概要
TryHackMe「Investigating Windows」のWalkthroughです。
Task1
Q1.Whats the version and year of the windows machine?
コマンドプロンプトからバージョン、年代を確認できました。
A.Windows Server 2016
Q2.Which user logged in last?
Hint.That's you just now. But, who logged in before you?
Event Viewr->Windows Logs->securityでログインのログを見ます。
A.Administrator
Q3.When did John log onto the system last?Answer format: MM/DD/YYYY H:MM:SS AM/PM
Hint.Try using cmd to find this out
LogonのイベントIDは4624なのでフィルタリングします。
そして文字列検索でJohnを検索し最終ログイン日を調べます。
A.03/02/2019 5:48:32 PM
Q4.What IP does the system connect to when it first starts?
レジストリのHKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Runでスタートアッププログラムを調べます。
A.10.34.2.3
Q5.What two accounts had administrative privileges (other than the Administrator user)?Answer format: username1, username2
net localgroup administratorsコマンドでグループに所属しているユーザーを調べます。
A.Jenny, Guest
Q6.Whats the name of the scheduled task that is malicous.
Get-ScheduledTaskでスケジュールされたプログラムを閲覧し悪意のあるプログラムを探します。
A.Clean file system
Q7.What file was the task trying to run daily?
タスクスケジューラーを開いて毎日実行するプログラムを発見します。
A.nc.ps1
Q8.What port did this file listen locally for?
プログラムの引数でリッスンしているポートが分かります。
A.1348
Q9.When did Jenny last logon?
net user jennyコマンドでログイン履歴を調べます。
A.Never
Q10.At what date did the compromise take place?Answer format: MM/DD/YYYY
タスクスケジューラーのファイルが作成された日付で推測できます。
A.03/02/2019
Q11.During the compromise, at what time did Windows first assign special privileges to a new logon?Answer format: MM/DD/YYYY HH:MM:SS AM/PM
Hint.00/00/0000 0:00:49 PM
タスクスケジューラーのファイル作成日で絞って、イベントID4672(新しいログオンに特権が付与された時のもの)で検索します。
ヒントから日付を予測しました。
A.03/02/2019 4:04:49 PM
Q12.What tool was used to get Windows passwords?
/tmp/mim.exeがあり定期的にMimikatzが実行されていると分かります。
/tmp/mim-out.txtに情報を保存していると分かりました。
A.Mimikatz
Q13.What was the attackers external control and command servers IP?
C:\Windows\System32\drivers\etc\hostsで怪しいエントリーを調べます。
A.76.32.97.132
Q14.What was the extension name of the shell uploaded via the servers website?
C:\inetpub\wwwroot配下を調べます。
A..jsp
Q15.What was the last port the attacker opened?
Hint.Firewall
Firewall受信ルールの一番上にあるエントリーを確認します。
A.1337
Q16.Check for DNS poisoning, what site was targeted?
C:\Windows\System32\drivers\etc\hostsファイルから確認できます。
A.google.com