https://wackymaker.github.io/tags/%E6%B5%81%E9%87%8F%E5%88%86%E6%9E%90/ Recent content in 流量分析 on wackymaker Hugo -- gohugo.io en-us Wed, 27 Aug 2025 14:56:36 +0800 https://wackymaker.github.io/post/optinseltrace4/ Wed, 27 Aug 2025 14:56:36 +0800 https://wackymaker.github.io/post/optinseltrace4/ <h2 id="题目简介">题目简介 </h2><p>打印机在圣诞老人的工作室中很重要，但我们还没有真正尝试确保它们的安全！格林奇和他的精英黑客团队可能会试图利用它来对付我们！请使用提供的数据包捕获进行调查！打印机服务器 IP 地址为 192.168.68.128 请注意 - 这些 Sherlocks 是按顺序完成的！</p> <p>附件信息</p> <div class="highlight"><pre tabindex="0" style="color:#f8f8f2;background-color:#272822;-moz-tab-size:4;-o-tab-size:4;tab-size:4;"><code class="language-zsh" data-lang="zsh"><span style="display:flex;"><span>┌──<span style="color:#f92672">(</span>wackymaker㉿kali<span style="color:#f92672">)</span>-<span style="color:#f92672">[</span>~/tmp/sherlock/OpTinselTrace-4<span style="color:#f92672">]</span> </span></span><span style="display:flex;"><span>└─$ dir </span></span><span style="display:flex;"><span>networktraffic.pcapng networktraffic.zip optinseltrace4.zip </span></span></code></pre></div><p>只有一个流量包</p> <h2 id="攻击ip地址为">攻击ip地址为？ </h2><p>题目原文（网络打印机服务器的性能变得缓慢，导致北极车间的工作流程中断。圣诞老人指示我们生成支持请求并检查网络数据以查明问题的根源。他怀疑格林奇和他的团队可能参与了这种情况。您能否验证是否有向打印机服务器发送过多流量的 IP 地址？）</p> <p>打开文件包，一共3800多个包</p> <p><img src="https://wackymaker.github.io/OpTinselTrace4/image.png" loading="lazy" ></p> <p>提供给了我们打印机的ip地址，只需要过滤出打印机ip就能找到请求最多的ip</p> <p><img src="https://wackymaker.github.io/OpTinselTrace4/image-1.png" loading="lazy" ></p> <p>答案：172.17.79.133</p> <h2 id="最终攻击端口">最终攻击端口 </h2><p>题目原文（Bytesparkle 作为技术负责人，发现了来自先前攻击中识别的同一 IP 的端口扫描痕迹。然后，哪个端口是打印机最初入侵的目标？）</p> <p>过滤攻击ip，并锁定初步攻击时的流量包，我们能找到攻击者对9100端口进行了大量访问</p> <p><img src="https://wackymaker.github.io/OpTinselTrace4/image-2.png" loading="lazy" ></p> <p>答案；9100</p> <h2 id="服务器上运行的打印机的全名是什么">服务器上运行的打印机的全名是什么？ </h2><p>随便找几个9100的包追踪tcp，我们能找到如下文本</p> <p><img src="https://wackymaker.github.io/OpTinselTrace4/image-3.png" loading="lazy" ></p> <p>答案： Northpole HP LaserJet 4200n</p> <h2 id="格林奇截获了一份圣诞老人制作的善良和顽皮孩子的名单好名单上的第二个孩子叫什么名字">格林奇截获了一份圣诞老人制作的善良和顽皮孩子的名单。好名单上的第二个孩子叫什么名字？ </h2><p>并不太理解打印机流量数据中的内容，于是我继续分析刚才追踪的tcp，找到了类似名单的东西</p> <p><img src="https://wackymaker.github.io/OpTinselTrace4/image-4.png" loading="lazy" ></p> <div class="highlight"><pre tabindex="0" style="color:#f8f8f2;background-color:#272822;-moz-tab-size:4;-o-tab-size:4;tab-size:4;"><code class="language-zsh" data-lang="zsh"><span style="display:flex;"><span>@PJL FSUPLOAD FORMAT:BINARY NAME<span style="color:#f92672">=</span><span style="color:#e6db74">&#34;0:/christmas/2023/Nice-kids/list1.txt&#34;</span> OFFSET<span style="color:#f92672">=</span><span style="color:#ae81ff">0</span> SIZE<span style="color:#f92672">=</span><span style="color:#ae81ff">180</span> </span></span><span style="display:flex;"><span> </span></span><span style="display:flex;"><span> Jennifer Sanchez </span></span><span style="display:flex;"><span> Douglas Price </span></span><span style="display:flex;"><span> Joshua Ross </span></span><span style="display:flex;"><span> Catherine Bailey </span></span><span style="display:flex;"><span> Martha Clark </span></span><span style="display:flex;"><span> Ruby Kelly </span></span><span style="display:flex;"><span> Edward Parker </span></span><span style="display:flex;"><span> Tammy James </span></span><span style="display:flex;"><span> Lori Robinson </span></span><span style="display:flex;"><span> Wayne Gonzales </span></span><span style="display:flex;"><span>@PJL ECHO DELIMITER56482 </span></span></code></pre></div><p>答案：Douglas Price</p> <h2 id="查看圣诞老人解雇elfin的理由">查看圣诞老人解雇elfin的理由 </h2><p>题目原文（格林奇获得了一份打印作业指令文件，该文件用于一位名叫埃尔芬的员工使用的打印机。看来圣诞老人和北极管理团队已经做出了解雇 Elfin 的决定。您能否提供终止 Elfin 雇佣关系的决定背后的逐字理由？）</p> <p>我们过滤data字段，查找和这个id有关的包</p> <div class="highlight"><pre tabindex="0" style="color:#f8f8f2;background-color:#272822;-moz-tab-size:4;-o-tab-size:4;tab-size:4;"><code class="language-zsh" data-lang="zsh"><span style="display:flex;"><span>data contains <span style="color:#e6db74">&#34;Elfin&#34;</span> </span></span></code></pre></div><p><img src="https://wackymaker.github.io/OpTinselTrace4/image-5.png" loading="lazy" ></p> <p>只有415这个包出现了ascii码的Elfin，那就无需追踪流了</p> <p>简单看了一下答案是因为这人是个二五仔</p> <p>答案：The addressed employee is confirmed to be working with grinch and team. According to Clause 69 , This calls for an immediate expulsion.</p> <h2 id="计划打印作业的名称是什么">计划打印作业的名称是什么？ </h2><p>过滤Job,我们能找到大约几十个流量包</p> <p><img src="https://wackymaker.github.io/OpTinselTrace4/image-6.png" loading="lazy" ></p> <p>随便点一个追踪流，可惜都是打印机的打印任务，找不到有用的，但是我意识到计划任务应该会有start关键词</p> <div class="highlight"><pre tabindex="0" style="color:#f8f8f2;background-color:#272822;-moz-tab-size:4;-o-tab-size:4;tab-size:4;"><code class="language-zsh" data-lang="zsh"><span style="display:flex;"><span>data contains <span style="color:#e6db74">&#34;Start&#34;</span> </span></span></code></pre></div><p>只有一个数据包，但是当中存在我们需要的内容</p> <p><img src="https://wackymaker.github.io/OpTinselTrace4/image-7.png" loading="lazy" ></p> <p>答案：MerryChristmas+BonusAnnouncment</p> <h2 id="ssh利用方式">ssh利用方式？ </h2><p>题目（在我们对当前数据包捕获的持续分析中，情况已经惊人地升级。我们的安全系统在一台高度关键的服务器上检测到了漏洞利用后活动的迹象，该服务器本应通过仅使用 SSH 密钥进行安全访问。这一事态发展引起了安全团队的严重担忧。在 Bytesparkle 调查此次违规行为时，他推测此次安全事件可能与早期的打印机问题有关。您能否确定并提供打印机服务器上使格林奇能够横向移动到此关键服务器的文件的完整路径？）</p> <p>看来关键在于ssh</p> <p>过滤后发现与上一题tcp流一致，都在46流</p> <p><img src="https://wackymaker.github.io/OpTinselTrace4/image-8.png" loading="lazy" ></p> <p>明显的ssh私钥</p> <p>答案：/Administration/securitykeys/ssh_systems/id_rsa</p> <h2 id="私钥字节大小">私钥字节大小 </h2><p>在上图私钥信息中就出现了</p> <p>答案：1914</p> <h2 id="泄露的另一台主机">泄露的另一台主机 </h2><p>与上题一致的泄露区域，有一则注释</p> <div class="highlight"><pre tabindex="0" style="color:#f8f8f2;background-color:#272822;-moz-tab-size:4;-o-tab-size:4;tab-size:4;"><code class="language-zsh" data-lang="zsh"><span style="display:flex;"><span><span style="color:#75715e">#This is a backup key for christmas.gifts server. Bytesparkle recommended me this since in christmas days everything gets mixed up in all the chaos and we can lose our access keys to the server just like we did back in 2022 christmas.</span> </span></span></code></pre></div><p>答案：christmas.gifts</p> <h2 id="格林奇什么时候试图从打印机中删除文件utc">格林奇什么时候试图从打印机中删除文件？（UTC） </h2><p>这道题我找了很久，并不在28或者46流，当过来吧DELETE后我们找到了结果</p> <p><img src="https://wackymaker.github.io/OpTinselTrace4/image-9.png" loading="lazy" ></p> <p>数据包3676存在delete关键字</p> <p>答案：2023-12-08 12:18:14</p> https://wackymaker.github.io/post/origins-htb/ Sat, 23 Aug 2025 18:11:16 +0800 https://wackymaker.github.io/post/origins-htb/ <h2 id="题目简介">题目简介 </h2><p>最近在福雷拉发生了一起重大事件。大约 20 GB 的数据从内部 s3 存储桶中被盗，攻击者现在正在勒索 Forela。在根本原因分析过程中，怀疑 FTP 服务器是攻击的来源。发现该服务器也遭到入侵，一些数据被盗，导致整个环境进一步受到损害。系统会向您提供最小的 PCAP 文件。您的目标是查找暴力破解和数据泄露的证据。</p> <h2 id="攻击者ip地址">攻击者ip地址 </h2><p>解压提供给我们的zip获取ftp.pcap流量包</p> <p>wireshark打开后显示出了题目给的547个数据包，由于提示了ftp以及爆破，我们直接过滤ftp.request.command查看ftp流量中请求命令 <img src="https://wackymaker.github.io/origins/image-2.png" loading="lazy" > 可以看到请求方都是15.206.185.207</p> <p>答案:15.206.185.207</p> <h2 id="获取有关攻击者的更多知识至关重要即使保真度很低使用攻击者使用的-ip-地址的地理位置数据他们属于哪个城市">获取有关攻击者的更多知识至关重要，即使保真度很低。使用攻击者使用的 IP 地址的地理位置数据，他们属于哪个城市？ </h2><p>将得到的ip去ip38查询</p> <div class="highlight"><pre tabindex="0" style="color:#f8f8f2;background-color:#272822;-moz-tab-size:4;-o-tab-size:4;tab-size:4;"><code class="language-zsh" data-lang="zsh"><span style="display:flex;"><span>https://www.ip38.com/ </span></span></code></pre></div><p>得到结果是印度的孟买</p> <p><img src="https://wackymaker.github.io/origins/image-3.png" loading="lazy" ></p> <p>答案:Mumbai</p> <h2 id="备份服务器使用了哪个-ftp-应用程序输入全名和版本格式名称版本">备份服务器使用了哪个 FTP 应用程序？输入全名和版本。（格式：名称版本） </h2><p><img src="https://wackymaker.github.io/origins/image-4.png" loading="lazy" ></p> <p>重新过滤ftp流量可以看到服务端回复数据包有带自己的版本号</p> <p>答案:vsFTPd 3.0.5</p> <h2 id="攻击者已对服务器发起暴力攻击此攻击何时开始">攻击者已对服务器发起暴力攻击。此攻击何时开始？ </h2><p>在第一题中，我们已经能从显示中看出目标的爆破过程，详细打开第一个包，我们能看到第一次攻击的UTC</p> <p><img src="https://wackymaker.github.io/origins/image-5.png" loading="lazy" ></p> <p>答案:2024-05-03 04:12:54</p> <h2 id="授予攻击者访问权限的正确凭据是什么格式用户名密码">授予攻击者访问权限的正确凭据是什么？（格式用户名：密码） </h2><p>我们从ftp请求命令往下滑看到爆破者尝试的最后一个凭证信息</p> <p><img src="https://wackymaker.github.io/origins/image-6.png" loading="lazy" ></p> <p>我十分确信凭证就是forela-ftp:ftprocks69$，在follow了这个包的tcp下面包的信息也佐证了这一点</p> <p><img src="https://wackymaker.github.io/origins/image-7.png" loading="lazy" ></p> <p>答案:fore-ftp/ftprocks69$</p> <h2 id="攻击者已从服务器中泄露文件用于下载远程文件的-ftp-命令是什么">攻击者已从服务器中泄露文件。用于下载远程文件的 FTP 命令是什么？ </h2><p>继续查看ftp命令</p> <p><img src="https://wackymaker.github.io/origins/image-9.png" loading="lazy" ></p> <p>可以看到攻击者对这个文件进行了操作，进行流追踪</p> <p><img src="https://wackymaker.github.io/origins/image-10.png" loading="lazy" ></p> <p>可以看到攻击者执行RETR Maintenance-Notice.pdf提示出现了传输成功</p> <p>答案：RETR</p> <h2 id="攻击者能够破坏备份-ssh-服务器的凭据此-ssh-服务器的密码是什么">攻击者能够破坏备份 SSH 服务器的凭据。此 SSH 服务器的密码是什么？ </h2><p>我们通过ftp-data将流经数据文件保存下来</p> <p>file&gt;Export Objects&gt;FTP-data</p> <p><img src="https://wackymaker.github.io/origins/image-11.png" loading="lazy" ></p> <p>选择全部保存，pdf中保存了目标ssh密码</p> <p><img src="https://wackymaker.github.io/origins/image-12.png" loading="lazy" ></p> <p>答案:**B@ckup2024!**</p> <h2 id="2023-年数据存档的-s3-存储桶-url-是什么">2023 年数据存档的 s3 存储桶 URL 是什么？ </h2><p>同上方式搞到的s3_buckets.txt</p> <p><img src="https://wackymaker.github.io/origins/image-13.png" loading="lazy" ></p> <p>答案:https://2023-coldstorage.s3.amazonaws.com</p> <h2 id="该事件的范围很大因为-forela-的-s3-存储桶也遭到破坏数-gb-的数据被盗和泄露还发现攻击者使用社会工程来获取敏感数据的访问权限并勒索它攻击者在网络钓鱼电子邮件中使用什么内部电子邮件地址来访问存储在-s3-存储桶上的敏感数据">该事件的范围很大，因为 Forela 的 s3 存储桶也遭到破坏，数 GB 的数据被盗和泄露。还发现攻击者使用社会工程来获取敏感数据的访问权限并勒索它。攻击者在网络钓鱼电子邮件中使用什么内部电子邮件地址来访问存储在 s3 存储桶上的敏感数据？ </h2><p>同上文件</p> <p>答案:archivebackups@forela.co.uk</p>