概要

TryHackMe「Investigating Windows」のWalkthroughです。

Task1

Q1.Whats the version and year of the windows machine?

コマンドプロンプトからバージョン、年代を確認できました。

A.Windows Server 2016

Q2.Which user logged in last?

Hint.That's you just now. But, who logged in before you?

Event Viewr->Windows Logs->securityでログインのログを見ます。

A.Administrator

Q3.When did John log onto the system last?Answer format: MM/DD/YYYY H:MM:SS AM/PM

Hint.Try using cmd to find this out

LogonのイベントIDは4624なのでフィルタリングします。

そして文字列検索でJohnを検索し最終ログイン日を調べます。

A.03/02/2019 5:48:32 PM

Q4.What IP does the system connect to when it first starts?

レジストリのHKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Runでスタートアッププログラムを調べます。

A.10.34.2.3

Q5.What two accounts had administrative privileges (other than the Administrator user)?Answer format: username1, username2

net localgroup administratorsコマンドでグループに所属しているユーザーを調べます。

A.Jenny, Guest

Q6.Whats the name of the scheduled task that is malicous.

Get-ScheduledTaskでスケジュールされたプログラムを閲覧し悪意のあるプログラムを探します。

A.Clean file system

Q7.What file was the task trying to run daily?

タスクスケジューラーを開いて毎日実行するプログラムを発見します。

A.nc.ps1

Q8.What port did this file listen locally for?

プログラムの引数でリッスンしているポートが分かります。

A.1348

Q9.When did Jenny last logon?

net user jennyコマンドでログイン履歴を調べます。

A.Never

Q10.At what date did the compromise take place?Answer format: MM/DD/YYYY

タスクスケジューラーのファイルが作成された日付で推測できます。

A.03/02/2019

Q11.During the compromise, at what time did Windows first assign special privileges to a new logon?Answer format: MM/DD/YYYY HH:MM:SS AM/PM

Hint.00/00/0000 0:00:49 PM

タスクスケジューラーのファイル作成日で絞って、イベントID4672(新しいログオンに特権が付与された時のもの)で検索します。

ヒントから日付を予測しました。

A.03/02/2019 4:04:49 PM

Q12.What tool was used to get Windows passwords?

/tmp/mim.exeがあり定期的にMimikatzが実行されていると分かります。
/tmp/mim-out.txtに情報を保存していると分かりました。

A.Mimikatz

Q13.What was the attackers external control and command servers IP?

C:\Windows\System32\drivers\etc\hostsで怪しいエントリーを調べます。

A.76.32.97.132

Q14.What was the extension name of the shell uploaded via the servers website?

C:\inetpub\wwwroot配下を調べます。

A..jsp

Q15.What was the last port the attacker opened?

Hint.Firewall

Firewall受信ルールの一番上にあるエントリーを確認します。

A.1337

Q16.Check for DNS poisoning, what site was targeted?

C:\Windows\System32\drivers\etc\hostsファイルから確認できます。

A.google.com