop\sherlock\PhantomCheck>hayabusa csv-timeline -f Windows-Powershell-Operational.evtx -o time_powershell.csv

┏┓ ┏┳━━━┳┓  ┏┳━━━┳━━┓┏┓ ┏┳━━━┳━━━┓
┃┃ ┃┃┏━┓┃┗┓┏┛┃┏━┓┃┏┓┃┃┃ ┃┃┏━┓┃┏━┓┃
┃┗━┛┃┃ ┃┣┓┗┛┏┫┃ ┃┃┗┛┗┫┃ ┃┃┗━━┫┃ ┃┃
┃┏━┓┃┗━┛┃┗┓┏┛┃┗━┛┃┏━┓┃┃ ┃┣━━┓┃┗━┛┃
┃┃ ┃┃┏━┓┃ ┃┃ ┃┏━┓┃┗━┛┃┗━┛┃┗━┛┃┏━┓┃
┗┛ ┗┻┛ ┗┛ ┗┛ ┗┛ ┗┻━━━┻━━━┻━━━┻┛ ┗┛
   by Yamato Security

Taking threat detection to the next level~

Start time: 2025/08/28 15:36
Total event log files: 1
Total file size: 15.1 MiB

Scan wizard:
✔ Which set of detection rules would you like to load? · 5. All event and alert rules (4,701 rules) ( status: * | level: informational+ )
✔ Include deprecated rules? (219 rules) · yes
✔ Include unsupported rules? (42 rules) · yes
✔ Include noisy rules? (12 rules) · yes
✔ Include sysmon rules? (2,305 rules) · yes

在生成所有规则过滤后，我们筛选出function

多找一找就找到了

答案：Check-VM

Task4

述脚本查询了哪个注册表项来检索服务详细信息以进行虚拟化检测？

查询注册表的话，我们先直接从原时间过滤出注册表相关信息

hayabusa search -f Windows-Powershell-Operational.evtx -k "HKLM" -J -o "HKLM.json"

筛选后获得

答案：HKLM:\SYSTEM\ControlSet001\Services

Task5

检测脚本也可以识别 VirtualBox。它比较哪些进程以确定系统是否正在运行 VirtualBox？

还是在task3筛选出来的事件中能看到日志

ScriptBlock: function Check-VM { <# .SYNOPSIS Nishang script which detects whether it is in a known virtual machine. .DESCRIPTION This script uses known parameters or 'fingerprints' of Hyper-V, VMWare, Virtual PC, Virtual Box, Xen and QEMU for detecting the environment. .EXAMPLE PS > Check-VM .LINK http://www.labofapenetrationtester.com/2013/01/quick-post-check-if-your-payload-is.html https://github.com/samratashok/nishang .NOTES The script draws heavily from checkvm.rb post module from msf. https://github.com/rapid7/metasploit-framework/blob/master/modules/post/windows/gather/checkvm.rb #> [CmdletBinding()] Param() $ErrorActionPreference = "SilentlyContinue" #Hyper-V $hyperv = Get-ChildItem HKLM:\SOFTWARE\Microsoft if (($hyperv -match "Hyper-V") -or ($hyperv -match "VirtualMachine")) { $hypervm = $true } if (!$hypervm) { $hyperv = Get-ItemProperty hklm:\HARDWARE\DESCRIPTION\System -Name SystemBiosVersion if ($hyperv -match "vrtual") { $hypervm = $true } } if (!$hypervm) { $hyperv = Get-ChildItem HKLM:\HARDWARE\ACPI\FADT if ($hyperv -match "vrtual") { $hypervm = $true } } if (!$hypervm) { $hyperv = Get-ChildItem HKLM:\HARDWARE\ACPI\RSDT if ($hyperv -match "vrtual") { $hypervm = $true } } if (!$hypervm) { $hyperv = Get-ChildItem HKLM:\SYSTEM\ControlSet001\Services if (($hyperv -match "vmicheartbeat") -or ($hyperv -match "vmicvss") -or ($hyperv -match "vmicshutdown") -or ($hyperv -match "vmiexchange")) { $hypervm = $true } } if ($hypervm) { "This is a Hyper-V machine." } #VMWARE $vmware = Get-ChildItem HKLM:\SYSTEM\ControlSet001\Services if (($vmware -match "vmdebug") -or ($vmware -match "vmmouse") -or ($vmware -match "VMTools") -or ($vmware -match "VMMEMCTL")) { $vmwarevm = $true } if (!$vmwarevm) { $vmware = Get-ItemProperty hklm:\HARDWARE\DESCRIPTION\System\BIOS -Name SystemManufacturer if ($vmware -match "vmware") { $vmwarevm = $true } } if (!$vmwarevm) { $vmware = Get-Childitem hklm:\hardware\devicemap\scsi -recurse | gp -Name identifier if ($vmware -match "vmware") { $vmwarevm = $true } } if (!$vmwarevm) { $vmware = Get-Process if (($vmware -eq "vmwareuser.exe") -or ($vmware -match "vmwaretray.exe")) { $vmwarevm = $true } } if ($vmwarevm) { "This is a VMWare machine." } #Virtual PC $vpc = Get-Process if (($vpc -eq "vmusrvc.exe") -or ($vpc -match "vmsrvc.exe")) { $vpcvm = $true } if (!$vpcvm) { $vpc = Get-Process if (($vpc -eq "vmwareuser.exe") -or ($vpc -match "vmwaretray.exe")) { $vpcvm = $true } } if (!$vpcvm) { $vpc = Get-ChildItem HKLM:\SYSTEM\ControlSet001\Services if (($vpc -match "vpc-s3") -or ($vpc -match "vpcuhub") -or ($vpc -match "msvmmouf")) { $vpcvm = $true } } if ($vpcvm) { "This is a Virtual PC." } #Virtual Box $vb = Get-Process if (($vb -eq "vboxservice.exe") -or ($vb -match "vboxtray.exe")) { $vbvm = $true } if (!$vbvm) { $vb = Get-ChildItem HKLM:\HARDWARE\ACPI\FADT if ($vb -match "vbox_") { $vbvm = $true } } if (!$vbvm) { $vb = Get-ChildItem HKLM:\HARDWARE\ACPI\RSDT if ($vb -match "vbox_") { $vbvm = $true } } if (!$vbvm) { $vb = Get-Childitem hklm:\hardware\devicemap\scsi -recurse | gp -Name identifier if ($vb -match "vbox") { $vbvm = $true } } if (!$vbvm) { $vb = Get-ItemProperty hklm:\HARDWARE\DESCRIPTION\System -Name SystemBiosVersion if ($vb -match "vbox") { $vbvm = $true } } if (!$vbvm) { $vb = Get-ChildItem HKLM:\SYSTEM\ControlSet001\Services if (($vb -match "VBoxMouse") -or ($vb -match "VBoxGuest") -or ($vb -match "VBoxService") -or ($vb -match "VBoxSF")) { $vbvm = $true } } if ($vbvm) { "This is a Virtual Box." } #Xen $xen = Get-Process if ($xen -eq "xenservice.exe") { $xenvm = $true } if (!$xenvm) { $xen = Get-ChildItem HKLM:\HARDWARE\ACPI\FADT if ($xen -match "xen") { $xenvm = $true } } if (!$xenvm) { $xen = Get-ChildItem HKLM:\HARDWARE\ACPI\DSDT if ($xen -match "xen") { $xenvm = $true } } if (!$xenvm) { $xen = Get-ChildItem HKLM:\HARDWARE\ACPI\RSDT if ($xen -match "xen") { $xenvm = $true } } if (!$xenvm) { $xen = Get-ChildItem HKLM:\SYSTEM\ControlSet001\Services if (($xen -match "xenevtchn") -or ($xen -match "xennet") -or ($xen -match "xennet6") -or ($xen -match "xensvc") -or ($xen -match "xenvdb")) { $xenvm = $true } } if ($xenvm) { "This is a Xen Machine." } #QEMU $qemu = Get-Childitem hklm:\hardware\devicemap\scsi -recurse | gp -Name identifier if ($qemu -match "qemu") { $qemuvm = $true } if (!$qemuvm) { $qemu = Get-ItemProperty hklm:HARDWARE\DESCRIPTION\System\CentralProcessor\0 -Name ProcessorNameString if ($qemu -match "qemu") { $qemuvm = $true } } if ($qemuvm) { "This is a Qemu machine." } }

注释指明了检测逻辑

答案：vboxservice.exe, vboxtray.exe

Task6

VM 检测脚本打印前缀为“This is a”的任何检测。脚本检测到哪两个虚拟化平台？

一样的过滤关键词

hayabusa search -f Windows-Powershell-Operational.evtx -k "This is a" -J -o "this.json"

答案：Hyper-V, Vmware

OpTinselTrace4-wp

Wed, 27 Aug 2025 14:56:36 +0800

题目简介

打印机在圣诞老人的工作室中很重要，但我们还没有真正尝试确保它们的安全！格林奇和他的精英黑客团队可能会试图利用它来对付我们！请使用提供的数据包捕获进行调查！打印机服务器 IP 地址为 192.168.68.128 请注意 - 这些 Sherlocks 是按顺序完成的！

附件信息

┌──(wackymaker㉿kali)-[~/tmp/sherlock/OpTinselTrace-4]
└─$ dir
networktraffic.pcapng  networktraffic.zip  optinseltrace4.zip

只有一个流量包

攻击ip地址为？

题目原文（网络打印机服务器的性能变得缓慢，导致北极车间的工作流程中断。圣诞老人指示我们生成支持请求并检查网络数据以查明问题的根源。他怀疑格林奇和他的团队可能参与了这种情况。您能否验证是否有向打印机服务器发送过多流量的 IP 地址？）

打开文件包，一共3800多个包

提供给了我们打印机的ip地址，只需要过滤出打印机ip就能找到请求最多的ip

答案：172.17.79.133

最终攻击端口

题目原文（Bytesparkle 作为技术负责人，发现了来自先前攻击中识别的同一 IP 的端口扫描痕迹。然后，哪个端口是打印机最初入侵的目标？）

过滤攻击ip，并锁定初步攻击时的流量包，我们能找到攻击者对9100端口进行了大量访问

答案；9100

服务器上运行的打印机的全名是什么？

随便找几个9100的包追踪tcp，我们能找到如下文本

答案： Northpole HP LaserJet 4200n

格林奇截获了一份圣诞老人制作的善良和顽皮孩子的名单。好名单上的第二个孩子叫什么名字？

并不太理解打印机流量数据中的内容，于是我继续分析刚才追踪的tcp，找到了类似名单的东西

@PJL FSUPLOAD FORMAT:BINARY NAME="0:/christmas/2023/Nice-kids/list1.txt" OFFSET=0 SIZE=180

    Jennifer Sanchez
    Douglas Price
    Joshua Ross
    Catherine Bailey
    Martha Clark
    Ruby Kelly
    Edward Parker
    Tammy James
    Lori Robinson
    Wayne Gonzales
@PJL ECHO DELIMITER56482

答案：Douglas Price

查看圣诞老人解雇elfin的理由

题目原文（格林奇获得了一份打印作业指令文件，该文件用于一位名叫埃尔芬的员工使用的打印机。看来圣诞老人和北极管理团队已经做出了解雇 Elfin 的决定。您能否提供终止 Elfin 雇佣关系的决定背后的逐字理由？）

我们过滤data字段，查找和这个id有关的包

data contains "Elfin"

只有415这个包出现了ascii码的Elfin，那就无需追踪流了

简单看了一下答案是因为这人是个二五仔

答案：The addressed employee is confirmed to be working with grinch and team. According to Clause 69 , This calls for an immediate expulsion.

计划打印作业的名称是什么？

过滤Job,我们能找到大约几十个流量包

随便点一个追踪流，可惜都是打印机的打印任务，找不到有用的，但是我意识到计划任务应该会有start关键词

data contains "Start"

只有一个数据包，但是当中存在我们需要的内容

答案：MerryChristmas+BonusAnnouncment

ssh利用方式？

题目（在我们对当前数据包捕获的持续分析中，情况已经惊人地升级。我们的安全系统在一台高度关键的服务器上检测到了漏洞利用后活动的迹象，该服务器本应通过仅使用 SSH 密钥进行安全访问。这一事态发展引起了安全团队的严重担忧。在 Bytesparkle 调查此次违规行为时，他推测此次安全事件可能与早期的打印机问题有关。您能否确定并提供打印机服务器上使格林奇能够横向移动到此关键服务器的文件的完整路径？）

看来关键在于ssh

过滤后发现与上一题tcp流一致，都在46流

明显的ssh私钥

答案：/Administration/securitykeys/ssh_systems/id_rsa

私钥字节大小

在上图私钥信息中就出现了

答案：1914

泄露的另一台主机

与上题一致的泄露区域，有一则注释

#This is a backup key for christmas.gifts server. Bytesparkle recommended me this since in christmas days everything gets mixed up in all the chaos and we can lose our access keys to the server just like we did back in 2022 christmas.

答案：christmas.gifts

格林奇什么时候试图从打印机中删除文件？（UTC）

这道题我找了很久，并不在28或者46流，当过来吧DELETE后我们找到了结果

数据包3676存在delete关键字

答案：2023-12-08 12:18:14

Origins-wp

Sat, 23 Aug 2025 18:11:16 +0800

题目简介

最近在福雷拉发生了一起重大事件。大约 20 GB 的数据从内部 s3 存储桶中被盗，攻击者现在正在勒索 Forela。在根本原因分析过程中，怀疑 FTP 服务器是攻击的来源。发现该服务器也遭到入侵，一些数据被盗，导致整个环境进一步受到损害。系统会向您提供最小的 PCAP 文件。您的目标是查找暴力破解和数据泄露的证据。

攻击者ip地址

解压提供给我们的zip获取ftp.pcap流量包

wireshark打开后显示出了题目给的547个数据包，由于提示了ftp以及爆破，我们直接过滤ftp.request.command查看ftp流量中请求命令可以看到请求方都是15.206.185.207

答案:15.206.185.207

获取有关攻击者的更多知识至关重要，即使保真度很低。使用攻击者使用的 IP 地址的地理位置数据，他们属于哪个城市？

将得到的ip去ip38查询

https://www.ip38.com/

得到结果是印度的孟买

答案:Mumbai

备份服务器使用了哪个 FTP 应用程序？输入全名和版本。（格式：名称版本）

重新过滤ftp流量可以看到服务端回复数据包有带自己的版本号

答案:vsFTPd 3.0.5

攻击者已对服务器发起暴力攻击。此攻击何时开始？

在第一题中，我们已经能从显示中看出目标的爆破过程，详细打开第一个包，我们能看到第一次攻击的UTC

答案:2024-05-03 04:12:54

授予攻击者访问权限的正确凭据是什么？（格式用户名：密码）

我们从ftp请求命令往下滑看到爆破者尝试的最后一个凭证信息

我十分确信凭证就是forela-ftp:ftprocks69$，在follow了这个包的tcp下面包的信息也佐证了这一点

答案:fore-ftp/ftprocks69$

攻击者已从服务器中泄露文件。用于下载远程文件的 FTP 命令是什么？

继续查看ftp命令

可以看到攻击者对这个文件进行了操作，进行流追踪

可以看到攻击者执行RETR Maintenance-Notice.pdf提示出现了传输成功

答案：RETR

攻击者能够破坏备份 SSH 服务器的凭据。此 SSH 服务器的密码是什么？

我们通过ftp-data将流经数据文件保存下来

file>Export Objects>FTP-data

选择全部保存，pdf中保存了目标ssh密码

答案:**B@ckup2024!**

2023 年数据存档的 s3 存储桶 URL 是什么？

同上方式搞到的s3_buckets.txt

答案:https://2023-coldstorage.s3.amazonaws.com

该事件的范围很大，因为 Forela 的 s3 存储桶也遭到破坏，数 GB 的数据被盗和泄露。还发现攻击者使用社会工程来获取敏感数据的访问权限并勒索它。攻击者在网络钓鱼电子邮件中使用什么内部电子邮件地址来访问存储在 s3 存储桶上的敏感数据？

同上文件

答案:archivebackups@forela.co.uk