2018铁人三项数据包分析

1.黑客攻击的第一个受害主机的网卡IP地址

2.黑客对URL的哪一个参数实施了SQL注入

3.第一个受害主机网站数据库的表前缀(加上下划线 例如abc_)

4.第一个受害主机网站数据库的名字

5.Joomla后台管理员的密码是多少

6.黑客第一次获得的php木马的密码是什么

7.黑客第二次上传php木马是什么时间

8.第二次上传的木马通过HTTP协议中的哪个头传递数据

9.内网主机的mysql用户名和请求连接的密码hash是多少(用户:密码hash)

10.php代理第一次被使用时最先连接了哪个IP地址

11.黑客第一次获取到当前目录下的文件列表的漏洞利用请求发生在什么时候

12.黑客在内网主机中添加的用户名和密码是多少

13.黑客从内网服务器中下载下来的文件名

http

大量的sqlmap跑出来的数据

内网主机:192.1687.1.8 攻击机:202.1.1.2

从请求报文可以看到攻击者对list[select]进行注入

数据库的表前缀为: 'ajtuc_'

 

 

最后一个报文

GET /index.php?option=com_contenthistory&view=history&list[ordering]=&item_id=1&type_id=1&list[select]=(UPDATEXML(6315,CONCAT(0x2e,0x71717a7671,(SELECT MID((IFNULL(CAST(username AS CHAR),0x20)),1,22) FROM joomla.ajtuc_users ORDER BY id LIMIT 0,1),0x71716b6b71),4235))

数据库名为: joomla

 

(ip.addr == 192.168.1.8 || ip.addr == 202.1.1.2) && http contains "password" && http.request.method==POST

显示192.168.1.8或202.1.1.2 POST数据中含有password流量

ip.dst == 192.168.1.8 && http contains "password"

显示目的IP为192.168.1.8，http数据中含有password的流量

qqzvq$2y$10$lXujU7XaUviJDigqqkkq

qqzvqFMzKy6.wx7EMCBqpzrJdn7qqkkq

qqzvqzi/8B2QRD7qIlDJeqqkkq

第二个数据包

(ip.addr == 192.168.1.8 || ip.addr == 202.1.1.2) && http

 

 

 

 

 

 

第二次上传木马的时间

采用referer头进行数据传送

第四个数据包

内网主机的mysql用户名和请求连接的密码hash是多少？(用户:密码hash)

tcp contains "mysql" && mysql

(ip.addr==192.168.1.8 || ip.addr == 202.1.1.2)&&http

代理文件名:tunnel.php

使用代理后最先连接的ip

(ip.addr==192.168.1.8 || ip.addr == 202.1.1.2)&&http.request.method==POST&&http

jo_00005_20180207175003.pcap

黑客第一次获取到当前目录下的文件列表的漏洞利用请求发生在什么时候

(ip.addr == 192.168.1.8 || ip.addr == 202.1.1.2) && (http contains "dir" || http contains "ls")

对ls的数据包进行TCP追踪，发现其没有执行成功

 

对dir进行TCP追踪，回显成功，可以确定目标主机为windows

时间为：18:36:59.770782

ip.addr == 192.168.2.20 && http

攻击者利用echo命令写入了名为sh.php的后门

ip.src == 192.168.2.20 && http

18:49:27.767754时分攻击者执行net user命令

18:50:42.908737时，攻击者又执行了net user，已成功添加了新用户

ip.addr == 192.168.2.20 && http

查看两个时间段的数据包

 

将Z2的值解码

账号密码都为kaka

ip.dst == 192.168.2.20 && http.request.method==POST

最后一个数据包