1\_Solar 2026 7月月赛 靶场-应急响应

原创

0l0123456
0l0123456

安全Vlog

2026年7月25日 18:53
广东

在小说阅读器读本章

去阅读

日志里搜4624 登录成功

虽然是frp映射rdp端口，被登录，同样也是远程登录，再加上字符串

登录状态: 10

我这里因为一开始是搜登录状态:10 没出来，本来一开始是想敲多几个空格试试，又没试了。

所以我没看到那一条记录了，只看到3 和 5状态的 = =

挖矿主程序的MD5

flag{5681DF140337A9B736CF8C62DFAC98FC}

无语自己了

请提交运维人员用于内网穿透的服务器地址，及其映射的远程桌面端口。提交格式：flag{IP:端口}

Flag{115.28.208.215:13389}

主程序与守护进程所在的完整目录路径。

Flag{C:\Users\Administrator\AppData\Roaming\Microsoft\Windows\Update}

挖矿发现：

需要取消受保护程序隐藏

矿池地址和用户就在隐藏的config.json

Flag{ltc1q0fake0training0wallet0000000000aaaaaaaaaa.rig0}

终止挖矿进程和守护进程运行

Taskkill /f /im sysguard.exes

Taskkill /f /im sysupdate.exe

终止以后flag1

拖出样本，利用Ai + ida 分析

第1 步：清除注册表自启动项（需要管理员权限删 HKLM）

reg delete \"HKCU\Software\Microsoft\Windows\CurrentVersion\Run\" /v WindowsUpdateHelper /f

验证：reg query \"HKCU\Software\Microsoft\Windows\CurrentVersion\Run\" /v WindowsUpdateHelper

应提示找不到。完成后读取3.txt 提交 flag。

flag{a32b7d2b1505d66bc919e27a0ac24a9d}

第2 步：删除计划任务

schtasks /Delete /TN \"\Microsoft\Windows\Update\UpdateTask\" /F

验证：schtasks /Query /TN \"\Microsoft\Windows\Update\UpdateTask\" 应提示不存在。完成后读取 4.txt

flag{2329d57242e18c42cea938e9f055d37b}

第3 步：删除系统服务

sc stop WindowsUpdateHelperSvc

sc delete WindowsUpdateHelperSvc

flag{43526de4594018e3c574b03cd1f64a22}