Windows应急响应实战：玄机靶场vulntarget-j-02后门排查全记录（附NTLM哈希爆破脚本）

Windows应急响应实战玄机靶场vulntarget-j-02后门排查全记录1. 靶场环境与攻击入口分析玄机靶场的vulntarget-j-02模拟了一个典型的Windows Server 2019企业环境。攻击者通过FCKeditor 2.6.4.1的文件上传漏洞获得了初始立足点这个老旧的HTML编辑器版本存在已知的安全缺陷暴露端口3389RDP、5986WinRM、8000/18000Web服务脆弱组件FCKeditor存在未授权的文件上传路径/FCKeditor/editor/filemanager/connectors/test.html /FCKeditor/editor/filemanager/connectors/uploadtest.html攻击手法利用%00截断技术实现ASP木马上传典型攻击链为首次上传shell.asp%00txt→ 生成shell.asp_txt二次上传同名文件 → 生成可执行的shell(1).asp提示现代防御体系应禁用FCKeditor等老旧组件或严格限制上传文件类型但现实中仍有大量企业系统存在类似技术债务。2. 横向移动与权限提升攻击者在获取webshell后通过系统内遗留的凭据文件实现了权限升级关键发现C:\1.png诱饵文件C:\密码本.xls含xuanji用户的NTLM哈希值哈希爆破实战 已知哈希前缀和部分明文密码时可采用以下优化爆破方案Python实现import hashlib from itertools import product def ntlm_hash(password): return hashlib.new(md4, password.encode(utf-16le)).hexdigest() def targeted_brute(prefix, suffix, charset, length4): target_hash f7f2310c1233353705ca169324bcbe37 for combo in product(charset, repeatlength): candidate prefix .join(combo) suffix if ntlm_hash(candidate) target_hash: return candidate return None # 执行爆破实际场景应使用更高效的实现 print(targeted_brute(H, vX97HMhM7T0rtv0, 0123456789ABCDEF))最终爆破获得明文密码H6Du4vX97HMhM7T0rtv03. 后门持久化技术深度剖析攻击者在系统内建立了至少三种持久化机制每种都代表一类典型攻击手法3.1 计划任务后门检测项正常特征异常特征任务名称描述清晰的维护任务MyBackdoor无实际描述执行程序路径System32下标准程序临时目录下的cmd.exe触发器设置固定时间/事件触发每分钟重复执行排查命令Get-ScheduledTask | Where-Object { $_.TaskName -like *backdoor* } | Select-Object TaskName, Actions3.2 服务型后门攻击者创建了伪装成Redis服务的恶意服务sc query Redis # 服务状态检查 sc qc Redis # 查看服务配置异常特征包括服务二进制路径指向非常规位置如C:\Windows\Temp\cmd2.exe服务描述信息与官方文档不符启动账户为SYSTEM但无合理业务需求3.3 辅助功能劫持通过替换sethc.exe粘滞键功能实现登录界面后门系统文件合法路径篡改迹象sethc.exeC:\Windows\System32\文件大小/时间戳异常utilman.exeC:\Windows\System32\数字签名验证失败检测方法Get-FileHash C:\Windows\System32\sethc.exe -Algorithm SHA2564. 痕迹清理与日志分析攻击者尝试清除活动痕迹但仍有线索可循用户账户操作创建隐藏账户admin$后删除在PowerShell历史记录中残留证据# 查看PSReadLine历史记录 Get-Content $env:USERPROFILE\AppData\Roaming\Microsoft\Windows\PowerShell\PSReadLine\ConsoleHost_history.txtIIS日志分析 木马文件访问路径/upload/image/5(1).asp在日志中表现为2023-XX-XX 14:22:45 192.168.1.100 POST /upload/image/5(1).asp - 80 - 10.0.0.1 ...5. 防御Checklist与改进建议5.1 应急响应流程优化初始评估建立事件时间线确定受影响系统范围收集易失性数据内存、网络连接深度检测对比系统文件哈希如System32目录检查所有自启动项任务、服务、注册表分析近期的文件系统变更恢复措施重置所有凭据包括服务账户重建被篡改的系统文件更新入侵检测规则5.2 长期防护策略应用控制# 启用WDACWindows Defender应用程序控制 Set-RuleOption -FilePath .\Policy.xml -Option 3 -Delete日志增强启用PowerShell模块日志代码块执行记录配置Sysmon监控关键文件变更权限管理实施本地管理员密码解决方案LAPS禁用NTLMv1强制使用Kerberos认证在实际企业环境中建议定期进行红蓝对抗演练使用类似玄机靶场的环境验证防御体系有效性。某次客户事件中我们发现攻击者通过类似sethc.exe替换的手法潜伏了11个月未被发现直到偶然的哈希比对检查才暴露。