流量练习3

内存余响
内存余响

内存余响

2026年10月16日 22:52
江西

去阅读

应急加固-医院脱库应急处理

登录账号密码：administrator/Zhoudi666 某医院系统疑似被攻击，攻击者常规手段获取到了后台账号密码，在此之前攻击者使用多个IP进行扫描，你作为安全服务工程师需要分析其流量包和日志来快速审计，每个IP的扫描特征并快速归类，并思考在常规渗透中，攻击者是怎么获取到的管理员密码进行登录的后台 此外除了已有需要提交的题目，你还需要做的是 1. 根据桌面已有的工具进行分析 根据桌面已有的文档模板进行编写报告进行整个流程的梳理(后期给客户进行汇报) 2. 修复出现的相关漏洞(无论使用任何方法)，保证业务系统正常运行 3. 看看系统中自己能不能挖出其他漏洞

首次发起端口扫描的IP是

SYN扫描是最常见的扫描方式，扫描方会发送SYN数据包来试探目标端口是否开放

过滤所有syn数据包

tcp.flags.syn==1 and tcp.flags.ack==0
syn标志位为1且ack标志位为0
攻击者向靶机发送的端口扫描发送的请求

首次进行端口扫描的ip为192.168.37.3

哪个IP使用了AWVS扫描器

在正常的AWVS漏洞扫描中，除了一些UA变化，请求头中有acunetix特征，还有域名特征bxss.mess

我记得之前写过一个也是这种扫描器的，直接过滤包含.wvs

tcp contains \".wvs\"

答案就是192.168.37.1

还有个IP也使用了扫描器进行主机+WEB扫描，提交其扫描次数(以wireshark数量为主)

根据第一问我们知道进行扫描的还有其他主机

根据这个web扫描，我们可以来看一下，这个192.168.37.100我们可以看到它扫描的都是8080端口

过滤之后可以看到是4812条

运维人员发现有IP进行了WEB登录爆破，提交其IP

web登陆爆破，主要就看http的post方式

http.request.method==\"POST\"

我们看到这个192.168.37.87一直在登陆页面提交

还有这个192.168.37.200也进行了爆破之后还登陆成功了

运维人员发现有IP进行了WEB登录爆破，提交其爆破次数

根据上面知道的两个ip，进行过滤看看次数

可以看到有112条，记得要过滤login页面的

运维发现数据库疑似被写入了垃圾用户(批量注册)请提交其IP

这个批量注册好像在前面两题看到过192.168.37.177  

192.168.37.3应该不算批量注册，就只有两个注册

运维发现数据库疑似被写入了垃圾用户(批量注册)请提交注册成功数量

http.request.method==\"POST\"&&http.request.uri==\"/register.php\"

我们可以看到一直从zhangsan0注册到zhangsan57

请提交攻击者登录成功admin用户的IP及密码，以&连接

查看最后一条登陆包

http.request.method==\"POST\"&&http.request.uri==\"/login.php\"

找到攻击者获取医院数据(患者身份信息的数量)

分析这个流量包，攻击者登陆成功之后进入了setting.php页面

看最大的那条包，追踪流

根据这个sql注入语句脱库的内容为hospital\_db库中的patients表中的name、id\_card列

里面有很多这样的数据，导出来搜索一下前面一样的前缀就知道有多少条