HW行动总结记一次捕获野生0day _ F12.pdfVIP

F12

Home

Archives

记一次捕获野生0day

Postedon2019-06-26

危害级别：【危急】

验证版本：

A8+V7.0SP3、A8+V6.1SP2

触发条件：没有限制。

在护网结束的倒数第三天，发现攻击方异常凶猛，各种藏着捂着的招式都使用出来了，突然发现被上传shell的告警，吓的我赶紧去分析日志看看攻击队

是怎么进来的。

分析

成功攻击者正在执行相关命令

发现攻击者传了shell后在时刻变换IP访问，猜测使用了代理IP池，梳理攻击者全部IP

1480246019190

232390819797813

根据告警信息及系统日志，在服务器根目录下面发现木马文件

木马内容为：

在日志当中排查攻击者执行的相关行为，提取攻击者所有操作行为

1pwd=asasd3344cmd=whoami

2pwd=asasd3344cmd=tasklist

3pwd=asasd3344cmd=cmd/ctype3389.reg

4pwd=asasd3344cmd=cmd/ctasklist

5pwd=asasd3344cmd=cmd/cregedit/s