Clubs&Spades's Space

Sherlock - Vantage

2026-04-08T16:00:00.000Z

二零二六年-四月九日上课无聊天气-晴☀️

Task 1 : What tool did the attacker use to fuzz the web server ?

(Format- include version e.g, nmap@7.80)
需要关注User-Agent，于是新加一列UA，便于分析：

可知是：Fuzz Faster U Fool v2.1.0-dev

ffuf@2.1.0

Task 2 : Which subdomain did the attacker discover?

可以看到ffuf结束后，攻击者发现了cloud.vantage.tech并对它尝试进一步探索

cloud

Task 3 : 攻击者在成功登录仪表盘前尝试了多少次登录？

过滤 ip.dst == 117.200.21.26 && http.request.uri == "/dashboard/auth/login/"

失败了3次

3

Task 4 : 攻击者是什么时候下载了 OpenStack API 远程访问配置文件的？（UTC）

由于有文件被下载，所以我们可以去文件导出列表查看
发现几个和openstack api相关的文件，了解一下攻击链：

攻击者登录 Horizon
       ↓
访问 /project/api_access/ 页面
       ↓
点击"Download OpenStack RC File"按钮
       ↓
服务器响应 Content-Type: text/plain
       ↓
攻击者获得 openrc.sh 文件内容（含密码）

所以我们要找的文件是openrc （GMT 与 UTC 在日常精度下视为相同）

2025-07-01 09:40:29

Task 5 : 攻击者何时首次与控制器节点上的 API 进行了交互？

对文件 controller.2025-07-01.pcap分析，过滤 ip.src==117.200.21.26 && http

第一个包的时间就是答案

2025-07-01 09:41:44

Task 6 : 攻击者访问的默认项目的项目 ID 是什么？

过滤 ip.src==117.200.21.26 && http.request.uri contains "default"
查看追踪流：

9fb84977ff7c4a0baf0d5dbb57e235c7

Task 7 : 哪个 OpenStack 服务为 OpenStack API 提供认证和授权？

直接一个搜：

包里也能找到：

后面还跟了一个auth（认证）

keystone

Task 8 : Swift 服务的端点 URL 是什么？

swift 端点的url格式：

1	http(s)://[控制器IP或域名]:8080/v1/AUTH_$(PROJECT_ID)

全局string检索：

http://134.209.71.220:8080/v1/AUTH_9fb84977ff7c4a0baf0d5dbb57e235c7

Task 9 : 攻击者发现了多少个containers

检索 /v1/AUTH_9fb84977ff7c4a0baf0d5dbb57e235c7?format=json，追踪流查看

3

Task 10 : 攻击者是在何时下载了敏感用户数据文件的？(UTC)

找获得csv文件（GET /v1/AUTH_9fb84977ff7c4a0baf0d5dbb57e235c7/user-data/user-details.csv HTTP/1.1\r\n）的流量，得到时间：

2025-07-01 09:45:23

Task 11 : How many user records are in the sensitive user data file?

直接查看user-details.csv

28

Task 12 : 为了实现持久化，攻击者创建了一个具有管理员权限的新用户。请问该新用户的用户名是什么？

过滤：http.request.uri == "/identity/v3/users"，查看 POST 包：

jellibean

Task 13 : 新用户的密码是什么？

P@$$word

Task 14 : 该行为对应 MITRE ATT&CK 的哪个子技术？

攻击者通过调用 OpenStack API 创建新用户（jellibean），并设置密码 P@$$word，可能用于维持访问权限或绕过已有身份验证机制。这属于在云环境中创建非法账户的行为，对应 MITRE ATT&CK 中的 T1136.003（子技术）。

T1136.003

EZ 工具与应急响应用途速查表

2026-03-15T16:00:00.000Z

1. Get-ZimmermanTools

用途：批量下载、更新 Eric Zimmerman 工具集，快速搭建应急/取证分析环境。
应急响应场景：
- 初始化分析机
- 统一工具版本
- 快速补齐常用取证组件
适用文件类型/后缀：
- 无固定取证输入文件
- 常见分发文件：.ps1、.zip

2. AmcacheParser

用途：解析 Amcache，发现程序落地、安装与执行相关痕迹。
应急响应场景：
- 排查可疑 EXE / DLL 是否曾落地
- 辅助确认软件安装历史
- 补充程序出现与活动时间线
适用文件类型/后缀：
- .hve
- 常见文件名：Amcache.hve

3. AppCompatCacheParser

用途：解析 ShimCache / AppCompatCache。
应急响应场景：
- 判断可疑程序是否曾在系统中出现
- 辅助分析历史执行痕迹
- 与 Prefetch / Amcache 交叉验证
适用文件类型/后缀：
- 主要来自注册表 hive
- 常见输入：SYSTEM（通常无普通后缀）
- 也可能是其导出副本文件

4. bstrings

用途：从二进制文件中提取可读字符串。
应急响应场景：
- 从恶意样本提取 URL、域名、路径、命令行、互斥体、账号等 IOC
- 快速辅助样本静态分析
适用文件类型/后缀：
- .exe
- .dll
- .sys
- .bin
- .dat
- 内存转储或其他任意二进制文件

5. EvtxECmd

用途：解析 Windows 事件日志。
应急响应场景：
- 登录/注销分析
- 进程创建排查
- 服务安装、计划任务、PowerShell、RDP、账户变更分析
适用文件类型/后缀：
- .evtx

6. EZViewer

用途：查看 EZ 工具输出结果。
应急响应场景：
- 浏览、筛选、复核解析结果
- 对批量导出的结果做人工审阅
适用文件类型/后缀：
- .csv
- .tsv
- 其他结果文本文件

7. JLECmd

用途：解析 Jump Lists。
应急响应场景：
- 还原用户最近打开过的文件、文档、程序
- 分析用户实际操作轨迹
适用文件类型/后缀：
- .automaticDestinations-ms
- .customDestinations-ms

8. JumpListExplorer

用途：Jump Lists 图形化查看器。
应急响应场景：
- 人工审阅最近访问记录
- 对 Jump Lists 结果做可视化核查
适用文件类型/后缀：
- .automaticDestinations-ms
- .customDestinations-ms

9. LECmd

用途：解析 LNK 快捷方式。
应急响应场景：
- 分析用户打开过的文件、程序、共享路径、移动介质目标
- 追查钓鱼附件、U 盘文件、网络共享访问
适用文件类型/后缀：
- .lnk

10. MFTECmd

用途：解析 NTFS 的 $MFT。
应急响应场景：
- 文件落地、删除、重命名分析
- 恢复“文件曾经存在”的证据
- 还原文件系统活动时间线
适用文件类型/后缀：
- $MFT（通常无普通后缀）
- 也常见为取证导出的副本文件

11. MFTExplorer

用途：$MFT 图形化查看器。
应急响应场景：
- 人工核查文件系统记录
- 定点查看可疑文件条目与时间戳
适用文件类型/后缀：
- $MFT

12. PECmd

用途：解析 Prefetch。
应急响应场景：
- 确认可疑程序是否执行过
- 查看执行次数、最近运行时间、加载文件
- 重建可疑程序执行链
适用文件类型/后缀：
- .pf

13. RBCmd

用途：解析回收站记录。
应急响应场景：
- 分析攻击者是否删除文件
- 确认删除时间、原始路径、被删对象
- 辅助研判清痕行为
适用文件类型/后缀：
- $I*
- $R*
- 常见位于回收站目录

14. RecentFileCacheParser

用途：解析 RecentFileCache。
应急响应场景：
- 补充系统曾接触过的文件痕迹
- 辅助确认某文件是否曾出现在系统中
适用文件类型/后缀：
- .bcf
- 常见文件名：RecentFileCache.bcf

15. RECmd

用途：批量解析 Windows Registry。
应急响应场景：
- 查自启动、服务、持久化、USB、用户活动、网络配置、软件安装
- 用批处理规则批量提取关键注册表痕迹
适用文件类型/后缀：
- 注册表 hive 文件，常见包括：
  - SYSTEM
  - SOFTWARE
  - SAM
  - SECURITY
  - NTUSER.DAT
  - USRCLASS.DAT
- 事务日志：
  - .LOG1
  - .LOG2

16. RegistryExplorer

用途：注册表图形化查看器。
应急响应场景：
- 人工检查可疑键值
- 验证持久化项、自启动项、用户配置痕迹
适用文件类型/后缀：
- SYSTEM
- SOFTWARE
- SAM
- SECURITY
- NTUSER.DAT
- USRCLASS.DAT
- .LOG1
- .LOG2

17. rla

用途：仅根据当前截图中的程序名 rla.exe，仍无法安全确认其准确功能。
应急响应场景：
- 暂不建议直接记录具体用途，避免记错
- 最好结合该工具的 --help、说明文档或官方发布页再确认
适用文件类型/后缀：
- 暂无法准确确认

18. SDBExplorer

用途：解析 Shim Database（SDB）。
应急响应场景：
- 排查兼容性数据库中的异常配置
- 辅助分析利用 shim 的持久化手法
适用文件类型/后缀：
- .sdb

19. SBECmd

用途：解析 ShellBags。
应急响应场景：
- 还原用户浏览过的目录
- 发现已删除目录、移动介质目录、网络目录访问痕迹
适用文件类型/后缀：
- 主要来自注册表 hive：
  - NTUSER.DAT
  - USRCLASS.DAT

20. ShellBagsExplorer

用途：ShellBags 图形化查看器。
应急响应场景：
- 人工查看用户目录浏览轨迹
- 结合时间线验证目录访问行为
适用文件类型/后缀：
- NTUSER.DAT
- USRCLASS.DAT

21. SQLECmd

用途：解析 SQLite / Windows Search / 相关数据库痕迹。
应急响应场景：
- 从数据库中恢复文件、搜索、程序活动信息
- 补充系统活动与历史行为证据
适用文件类型/后缀：
- .db
- .sqlite
- .sqlite3
- .edb（视具体数据源而定）

22. SrumECmd

用途：解析 SRUM（System Resource Usage Monitor）。
应急响应场景：
- 查看程序网络活动
- 分析资源消耗、应用使用情况
- 辅助分析出网行为与时间段
适用文件类型/后缀：
- .dat
- 常见文件名：SRUDB.dat

23. SumECmd

用途：解析系统使用相关数据库/痕迹数据，用于补充系统与应用活动轨迹。
应急响应场景：
- 补充系统/应用活动分析
- 作为时间线辅助证据源
适用文件类型/后缀：
- 常见为数据库类文件
- 可能包括：.dat、.edb
备注：
- 具体输入类型最好结合该版本工具说明再次确认

24. TimelineExplorer

用途：时间线查看器。
应急响应场景：
- 将多种工具输出结果汇总筛选
- 串联完整攻击时间线
- 按时间窗口快速定位异常活动
适用文件类型/后缀：
- .csv
- .tsv

25. VSCMount

用途：挂载卷影副本（Volume Shadow Copy）。
应急响应场景：
- 恢复历史文件版本
- 对比事发前后文件/注册表差异
- 勒索、清痕场景取证
适用文件类型/后缀：
- 卷影副本设备/系统对象
- 无典型普通文件后缀

26. iisGeoLocate

用途：对 IIS 日志中的 IP 进行地理定位与辅助分析。
应急响应场景：
- 分析 Web 访问来源
- 辅助排查扫描、爆破、WebShell 来源 IP
适用文件类型/后缀：
- .log
- IIS W3C 日志文件

最常用的一组（Windows 应急优先掌握）

EvtxECmd：看事件日志
PECmd：看程序执行
AmcacheParser：看程序落地/安装痕迹
AppCompatCacheParser：看历史出现痕迹
RECmd：查注册表、持久化、自启动
MFTECmd：看文件系统变化
LECmd：看快捷方式访问
JLECmd：看 Jump Lists
SBECmd：看目录浏览轨迹
SrumECmd：看网络/资源使用
TimelineExplorer：串联全案时间线

一句话记忆

看执行：PECmd、AmcacheParser、AppCompatCacheParser
看注册表/持久化：RECmd、RegistryExplorer
看文件落地/删除：MFTECmd、RBCmd、VSCMount
看用户行为：LECmd、JLECmd、SBECmd
看日志：EvtxECmd
看网络/资源：SrumECmd、iisGeoLocate
看汇总时间线：TimelineExplorer

PolyUCTF 2026 MISC Greenhat Writeup

2026-03-08T16:00:00.000Z

题目信息

题面提示：

人們都說，愛情建立在溝通之上。
很明顯，Anna 和 Jason 正在同一個頻道上。

Flag 格式：

1	PUCTF26{[a-zA-Z0-9_]+_[a-fA-F0-9]{32}}

附件给了两个流量包：

greenhat-anna.pcap
greenhat-jason.pcap

这题的核心不是单纯搜明文 flag，而是：

先从 HTTP 明文流量里提取 配置 / 图片 / 响应头 等线索；
还原 agent_message 的 对称密钥；
解密 C2 通信；
从被窃取的文件内容里拿到 flag。

1. 初步观察

先全局搜关键字，能看到几个非常醒目的明文资源：

/.well-known/service-config
/photos/selfie.jpg
/downloads/photo-viewer
/private/note.txt
POST //api/v1.4/agent_message

其中 agent_message 最可疑，因为题面说 Anna 和 Jason 在同一“频道”上，而这个接口明显像是 Agent/C2 的消息通道。

在流量里还能直接看到 service-config 的响应内容：

{
  "service": "media-sync",
  "version": "3.2.1",
  "auth": {
    "method": "composite",
    "components": ["alpha", "beta", "gamma"],
    "algorithm": "aes-256-cbc",
    "verify": false
  },
  "nodes": [
    {
      "id": "node-0",
      "host": "10.20.0.20",
      "port": 80,
      "path": "/api/v1.4/agent_message",
      "secret": "3UurTD6IUvd9jQ=="
    }
  ]
}

这里已经把最关键的情报告诉我们了：

agent_message 用的是 AES-256-CBC
密钥不是单个值，而是 composite（由多个 component 拼起来）
node-0 的 secret 是：

1	3UurTD6IUvd9jQ==

同一个 HTTP 响应头里还有一个很关键的字段：

1	X-Correlation-ID: bwoRWmUWL6d9XCw=

这通常看起来像普通追踪头，但在这种题里很可能也是 key material。

2. 观察 `agent_message` 的外层格式

POST //api/v1.4/agent_message 的 body 长这样：

1	NDI4NWY0ZDUtMWE0NS00MTI1LThiOTQtMmUxZWExODFiNGEx...

一眼看上去就是 Base64。

把它 Base64 解码后，可以看到前 36 字节是一个 UUID，例如：

1	4285f4d5-1a45-4125-8b94-2e1ea181b4a1

也就是说消息格式不是普通 JSON，而是：

1
2
3

Base64(
    UUID(36 bytes ASCII) || ???binary payload???
)

继续看长度和分块后可以确认，后半段可以拆成：

1	UUID(36) \|\| IV(16) \|\| CIPHERTEXT(n*16) \|\| HMAC-SHA256(32)

我拿第一条消息验证后，结构是：

UUID: 37bc765d-c15a-45b6-9d1b-f246ee7c0ccc
IV 长度：16 字节
密文长度：608 字节
末尾校验：32 字节

这和 AES-CBC + HMAC-SHA256 的常见封装完全一致。

3. 从图片里拿到第三段 key material

接下来要解决的是：alpha / beta / gamma 到底分别是什么。

流量中有一张明文下载的图片：

1	GET /photos/selfie.jpg HTTP/1.1

把这张 JPEG 提出来看 EXIF，可以直接看到 UserComment：

1	IACTNJIOUGTU4m4=

另外 EXIF 里还带了时间和描述：

ImageDescription = MK Love Hotel
Artist = Jason & Michelle
DateTimeOriginal = 2026:02:15 22:45:03

其中真正有密码学价值的是这条：

1	IACTNJIOUGTU4m4=

4. 三段材料的长度非常“巧”

现在我们手里有三段 Base64：

EXIF UserComment
1
IACTNJIOUGTU4m4=
service-config 响应头里的 X-Correlation-ID
1
bwoRWmUWL6d9XCw=
node-0 的 secret
1
3UurTD6IUvd9jQ==

把它们分别 Base64 解码：

>>> base64.b64decode("IACTNJIOUGTU4m4=").hex()
'20009334920e5064d4e26e'

>>> base64.b64decode("bwoRWmUWL6d9XCw=").hex()
'6f0a115a65162fa77d5c2c'

>>> base64.b64decode("3UurTD6IUvd9jQ==").hex()
'dd4bab4c3e8852f77d8d'

它们的长度分别是：

11 字节
11 字节
10 字节

合计正好：

1	11 + 11 + 10 = 32 bytes

而 AES-256 的 key 恰好就是 32 字节。

这基本已经明示了：
composite 的三段 component 就是这三段 Base64 解码后的结果。

5. 确定拼接顺序

虽然三段材料已经找齐，但顺序还没完全确定。

最稳的方法不是猜，而是直接枚举 3! = 6 种排列，并用第一条 agent_message 验证：

先按 UUID(36) || IV(16) || CT || HMAC(32) 切分；
对候选 key 计算：

1	HMAC-SHA256(key, IV \|\| ciphertext)

哪个排列的 HMAC 与包尾的 32 字节完全一致，哪个就是正确 key。

实际只有一种排列能通过校验：

1	usercomment \|\| x-correlation-id \|\| node0-secret

最终 AES key 十六进制是：

1	20009334920e5064d4e26e6f0a115a65162fa77d5c2cdd4bab4c3e8852f77d8d

6. 解密 `agent_message`

确定 key 以后，解密步骤就很直接了：

Base64 解码 body
取前 36 字节作为 UUID
取接下来的 16 字节作为 IV
取最后 32 字节作为 HMAC
中间部分作为 AES-CBC 密文
用 HMAC-SHA256(key, IV || ct) 做完整性校验
校验通过后用 AES-256-CBC 解密并去 PKCS#7 padding

第一条请求解出来是一个典型的 Agent checkin：

{
  "action":"checkin",
  "architecture":"amd64",
  "host":"anna-pc",
  "ips":["10.20.0.10"],
  ...
}

服务端返回：

{
  "id":"4285f4d5-1a45-4125-8b94-2e1ea181b4a1",
  "status":"success",
  "action":"checkin"
}

之后就是连续的 get_tasking 轮询，以及服务端下发的命令。

7. 解密后看到的攻击行为

把整条 C2 通信解开以后，可以看到服务端在对 Anna 的机器做枚举和取证，典型任务包括：

whoami
id
uname -a
ls -la /home/
ls -la /home/anna/
ls -la /home/anna/Documents/
ip addr show
cat /etc/resolv.conf
find /home/anna -name '*.txt' 2>/dev/null | head -20
cat /home/anna/.bash_history 2>/dev/null || echo 'no history'
netstat -tlnp 2>/dev/null || ss -tlnp
ps aux
download /home/anna/Documents/diary.txt
download /home/anna/Documents/draft-message.txt
cat /home/anna/Documents/draft-message.txt

这里最重要的是两次文件下载：

/home/anna/Documents/diary.txt
/home/anna/Documents/draft-message.txt

8. 从下载块里恢复 flag

download 类型的回包不是直接明文文件，而是 JSON 里嵌一个 chunk_data 字段，内容再次 Base64 编码。

例如 draft-message.txt 的这一段回传里有：

{
  "download": {
    "chunk_data": "aGV5IHNhcmFoLCBhcmUgeW91IHRoZXJlPwpjYW4geW91IHRlbGwga2V2aW4gaSBjYW50IG1ha2UgaXQgdG9tb3Jyb3cK..."
  }
}

把这个 chunk_data Base64 解码以后，就能得到完整文本。关键片段如下：

1
2
3

oh btw here is the secret code for our shared album
PUCTF26{1_4m_w4tch_1ng_y0u_ch34t_a3b7c9d1e5f20846f1d9b3a7c5e80264}
dont share it with anyone especially not jason

因此最终 flag 为：

1	PUCTF26{1_4m_w4tch_1ng_y0u_ch34t_a3b7c9d1e5f20846f1d9b3a7c5e80264}

9. 最终脚本思路

完整脚本做了这些事：

用 dpkt 解析 pcap，按 TCP 四元组重组流；
解析 HTTP 请求/响应；
自动提取：
- service-config 的 JSON
- X-Correlation-ID
- node-0 secret
- selfie.jpg 的 EXIF UserComment
枚举三段 key material 的排列，找到能通过 HMAC 校验的 32 字节 key；
解密全部 agent_message；
遍历 JSON 里的 chunk_data 并 Base64 解码；
正则提取 flag。

脚本运行结果：

[+] user_comment      = IACTNJIOUGTU4m4=
[+] x-correlation-id  = bwoRWmUWL6d9XCw=
[+] node0 secret      = 3UurTD6IUvd9jQ==
[+] key order         = usercomment || x-correlation-id || node0-secret
[+] aes key (hex)     = 20009334920e5064d4e26e6f0a115a65162fa77d5c2cdd4bab4c3e8852f77d8d
[+] FLAG = PUCTF26{1_4m_w4tch_1ng_y0u_ch34t_a3b7c9d1e5f20846f1d9b3a7c5e80264}

复盘

这题的设计点挺漂亮：

表面是双人聊天 / 流量取证题；
中间用博客、配置、图片 EXIF 把 key material 分散藏起来；
真正的核心是把 C2 的 AES-CBC + HMAC 封装还原出来；
flag 不在明文流量里，而是在 被窃取文件 的内容里。

1	明文资源取线索 -> 组合密钥 -> 解密 C2 -> 恢复 exfil 文件 -> 拿 flag

PolyUCTF 2026 MISC MIDI隐写 writeup

2026-03-08T16:00:00.000Z

题目

题目内容：聽住呢首歌跟住跳足84轉就攞到flag
附件：nutty_rick.mid

解题思路

题目是 Misc，附件是一个 MIDI 文件，题面又提到“听住呢首歌”“84 转”，第一反应就是不要真的去听歌，而是先检查 MIDI 里有没有藏信息。

1. 先看 MIDI 里有什么可疑内容

直接用 strings 扫一下文件里的可打印字符串：
strings -n 4 nutty_rick.mid
能看到很多正常的轨道名，例如：

E.PIANO 2
SYN BASS 2
CLEAN GTR
MELODY
DRUMS
WHISTLE

但最后还会出现一个很可疑的隐藏轨名：

Phantom’s Breath

正常乐器轨里混进一个这种名字，基本可以判断这就是藏数据的地方。

2. 解析隐藏轨 `Phantom's Breath`

把 MIDI 事件解析出来之后会发现，这条轨里面有大量重复的事件，形式大概是：

note_on channel=14 note=0 velocity=114
note_off channel=14 note=0 velocity=0
note_on channel=14 note=0 velocity=105
note_off channel=14 note=0 velocity=0
…

这里有两个明显特征：

note 基本固定不变
变化的是 velocity，而且数值都落在可打印 ASCII 范围附近

所以很自然地想到：把 velocity 当成 ASCII 解码。

例如前几个值：

114 -> r
105 -> i
99 -> c
107 -> k

拼起来就是 rick...

继续解完整条隐藏轨，得到：

rickroll_lyrics[84],then,dcb58--aa401.github.io

到这里题意就很清楚了：

“84 转”并不是真的让你转圈
而是在提示你去取 rickroll 歌词里的第 84 个词
然后把它代进仓库名模板里

3. 不用硬数歌词，直接定位 GitHub 仓库

其实这里没必要去纠结歌词到底按哪种方式分词。
因为字符串已经给了非常明显的模板：

dcb58-<某个词>-aa401.github.io

直接拿固定前后缀去搜，就能定位到 GitHub Pages 仓库：

dcb58-aching-aa401/dcb58-aching-aa401.github.io

仓库页面显示它是一个公开仓库，当前只有一个 index.html 文件。

于是就能反推出：

rickroll_lyrics[84] = aching

4. 打开仓库源码拿 flag

继续打开这个仓库的 raw index.html，第一行就是 flag。

最终得到：

PUCTF26{Ri3k_R011_Phant0m_Velo31ty_9f3a7c2e1b8d4a0f6c5e2d9b1a7f4c8e}

复现脚本

下面这个脚本不依赖第三方库，直接解析 MIDI 并提取隐藏轨里的 velocity 文本：

from pathlib import Path

def read_vlq(data, off):
value = 0
while True:
b = data[off]
off += 1
value = (value << 7) | (b & 0x7F)
if b < 0x80:
return value, off

def parse_midi(path):
data = Path(path).read_bytes()
off = 0

assert data[off:off+4] == b"MThd"off += 4hdr_len = int.from_bytes(data[off:off+4], "big")off += 4hdr = data[off:off+hdr_len]off += hdr_lenntracks = int.from_bytes(hdr[2:4], "big")tracks = []for _ in range(ntracks):assert data[off:off+4] == b"MTrk"off += 4tlen = int.from_bytes(data[off:off+4], "big")off += 4tdata = data[off:off+tlen]off += tlenevents = []i = 0running = Nonewhile i < len(tdata):_, i = read_vlq(tdata, i)status = tdata[i]if status < 0x80:status = runningelse:i += 1if status < 0xF0:running = statuselse:running = Noneif status == 0xFF:  # meta eventmeta_type = tdata[i]i += 1length, i = read_vlq(tdata, i)payload = tdata[i:i+length]i += lengthevents.append(("meta", meta_type, payload))elif status in (0xF0, 0xF7):  # sysexlength, i = read_vlq(tdata, i)i += lengthelse:ev_type = status & 0xF0ch = status & 0x0Fif ev_type in (0xC0, 0xD0):d1 = tdata[i]i += 1events.append(("midi", ev_type, ch, d1))else:d1 = tdata[i]d2 = tdata[i + 1]i += 2events.append(("midi", ev_type, ch, d1, d2))tracks.append(events)return tracks

tracks = parse_midi(“nutty_rick.mid”)

for tr in tracks:
names = [e[2].decode(errors=”ignore”) for e in tr if e[0] == “meta” and e[1] == 0x03]
if names and names[0] == “Phantom’s Breath”:
msg = “”.join(
chr(e[4]) for e in tr
if e[0] == “midi” and e[1] == 0x90 and e[4] > 0
)
print(msg)
break

运行输出：

rickroll_lyrics[84],then,dcb58--aa401.github.io

总结

这题的核心是一个很典型的 MIDI 隐写：

先从 MIDI 轨道名里发现隐藏轨 Phantom's Breath
再把隐藏轨里的 Note On velocity 当作 ASCII 解码
得到 GitHub Pages 仓库名模板
最后去仓库源码里拿到 flag

【HTB Academy】Linux取证练习记录

2026-02-28T16:00:00.000Z

🛠️ 准备工作：解析 Sysmon for Linux 日志

微软推出的 Sysmon for Linux 是一个极其强大的工具，它可以记录进程创建、网络连接、文件更改等高级事件。
原始的 syslog 中包含了 Sysmon 的 XML 格式数据，为了方便后续分析，我们需要先将其解析为易读的文本。
cat /var/log/syslog | sudo /opt/sysmon/sysmonLogView 2>/dev/null > /tmp/sysmon_parsed.txt
命令解析：

cat：读取原始日志文件。
sysmonLogView：Sysmon 官方提供的日志解析工具。
2>/dev/null：将标准错误（如解析不规范的 XML 报错）丢弃，避免干扰正常输出。
/tmp/sysmon_parsed.txt：将解析好的干净结果重定向到临时文件，后续所有的 grep 搜索都基于此文件，大大提高效率。

🔍 第一部分：基于日志的进程与网络溯源

1. 查找连接到 C2 服务器的恶意进程 (PID)

场景：我们已知攻击者的 C2（命令与控制）服务器 IP 为 3.212.197.166，需要找出系统中哪些进程连接过它。
grep -B 8 "DestinationIp: 3.212.197.166" /tmp/sysmon_parsed.txt | grep "ProcessId:" | grep -v "Parent" | awk '{print $2}' | sort -n | uniq
命令解析：

grep -B 8：-B (Before) 打印匹配行及其前面 8 行。因为在 Sysmon 的网络连接事件（EventID 3）中，ProcessId 字段通常在 DestinationIp 的上方。
grep -v “Parent”：-v (Invert match) 排除包含 “Parent” 的行（排除 ParentProcessId 的干扰）。
awk ‘{print $2}’：以空格为分隔符，提取第二列（即 PID 数字本身）。
sort -n | uniq：-n 按数字大小排序，uniq 去除重复项。

2. 数据库取证：分析被窃取的用户信息

场景：攻击者利用权限执行了 PostgreSQL 数据库查询，我们需要知道窃取了谁的信息。
直接查看 PostgreSQL 的查询日志：
grep -i "SELECT\|INSERT\|UPDATE\|COPY\|dump" /var/log/postgresql/postgresql-12-main.log
发现核心攻击记录：
select name from users;
select * from users where name LIKE ‘Wade Murphy%’;

结论：攻击者首先获取了 users 表的用户名列表，随后精准窃取了用户 Wade Murphy 的所有信息。

🧠 第二部分：Volatility 3 内存取证高级技巧

当日志被篡改或存在欺骗性时，内存转储 (Memory Dump) 才是最诚实的证人。这里使用 Volatility 3 (https://github.com/volatilityfoundation/volatility3) 框架。

1. 突破迷雾：寻找真实的父进程 (PPID)

场景：攻击者使用了一条命令来提权：/bin/sh -c echo “december” | sudo -S python3 -c “import sys,base64…”。我们在 Sysmon 日志中看到该 sh 命令的 ParentProcessId 为 3320，但这其实是个“幽灵 PID”。如何找到真实的父进程？
解决方案：使用 Volatility 3 直接分析内存中的进程树结构。
python3 vol.py -f memdump.mem linux.pslist | grep -E "sh|python|sudo"
命令解析：

-f memdump.mem：指定内存转储文件。
linux.pslist：列出内存中捕获的所有活动进程及其父子关系。
分析结果：
2840 2831 python3 (C2 代理进程)

3321 2840 sh (执行 echo 的 shell)
3323 3321 sudo (接收密码并提权)
惊人发现： PID 3321 (sh 命令) 的真实父进程是 2840 (python3)！这是因为恶意 python 脚本通过管道派生了子 shell 来完成自动化提权。Sysmon 日志偶尔会因为异步或 PID 快速回收出现归属偏差，而内存取证还原了最真实的进程链。

2. 内存文件提取：Dump 可疑 ELF

场景：我们怀疑内存中的 sshd 被注入了，需要提取它的 ELF 文件计算 MD5。
python3 vol.py -f memdump.mem linux.elfs --dump
md5sum pid.3939.sshd.0x7fb4eed88000.dmp
命令解析：

linux.elfs：枚举内存中加载的所有 ELF 文件（执行档和共享库）。
–dump：将这些文件提取到当前物理硬盘上。

3. 寻找注入的恶意代码 (RWX 内存区)

场景：正常的代码段权限是 R-X (读/执行)，如果一块内存是 RWX (读/写/执行)，大概率是注入了 Shellcode。
python3 vol.py -f memdump.mem linux.malfind --pid 3939
命令解析：

linux.malfind：专门寻找进程中隐藏的或注入的代码（寻找 VMA 权限为 RWX 且头部包含可疑指令的内存块）。
–pid 3939：针对可疑的被注入进程进行定点扫描。

第三部分：恶意软件静态分析 (YARA & Hexdump)

从内存中 dump 出恶意文件后，我们需要确认它到底是什么，以及提取它的网络配置。

1. 批量运行 YARA 规则

场景：使用本地的 YARA 签名库扫描 Dump 出来的恶意代码。

for rule in ~/tools/yara/*; do 
    result=$(yara "$rule" pid.3939.sshd.0x7fb4ee007000.dmp 2>/dev/null)
    if [ -n "$result" ]; then echo "$result"; fi
done

命令解析：

这是一个 Bash 的 for 循环，遍历 yara 规则目录中的所有文件。
yara ：应用签名进行扫描。
结果：触发了 mettle 规则。Mettle 是 Metasploit 针对 Linux 的 Meterpreter payload 实现。

2. 手工提取 Meterpreter UUID (Hexdump 技巧)

场景：找出这个 Meterpreter payload 中硬编码的 Session UUID。
由于 Mettle 习惯将配置参数存储在 ELF 文件的末尾（或者数据段末尾），我们可以先用 strings 寻找线索：
strings -t x pid.3939.sshd.0x7fb4ee007000.dmp | grep -i “tcp://“
发现 0xd9206 偏移处有 “tcp://0.0.0.0:8080 字样。接着使用 hexdump 查看该地址附近的十六进制数据：
hexdump -C -s 0xd91a0 -n 256 pid.3939.sshd.0x7fb4ee007000.dmp
命令解析：

hexdump -C：以标准十六进制 + ASCII 字符的形式输出。
-s 0xd91a0：跳过前面的数据，直接从 0xd91a0 (十六进制) 偏移量开始查看。
-n 256：只打印 256 个字节，防止输出刷屏。
完美斩获：
在输出的明文中，我们清晰地看到了 Mettle 的启动参数：
mettle.-U.”bWWoXsWDgPG1A7MB0C+Qkg==. -G.”ZpM+…
其中紧跟在 -U 参数后面的 bWWoXsWDgPG1A7MB0C+Qkg== 就是 Base64 编码的 Session UUID！

💡 总结与反思

不要盲信单一日志： Sysmon 日志给出的 PPID 可能是错的，Volatility 内存分析能提供进程树的上帝视角。
结合 grep, awk, sed 的文本三剑客：是处理巨大日志文件的效率保障。
恶意代码的蛛丝马迹都在内存里：熟练使用 linux.malfind (找 RWX) 和 hexdump/strings (提取硬编码配置) 是应对高级持久化威胁 (APT) 和无文件攻击的关键。

【HTB Academy】Windows 取证

2026-02-27T16:00:00.000Z

NTFS

文件元数据 ：NTFS 为每个文件存储广泛的元数据，包括创建时间、修改时间、访问时间和属性信息（如只读、隐藏或系统文件属性）。分析这些时间戳有助于建立时间线并重建用户活动。
MFT 条目 ：主文件表（MFT）是 NTFS 的关键组成部分，它存储了卷上所有文件和目录的元数据。检查 MFT 条目可以提供有关文件名、大小、时间戳和数据存储位置的见解。当文件被删除时，它们的 MFT 条目会被标记为可用，但数据可能仍保留在磁盘上，直到被覆盖。
File Slack and Unallocated Space : NTFS 卷上的未分配空间可能包含已删除文件的残留物或数据碎片。文件松弛是指集群中未使用的部分，可能包含先前文件的数据。数字取证工具可以帮助从这些区域恢复和分析数据。
文件签名 : 文件头部和签名即使在文件扩展名被更改或隐藏时，也有助于识别文件类型。这些信息对于重建系统上存在的文件类型至关重要。
USN 日志 : 更新序列号（USN）日志由 NTFS 维护，用于记录对文件和目录所做的更改。法证调查人员可以分析 USN 日志来追踪文件修改、删除和重命名。
LNK 文件 : Windows 快捷方式文件（LNK 文件）包含有关目标文件或程序的信息，以及时间戳和元数据。这些文件可以提供有关最近访问的文件或执行的程序的线索。
预取文件 : 预取文件由 Windows 生成，以提高应用程序的启动性能。这些文件可以指示哪些程序在系统上运行以及它们最后一次执行的时间。
注册表 hive: 虽然与文件系统没有直接关系，但 Windows 注册表 hive 包含重要的配置和系统信息。恶意活动或未经授权的更改会在注册表中留下痕迹，法医调查人员通过分析这些痕迹来了解系统修改情况。
Shellbags: Shellbags 是存储文件夹视图设置的注册表条目，例如窗口位置和排序偏好。分析 Shellbags 可以揭示用户导航模式，并可能识别访问过的文件夹。
缩略图缓存 : 缩略图缓存存储图像和文档的小型预览。这些缓存可以显示最近查看的文件，即使原始文件已被删除。
回收站 : 回收站包含从文件系统中删除的文件。分析回收站有助于恢复删除的文件，并提供有关用户操作的见解。
替代数据流 (ADS): ADS 是与文件关联的附加数据流。恶意行为者可能会使用 ADS 来隐藏数据，而法证调查人员需要检查这些数据流以确保全面分析。
卷影副本 : NTFS 支持卷影副本，这是文件系统在不同时间点的快照。这些副本对于数据恢复和随时间变化的分析非常有价值。
安全描述符和 ACL：访问控制列表（ACL）和安全描述符决定了文件和文件夹的权限。分析这些证据有助于了解用户访问权限和潜在的安全漏洞。

Windows事件日志

日志存储的默认文件路径 C:\Windows\System32\winevt\logs 。

执行痕迹

预取文件 : Windows 维护一个预取文件夹，其中包含有关各种应用程序执行情况的元数据。预取文件记录了文件路径、执行次数以及应用程序运行的时间戳等信息。分析预取文件可以揭示已执行程序的记录以及它们运行的顺序。
Shimcache: Shimcache 是 Windows 的一种机制，用于记录程序执行信息以协助兼容性和性能优化。它记录了文件路径、执行时间戳等详细信息，以及指示程序是否被执行的标志。Shimcache 可以帮助调查人员识别最近执行的程序及其相关文件。
Amcache: Amcache 是 Windows 8 中引入的一个数据库，用于存储已安装应用程序和可执行文件的信息。它包含文件路径、大小、数字签名以及应用程序最后执行的时间戳等详细信息。分析 Amcache 可以提供程序执行历史的洞察，并识别潜在的恶意或未经授权的软件。
UserAssist: UserAssist 是一个注册表键，用于维护用户执行程序的信息。它记录了应用程序名称、执行次数和时间戳等详细信息。分析 UserAssist 残留物可以揭示已执行应用程序的历史记录和用户活动。
运行 MRU 列表 : Windows 注册表中的运行 MRU（最近使用）列表存储了从不同位置（如 Run 和 RunOnce 键）最近执行程序的信息。这些列表可以指示哪些程序被运行、运行时间，并可能揭示用户活动。
跳转列表 : 跳转列表存储关于最近访问的文件、文件夹以及特定应用程序相关任务的信息。它们可以提供有关用户活动和最近使用文件的信息。
快捷方式 (LNK) 文件 ：快捷方式文件可以包含目标可执行文件、文件路径、时间戳和用户交互信息。分析 LNK 文件可以揭示已执行程序及其运行上下文的详细信息。
最近使用的项目 : 最近使用的项目文件夹维护一个最近打开的文件列表。它可以提供有关最近访问的文档和用户活动的信息。
Windows 事件日志 : 各种 Windows 事件日志，如安全日志、应用程序日志和系统日志，记录与程序执行相关的各种事件，包括进程创建和终止、应用程序崩溃等。

证据	位置/注册表键	存储的数据
预取文件	C:\Windows\Prefetch	已执行应用程序的元数据（文件路径、时间戳、执行次数）
Shimcache	注册表：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\AppCompatCache	程序执行细节（文件路径、时间戳、标志）
Amcache	C:\Windows\AppCompat\Programs\Amcache.hve (二进制注册表 hive)	应用程序详细信息（文件路径、大小、数字签名、时间戳）
UserAssist	注册表：HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\UserAssist	已执行程序详情（应用程序名称、执行次数、时间戳）
运行 MRU 列表	注册表：HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\RunMRU	最近执行的程序及其命令行
跳转列表	用户特定文件夹（例如：%AppData%\Microsoft\Windows\Recent）	最近访问的文件、文件夹和与应用程序关联的任务
快捷方式（LNK）文件	不同的位置（例如，桌面、开始菜单）	目标可执行文件、文件路径、时间戳、用户交互
最近使用的项目	用户特定文件夹（例如：%AppData%\Microsoft\Windows\Recent）	最近访问的文件
Windows 事件日志	C:\Windows\System32\winevt\Logs	包含进程创建、终止和其他事件的多种事件日志

Schtasks
Windows 提供了一个功能，允许程序安排特定任务。这些任务位于 C:\Windows\System32\Tasks，每个任务都保存为一个 XML 文件。该文件详细说明了创建者、任务的定时或触发器，以及要运行的命令或程序的路径。要审查计划任务，我们应该导航到 C:\Windows\System32\Tasks 并检查 XML 文件的内容。

Services
服务在 Windows 中至关重要，它们负责维护系统上的进程，使软件组件能够在后台运行而无需用户干预。恶意行为者经常篡改或制作流氓服务，以确保持久性并保留未经授权的访问权限。需要关注的注册表位置是： HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services 。

网络浏览器取证

浏览历史 : 访问过的网站记录，包括 URL、标题、时间戳和访问频率。
Cookie: 网站在用户设备上存储的小型数据文件，包含会话详情、偏好设置和身份验证令牌等信息。
缓存 : 用户访问过的网页、图片和其他内容的缓存副本。即使清除历史记录，也能揭示访问过的网站。
书签/收藏 : 保存的经常访问的网站或感兴趣页面的链接。
下载历史 : 下载文件的记录，包括源 URL、文件名和时间戳。
自动填充数据 : 自动填入表单中的信息，例如姓名、地址和密码。
搜索历史 : 在搜索引擎中输入的查询，包括搜索词和时间戳。
会话数据 : 关于活跃浏览会话、标签页和窗口的信息。
输入的 URL: 直接输入到地址栏中的 URL。
表单数据 : 输入到网页表单中的信息，例如登录凭证和搜索查询。
Passwords: 保存或自动填充的网站密码。
Web Storage: 网站用于各种目的的本地存储数据。
Favicons: 网站相关的小图标，可以揭示访问过的网站。
Tab Recovery Data: 关于打开的标签页和会话的信息，可以在浏览器崩溃后恢复。
扩展和插件 : 已安装的浏览器扩展及其配置。

SRUM

切换到 SRUM（系统资源使用监视器），这是一个在 Windows 8 及后续版本中引入的功能。SRUM 会精确地跟踪资源利用情况和应用程序使用模式。这些数据存储在一个名为 sru.db 的数据库文件中，该文件位于 C:\Windows\System32\sru 目录下。这个 SQLite 格式的数据库允许结构化数据存储和高效的数据检索。SRUM 的记录按时间间隔组织，可以帮助在特定时间段内重建应用程序和资源的使用情况。

应用分析 : SRUM 可以提供有关 Windows 系统上已执行的应用程序和进程的全面视图。它记录可执行文件名称、文件路径、时间戳和资源使用指标等详细信息。这些信息对于了解系统上的软件环境、识别潜在的恶意或未经授权的应用程序以及重建用户活动至关重要。
资源消耗 ：SRUM 捕获每个应用程序和进程的 CPU 时间、网络使用情况和内存消耗数据。这些数据对于调查资源密集型活动、识别资源消耗的异常模式以及检测由特定应用程序引起的潜在性能问题非常有价值。
时间线重建 ：通过分析 SRUM 数据，数字取证专家可以创建应用程序和进程执行、资源使用以及系统活动的时间线。这种时间线重建对于理解事件顺序、识别可疑行为以及建立用户交互和操作的清晰图景至关重要。
用户和系统上下文 ：SRUM 数据包含用户标识符，这有助于将活动归因于特定用户。这可以辅助用户行为分析，并确定某些操作是否由合法用户或潜在威胁行为者执行。
Malware Analysis and Detection : SRUM 数据可用于识别异常或未经授权的应用程序，这些应用程序可能表明存在恶意软件或恶意活动。通过 SRUM 分析可以检测到资源使用量的突然激增、异常应用程序模式或未经授权的软件安装。
事件响应 ：在事件响应过程中，SRUM 能够提供对近期应用程序和进程活动的快速洞察，使分析师能够迅速识别潜在威胁并有效应对。

【HTB Academy】Linux取证

2026-02-26T16:00:00.000Z

Linux 目录

/boot/ & /efi/

/boot/ 和 /efi/ 目录存储启动系统所需的基本文件。这包括启动配置文件、内核参数等。在这些目录中，还可以找到当前和之前的内核版本，以及初始 ramfs。

/etc/

/etc/ 目录传统上是系统级配置文件和相关数据的中央存储库。这些文件中的大多数以明文形式容易访问。配置文件通常带有以 .d 扩展名标记的关联目录，允许包含额外的配置片段。需要注意的是，位于用户 /home/ 目录中的用户特定配置文件可以优先于 /etc/ 中的系统级配置。

Purpose 用途	Path 路径	Description 描述
用户账户和密码	`/etc/passwd`	包含用户账户信息
用户账户和密码	`/etc/shadow`	密码哈希
组信息	`/etc/group`	用户组
系统配置	`/etc/hostname`	主机名
系统配置	`/etc/hosts`	本地DNS解析
系统配置	`/etc/issue`	登录前显示的文本
系统配置	`/etc/issue.net`	远程登录前显示的文本
系统配置	`/etc/os-release`	操作系统信息
网络配置	`/etc/network/` , `/etc/netplan/` , or `/etc/NetworkManager/`	网络配置文件
网络配置	`/etc/iptables/`, `/etc/iptables.rules`	存储防火墙规则
服务与软件配置	`/etc/cron.d/`, `/etc/cron.daily/`	计划任务（cron 作业）的配置。
服务和软件配置	`/etc/sudoers`	访问的配置。
系统日志	`/etc/rsyslog.conf` or `/etc/syslog-ng/syslog-ng.conf`	系统日志配置。
系统日志	`/etc/logrotate.conf`	日志轮转配置。
安全配置	`/etc/security/`	与系统安全相关的配置文件。
安全配置	`/etc/ssh/sshd_config`	SSH 服务器配置。
安全配置	`/etc/pam.d/`	可插拔认证模块配置。
包管理	`/etc/apt/`	APT 包管理器（Debian/Ubuntu）的配置。
包管理	`/etc/yum.conf` and `/etc/yum.repos.d/`	YUM 软件包管理器（RHEL/CentOS）的配置。
主机名解析	`/etc/resolv.conf`	DNS 解析器配置。
服务器配置	`/etc/apache2/`, `/etc/nginx/`	标准 Web 服务器配置目录。
数据库配置	`/etc/mysql/`	MySQL 或 MariaDB 的配置文件。
数据库配置	`/etc/postgresql/`	PostgreSQL 的配置。
Shell 配置	`~/.bashrc`, `~/.bash_profile`, `~/.zshrc`, `/etc`	用户特定的 shell 配置文件可以在用户的家目录中找到，而全局的 shell 配置在 `/etc` 。
用户特定配置	`/etc/skel/`	包含为新用户账户提供的默认文件和目录。

/tmp/

/tmp/ 目录用于临时存储文件。在某些 Linux 发行版中， /tmp/ 的内容可能会使用 tmpfs 虚拟内存文件系统存储在系统 RAM 中。在取证镜像中，使用 tmpfs 挂载 /tmp/ 的系统可能会显示为空。

/run/

/run/ 目录是一个位于 RAM 中的 tmpfs 挂载目录，在取证镜像上可能会为空。在运行中的系统上，该目录包含运行时信息，如 PID 和锁文件、systemd 运行时配置等。日志或配置文件中可能会引用 /run/ 中的文件和目录。

/home/ & /root/

/home/ 目录是用户主目录的默认位置。用户的主目录包含用户创建或下载的文件，包括配置文件、缓存、数据、文档、媒体、桌面内容以及其他用户拥有的文件。root 用户的主目录通常是 root 文件系统的 /root/ 。这些主目录对取证调查员来说非常重要，因为它们提供了有关系统人类用户的信息。用户主目录的创建时间戳可能表明用户账户何时首次被添加。

Purpose用途	Path路径	Description描述
用户文档和文件	`/home/`	用户的个人文件，包括文档、图片、视频和其他数据，通常存储在子目录中。
浏览痕迹	`~/.mozilla/` and `~/.config/google-chrome/`	Firefox 和 Chrome 网络浏览器用户配置文件的目录。这些目录可能包含浏览历史记录、书签和缓存文件。
浏览缓存文件	`~/.cache`	浏览器为加快未来访问速度而存储的网页资源（如图片、脚本和样式表）的临时本地副本。
隐藏目录	`~/.` like `~/.config`, `~/.ssh`	许多配置文件和目录以点开头，这些通常包含各种应用程序的设置和偏好。
桌面环境设置	`~/.config/`	用户特定的桌面环境（例如 GNOME、KDE）的设置可以在这个目录中找到。
历史记录	`~/.bash_history`	用户的 Shell（例如 Bash）的命令历史记录存储在这个文件或类似位置。
邮件客户端	`~/.thunderbird/`	Thunderbird 邮件客户端数据存储位置。
消息应用程序	`~/.config`	消息数据可能存储在此目录或应用程序特定的目录中。
桌面环境日志	`~/.local/share` or `~/.config`	用户的桌面环境的日志和使用数据可以在这几个目录中找到。
访问和修改时间戳	`/home/`	家目录中文件和目录相关的时间戳可以指示文件创建、修改或访问的时间。这些时间戳是文件系统的固有属性。
最近使用文件	`~/.local/share/recently-used.xbel`	最近访问或类似文件的列表。
SSH 和 PGP 密钥	`~/.ssh/`, `~/.gnupg/`	SSH 和 PGP 密钥可以在这几个目录中找到。
系统日志	`~/.local`	一些系统日志和已安装应用程序的日志可能存储在这个目录或其他隐藏目录中。
下载的文件	`/home//Downloads`	用户经常将文件下载到他们的目录中。
云存储同步	`~/.dropbox` or `~/.config/google-drive-ocamlfuse`	如果用户使用 Dropbox 或 Google Drive 等云存储服务，同步数据和配置设置可以在这些目录中找到。

/bin/、/sbin/、/usr/bin/和/usr/sbin/

可执行程序的标准位置是 /bin/ 、 /sbin/ 、 /usr/bin/ 和 /usr/sbin/ 。这些目录最初是为了将程序分组，分别供用户、管理员、启动过程或单独挂载的文件系统使用。如今， /bin/ 和 /sbin/ 通常会链接到 /usr/ 中的相应目录，在某些情况下， /bin/ 、 /sbin/ 和 /usr/sbin/ 也会链接到一个包含所有程序的 /usr/bin/ 目录。

/lib/ and /usr/lib//lib/ 和 /usr/lib/

/lib/ 目录在当今大多数 Linux 系统中通常符号链接到 /usr/lib/ 。这包括共享库代码（也适用于多个平台）、内核模块、编程环境支持（头文件）等。 /lib/ 目录还包含许多软件包的默认配置文件。

/usr/

/usr/ 目录包含系统大部分静态只读数据。这包括可执行文件、库、文档等。大多数 Linux 系统会将 /bin/ 、 /sbin/ 和 /lib/ 符号链接到 /usr/ 子目录中的对应文件。这里位于此处的、不属于任何已安装软件包的文件可能具有法证意义，因为它们是在正常软件安装过程之外添加的。这些可能是具有 root 访问权限的用户手动安装的文件，或者是恶意行为者放置的不授权文件。

/var/

/var/ 目录包含变化的系统数据（变量），并且通常在重启后仍然存在。 /var/ 下的子目录从取证角度来看特别有趣，因为它们包含日志、缓存、历史数据、持久临时文件、邮件和打印子系统等。

Purpose用途	Path路径	Description描述
系统日志	`/var/log/`	这个目录包含记录各种系统事件和活动的系统日志，包括登录尝试、服务启动和系统错误。常见的日志文件包括 `/var/log/auth.log` 、 `/var/log/syslog` 和 `/var/log/messages` 。
包管理日志	`/var/log/dpkg.log` or `/var/log/yum.log`	这些日志记录了软件包的安装、更新和移除，可以提供有关系统软件变化的信息。
打印后台处理程序文件	`/var/spool/cups/`	通用 UNIX 打印系统（CUPS）将打印作业信息存储在此目录中，可能揭示打印作业历史记录。
邮件服务器数据	`/var/mail/` or `/var/spool/mail/`	邮箱和与电子邮件相关的证据通常存储在这里。
数据库文件	`/var/lib/`	像 MySQL 或 PostgreSQL 这样的数据库存储其数据文件和日志。
临时文件	`/var/tmp/` and `/var/run/`	临时文件和目录可能包含诸如非正常关机日志或已执行进程的残留物等证据。
cron 和计划任务	`/var/spool/cron/crontabs/`	有关计划任务的详细信息可以在这类文件中找到，其中可能包括由 cron 作业执行的脚本和命令。
服务器日志	`/var/log/apache2/` or `/var/log/nginx/`	如果安装了 Web 服务器，访问和错误日志可以提供有关 Web 活动的洞察。
打印机日志	`/var/log/cups/`	与打印机相关的日志。
DHCP 和网络日志	`/var/log/`	DHCP 客户端和服务器日志。
安全和认证数据	`/var/log/secure` or `/var/log/auth.log`	这些日志记录认证和安全相关的事件，包括登录尝试和 SSH 连接。
软件包缓存	`/var/cache/apt/archives/` or `/var/cache/yum/`	软件包缓存可能包含已下载的软件包文件，这些文件可能具有法证价值。
系统状态信息	`/var/lib/misc/`	此目录可能包含系统状态信息，包括与网络和硬件相关的文件。
会话信息	`/var/run/utmp` and `/var/log/wtmp`	这些文件记录用户登录和注销会话。
内核日志	`/var/log/kern.log` or `/var/log/dmesg`	与内核相关的日志。
软件更新信息	`/var/lib/update-notifier/package-data-downloads/`	此目录可能包含与软件更新相关的数据。

/dev/、/sys/ 和 /proc/

Linux 还有其他几个 tmpfs 和伪文件系统，在系统运行时看似包含文件，包括 /dev/ 、 /sys/ 和 /proc/ 。这些目录提供了设备或内核数据结构的表示，但内容实际上并不存在于普通文件系统中。在检查取证镜像时，这些目录可能是空的。

/media/

/media/ 目录用于存放动态创建的挂载点，用于挂载外部可移动存储设备，如 CD-ROM 或 USB 驱动器。在检查取证镜像时，此目录可能是空的。在日志、文件系统元数据或其他持久化数据中引用 /media/ 可能提供有关用户连接（已挂载）的外部存储设备的信息。

/opt/

/opt/ 目录包含附加包，这些包通常按供应商名称或包名称分组。这些包可能会创建一个自包含的目录树来组织它们自己的文件（例如， bin/ 、 etc/ 和其他常见子目录）。

/lost+found/

每个文件系统的根目录上可能存在一个 /lost+found/ 目录。如果运行文件系统修复（使用 fsck 命令），并且找到一个没有父目录的文件，该文件（有时称为孤儿文件）会被放置在 /lost+found/ 目录中，以便可以恢复。这些文件没有它们原始的名称，因为包含文件名的目录未知或缺失。

Linux持久化

计划任务

你可以使用 cron 作业来在特定时间或间隔安排任务。crontab 文件中的条目（例如 /etc/crontab，或使用 crontab -e 的每个用户的 crontab）可用于启动脚本或命令。

例如，你可以使用 crontab -l 来获取 crontab 数据：

1
2
3

linuxforensics@ubuntu:~$ crontab -l

0 2 * * /bin/sh backup.sh

SSH Authorized_keys

授权密钥文件，位于 ~/.ssh/.authorized_keys，指定了可用于登录该文件配置的用户账户的 SSH 密钥。

启动应用程序

许多 Linux 桌面环境，如 GNOME 和 KDE，允许用户通过图形设置配置启动应用程序。这些通常是用户特定的，可以通过桌面设置进行配置。

/etc/rc.local

这是一种在启动时运行自定义脚本的传统方法。/etc/rc.local 脚本在系统初始化结束时被执行。

Shell Profile 文件

您可以将命令添加到像 ~/.bashrc、~/.bash_profile 或 ~/.profile 这样的 shell profile 文件中。这些命令将在用户每次登录时被执行。

自动启动目录

一些桌面环境使用自动启动目录来启动用户特定的应用程序。例如，在 GNOME 中，你可以将.desktop 文件放在 ~/.config/autostart/。

服务管理工具

可以使用像 chkconfig 或 update-rc.d（用于 SysV Init）这样的工具来管理服务和它们的运行级别配置。

用户会话启动脚本

在某些情况下，您可能希望在用户会话开始时执行脚本或程序。您可以通过向适当的 shell 启动文件添加命令（例如 ~/.xprofile），或使用桌面环境的会话管理器来实现这一点。

常见的 Linux 日志机制

Linux 中有几种值得注意的日志机制：

Syslog: Syslog 是一种标准的日志协议，用于收集和发送网络中的日志消息。Linux 系统通常使用 syslog 将日志数据存储在不同的日志文件中，这些文件通常位于 /var/log/ 目录。常见的日志文件包括 /var/log/messages、/var/log/auth.log 和 /var/log/syslog。这些日志可以提供有关系统和应用程序活动的宝贵信息，例如失败的登录尝试或服务启动。
Systemd Journal: Systemd，许多 Linux 发行版中常见的初始化系统，使用 systemd journal 进行日志记录。Journalctl 是用于查询和检查这些日志的命令行工具。与传统平面文本日志文件相比，该 journal 提供了结构化且更全面的信息，包括时间戳、进程 ID 和严重级别等元数据。
Auditd: Linux 审计框架允许对系统活动进行详细监控，包括文件访问、进程创建和用户认证。Auditd 是用户空间组件，将其数据记录到 /var/log/audit/audit.log。这是一个强大的工具，用于跟踪变更和潜在的安全事件，常用于合规性较高的环境。
SysmonForLinux: 这是一个类似于 Windows Sysmon 的工具，用于监控和记录系统活动，包括进程、网络连接和文件系统写入。SysmonForLinux 以 XML 格式将事件记录到 /var/log/syslog。它特别适用于端点检测与响应（EDR）场景。

Syslog

组件	描述
日志来源	支持 syslog 的程序
配置文件位置	`/etc/rsyslogd.conf /etc/rsyslogd.d/conf /etc/syslog-ng/`
守护进程	`/usr/sbin/rsyslogd` (由 systemd 启动的服务)
网络日志主机	UDP 端口 514（配置为@host）
本地日志文件	`/var/log/*` (按设施和严重程度)
例如，在基于 Debian 的系统上查看最近的 syslog 条目：

clubs@htb[/htb]$ tail -n 10 /var/log/syslog

Feb 26 15:45:01 ubuntu CRON[12345]: (root) CMD (   cd / && run-parts --report /etc/cron.hourly)
Feb 26 15:46:12 ubuntu systemd[1]: Started Time & Date Service.
Feb 26 15:47:23 ubuntu kernel: [ 1234.567890] eth0: link up
Feb 26 15:48:34 ubuntu sshd[67890]: Accepted publickey for john from 10.10.16.14 port 22 ssh2
Feb 26 15:49:45 ubuntu sudo: john : TTY=pts/0 ; PWD=/home/john ; USER=root ; COMMAND=/usr/bin/apt update
Feb 26 15:50:56 ubuntu apt[23456]: Updating package lists...
Feb 26 15:51:07 ubuntu systemd-logind[789]: New session 1 of user john.
Feb 26 15:52:18 ubuntu NetworkManager[890]:   [1234567890.123] dhcp4 (eth0): state changed unknown -> bound
Feb 26 15:53:29 ubuntu rsyslogd: [origin software="rsyslogd" swVersion="8.32.0" x-pid="7785" x-info=""] rsyslogd was HUPed
Feb 26 15:54:40 ubuntu anacron[34567]: Job `cron.daily' terminated

该输出可以揭示未经授权访问或 cron 作业执行等模式。在取证中，我们经常使用 grep 等工具来过滤特定事件，例如 grep "Failed password" /var/log/auth.log ，以发现暴力破解尝试。

扩展到其他机制

在 Linux 取证中，也有一些常见的高级或专业日志选项：

内核环形缓冲区（dmesg）：记录内核消息，如硬件检测或驱动问题，存储在一个环形缓冲区中。可通过 dmesg 命令或启动时的 /var/log/dmesg 访问。用于调查启动时异常或设备连接问题。
应用特定日志 : 许多服务维护自己的日志，例如 Apache (/var/log/apache2/access.log) 或 MySQL (/var/log/mysql/error.log)。这些日志提供了关于网络流量或数据库查询的详细信息，通常通过 logrotate 在 /etc/logrotate.d/ 中进行轮转。
ELK Stack or Splunk Integration : 在企业环境中，日志会被转发到 Elasticsearch、Logstash、Kibana（ELK）或 Splunk 等集中式系统进行聚合和分析。检查 /etc/rsyslog.d/ 目录下的转发配置，以检测数据窃取或监控设置。

例如，要检查内核日志，我们可以使用以下命令：

clubs@htb[/htb]$ dmesg | tail -n 5

[12345.678901] usb 1-1: new high-speed USB device number 2 using xhci_hcd
[12345.789012] usb 1-1: New USB device found, idVendor=0781, idProduct=5581, bcdDevice= 1.00
[12345.890123] usb 1-1: New USB device strings: Mfr=1, Product=2, SerialNumber=3
[12345.901234] usb 1-1: Product: Ultra
[12345.912345] usb-storage 1-1:1.0: USB Mass Storage device detected

在调查日志时，应通过复制到取证镜像来保留原始文件。使用 Plaso 的 log2timeline 等工具创建超级时间线，将日志与文件时间戳关联起来。通过 /etc/logrotate.conf 进行日志轮转和压缩可能会隐藏旧事件，因此需要检查 /var/log/*.gz 中的归档文件。

Systemd Journal

可以使用 man systemd.journal-fields 来识别可用于搜索的字段：

可信日志字段	描述
`_PID`, `_UID`, `_GID`	日志条目来源进程的进程 ID、用户 ID 和组 ID，以十进制字符串格式显示。注意，通过 forked 进程的”stdout”或”stderr”获取的条目将包含父进程（该进程启动了与 systemd-journal 的连接）的有效凭证。
`_COMM`, `_EXE`, `_CMDLINE`	该日志条目所源自的进程的名称、可执行路径和命令行。
`_CAP_EFFECTIVE=`	该日志条目来源进程的有效功能(7)。
`_AUDIT_SESSION`, `_AUDIT_LOGINUID`	该日志条目所源自进程的会话和登录 UID，由内核审计子系统维护。
`_SYSTEMD_CGROUP=`, `_SYSTEMD_SLICE=`, `_SYSTEMD_UNIT=`, `_SYSTEMD_USER_UNIT=`	会话中的控制组路径、systemd 层级所有者 UID、systemd 切片单元名称、systemd 用户管理器中的单元名称（如果有）、systemd 用户单元或 systemd 会话的所有者 ID（如果有），以及 systemd 用户的所有者 UID。
`_SELINUX_CONTEXT=`	该进程的日志条目来源的 SELinux 安全上下文（标签）。

使用示例：

clubs@htb[/htb]$ journalctl --utc --since "2023-10-15 18:00:00" --until "2023-10-15 19:00:00" -D /home/linuxforensics/Desktop/cases/scenario1/collection/uploads/auto/var/log/journal/894062f9af204645a289e8016977fe6c/ -u httpd.service _PID=27804 -o json-pretty

{
        "__CURSOR" : "s=abcdef1234567890;i=1234;b=567890abcdef1234;m=123456789;t=5f1234567890a;x=bcdef1234567890",
        "__REALTIME_TIMESTAMP" : "1697383200000000",
        "__MONOTONIC_TIMESTAMP" : "123456789",
        "_BOOT_ID" : "567890abcdef1234",
        "PRIORITY" : "6",
        "_UID" : "0",
        "_GID" : "0",
        "_SYSTEMD_SLICE" : "system.slice",
        "_MACHINE_ID" : "894062f9af204645a289e8016977fe6c",
        "_HOSTNAME" : "ubuntu",
        "SYSLOG_FACILITY" : "3",
        "SYSLOG_IDENTIFIER" : "httpd",
        "MESSAGE" : "Server started successfully",
        "_TRANSPORT" : "journal",
        "_PID" : "27804",
        "_COMM" : "httpd",
        "_EXE" : "/usr/sbin/httpd",
        "_CMDLINE" : "/usr/sbin/httpd -DFOREGROUND",
        "_CAP_EFFECTIVE" : "0",
        "_SYSTEMD_CGROUP" : "/system.slice/httpd.service",
        "_SYSTEMD_UNIT" : "httpd.service",
        "_SYSTEMD_INVOCATION_ID" : "12345678-90ab-cdef-1234-567890abcdef"
}

为增强取证分析，考虑导出日志进行离线审查。使用 journalctl -o export > journal.export 创建二进制导出文件，该文件可以在其他地方使用 journalctl --import journal.export 导入。为持久化存储，配置 /etc/systemd/journald.conf 设置 Storage=persistent，确保日志在重启后仍保存在 /var/log/journal/ 中。在调查中，结合过滤器进行目标搜索，例如使用 journalctl -u ssh.service -p err 查找 SSH 错误。像 journalctl --vacuum-time=2weeks 这样的工具可以清理旧条目，但在取证中应禁用此功能以保留数据。对于远程日志，在 journald.conf 中启用转发功能，通过 SystemLogSocket 将日志发送到中央服务器进行聚合。

Auditd

aureport

aureport 工具从审计日志文件生成摘要报告，将数据聚合为可读格式，如事件计数或用户活动摘要。默认情况下，它会查询 /var/log/audit/ 目录中的所有 audit.log 文件来创建报告。您可以使用 aureport 选项 -if file_name 命令指定不同的文件来运行报告。Aureport 通过处理审计日志文件（默认 /var/log/audit/audit.log）并使用选项来指定报告类型来工作，例如 -a 用于认证，-f 用于文件，或 -u 用于用户（例如 aureport -a 用于认证事件的摘要）。它可以按时间筛选（-ts/-te），解释数据（-i），并以适合进一步分析的格式输出，从硬编码的事件类别中提取数据，生成聚合统计数据，如成功/失败计数。

示例命令使用：

linuxforensics@ubuntu:~$ sudo aureport --input /home/linuxforensics/Desktop/cases/scenario1/collection/uploads/auto/var/log/audit/audit.log --login

Login Report
============================================
# date time auid host term exe success event
============================================
1. 02/26/2025 15:00:01 1000 ? /dev/pts/0 /usr/sbin/sshd yes 7050
2. 02/26/2025 15:01:12 0 ? /dev/pts/1 /bin/bash no 5678

ausearch

Ausearch 用于调查审计追踪，通过搜索日志来查找特定事件，例如失败的登录或文件访问，这对于安全分析、调试以及在事件响应过程中重建行动序列至关重要。默认情况下，ausearch 搜索 /var/log/audit/audit.log 文件。您可以使用 ausearch 选项 -if file_name 命令指定不同的文件。在一个 ausearch 命令中提供多个选项，相当于在字段类型之间使用 AND 运算符，在相同字段类型的多个实例之间使用 OR 运算符。

这样的命令可能看起来像这样：

linuxforensics@ubuntu:~$ sudo ausearch -if /home/linuxforensics/Desktop/cases/scenario1/collection/uploads/auto/var/log/audit/audit.log -m ADD_USER -m DEL_USER -m ADD_GROUP -m USER_CHAUTHTOK -m DEL_GROUP -m CHGRP_ID -m ROLE_ASSIGN -m ROLE_REMOVE -i

----
time->Wed Feb 26 15:02:23 2025
type=USER_CHAUTHTOK msg=audit(1234567890.123:456): pid=12345 uid=0 auid=1000 ses=1 subj=unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023 msg='op=PAM:chauthtok acct="john" exe="/usr/bin/passwd" hostname=? addr=? terminal=pts/0 res=success'

要列出所有 ausearch 选项，我们可以使用 man ausearch。完整的 Auditd 文档可以在这里找到这里。

审计日志基于文本但结构化，包含字段如 type=、msg=audit(timestamp:event_id)：以及键值对（例如 pid=、uid=）。这种格式有助于解析；使用脚本或工具如 awk/grep 进行提取。对于高级分析，通过 audispd 插件转发日志以集成 ELK Stack。

通过规则扩展监控网络变化：

1	linuxforensics@ubuntu:~$ auditctl -a always,exit -F arch=b64 -S socket -k network_mod

在调查中，使用 chattr +i /var/log/audit/audit.log 使日志不可变以防止篡改。与 journalctl 或 syslog 关联以获得更全面的视图——例如，将 Auditd 的系统调用事件与 journal 时间戳进行匹配。

例如，进行状态检查：

linuxforensics@ubuntu:~$ sudo auditctl -s

enabled 1
failure 1
pid 1234
rate_limit 0
backlog_limit 8192
lost 0
backlog 0
loginuid_immutable 0 unlocked

SysmonForLinux

支持的事件

事件 ID	描述
`1`	记录新进程创建时的日志。
`3`	记录机器上的 TCP/UDP 连接。
`4`	记录 Sysmon 服务的状态（已启动或已停止）。
`5`	进程终止时的日志。
`9`	进程从驱动器执行读取操作时的日志。
`11`	记录文件创建或覆盖时的日志。
`16`	当本地 Sysmon 配置更新时的日志。
`23`	当文件被进程删除时的日志。

安装与配置

要安装 SysmonForLinux，为你的 Ubuntu 发行版添加微软的仓库：

cry0l1t3@ubuntu:~$ wget -qO-  | sudo apt-key add - 

cry0l1t3@ubuntu:~$ sudo add-apt-repository "deb [arch=amd64] (lsb_release -rs)/prod $(lsb_release -cs) main"

cry0l1t3@ubuntu:~$ sudo apt update && sudo apt install sysmonforlinux -y

cry0l1t3@ubuntu:~$ sudo sysmon -i sysmonconfig.xml   # <- Start with this command for a custom config, or without for defaults

配置使用 XML 文件来过滤事件，例如：

<Sysmon schemaversion="4.90">
  <EventFiltering>
    <ProcessCreate onmatch="exclude">
      <Image>/bin/lsImage>
    ProcessCreate>
  EventFiltering>
Sysmon>

我们可以使用以下方式更新配置：

1	linuxforensics@ubuntu:~$ sudo sysmon -c newconfig.xml

SysmonLogView

SysmonLogView 旨在提升 Linux 系统上 Sysmon 日志输出的可用性。它主要用于将 Sysmon 生成的 XML 格式事件日志（/var/log/syslog）转换为更易于人类阅读的结构化文本格式，使我们能够更轻松地解析、分析和排错系统活动，而无需处理原始 XML 的杂乱信息。它通过从标准输入（stdin）读取 syslog 数据，并将处理后的过滤输出写入标准输出（stdout）来工作，从而可以轻松集成到管道或脚本中，用于实时监控或批量处理。

linuxforensics@ubuntu:~$ sudo /opt/sysmon/sysmonLogView -h

SysmonLogView v1.0 - Converts Sysmon syslog XML to human readable form
Sysinternals - www.sysinternals.com
By Kevin Sheldrake
Copyright (C) 2021 Microsoft Corporation

Usage:
            sysmonLogView []
  -e   Only display events with matching eventID. Specify comma-separated list
       of eventIDs and/or multiple -e switches.
  -r   Only display events within the specified range of recordIDs. Specify
       min,max. If min is missing, start from the beginning; if end is missing,
       continue to end.
  -t   Only display events within the specified time stamps. Specify start,end.
       Time format is YYYY-MM-DD HH:MM[:SS[.nnn]] where nnn is milliseconds.
       If start is missing, start at beginning; if end is missing, continue to
       the end.
  -f   For events that have a particular field, only display events that match
       the given value (case sensitive). e.g. '-f Image=/bin/touch'
  -E   Only display the specified fields for the specified event. Specify
       =. Can use multiple times.
  -X   Print a blank link between events.
  -h   Display this help.
  -?   Display this help.

Supply input data on standard input; writes to standard output. By default all
events are displayed but switches can be used to only display certain events,
and to only display certain fields within the events that are displayed.

Wrap arguments in quotes (e.g. "") if argument contains spaces.

Typical usage:
  sudo tail -f /var/log/syslog | sudo /opt/sysmon/sysmonLogView

linuxforensics@ubuntu:~$ cat /home/linuxforensics/Desktop/cases/HacktiveLegion_15102023/ubuntu/var/log/syslog | sudo /opt/sysmon/sysmonLogView

UtcTime: 2023-10-15 18:00:01.234
ProcessGuid: {ff032593-1234-5678-90ab-cdef12345678}
ProcessId: 12345
Image: /bin/bash
CommandLine: bash script.sh
CurrentDirectory: /home/john
User: john
LogonGuid: {00000000-0000-0000-0000-000000000000}
LogonId: 1000
TerminalSessionId: 1
IntegrityLevel: Medium
Hashes: SHA256=abcdef1234567890
ParentProcessGuid: {ff032593-8765-4321-09ba-fedcba987654}
ParentProcessId: 67890
ParentImage: /usr/sbin/sshd
ParentCommandLine: sshd: john [priv]

取证技巧

在调查中，将日志管道传输到像 jq 这样的工具进行类似 JSON 的解析： grep "sysmon" /var/log/syslog | jq . 。通过配置 rsyslog 将 Sysmon 事件转发到 SIEM（例如，ELK）。通过 /etc/logrotate.d/syslog 旋转日志以保留历史记录。但是，你需要确保 eBPF 支持内核 4.18+。你可以使用 sysmon -? config 测试配置。

例如，过滤进程创建：

linuxforensics@ubuntu:~$ sudo tail -f /var/log/syslog | grep "EventID>1" | sudo /opt/sysmon/sysmonLogView -f EventID=1

Event SYSMONEVENT_CREATE_PROCESS
        RuleName: -
        UtcTime: 2025-11-03 15:20:20.326
        ProcessGuid: {7df8f1a8-c834-6908-fd04-c48d09560000}
        ProcessId: 5047
        Image: /usr/bin/sudo
        FileVersion: -
        Description: -
        Product: -
        Company: -
        OriginalFileName: -
        CommandLine: sudo /opt/sysmon/sysmonLogView
        CurrentDirectory: /home/linuxforensics
        User: root
        LogonGuid: {7df8f1a8-0000-0000-0000-000002000000}
        LogonId: 0
        TerminalSessionId: 6
        IntegrityLevel: no level
        Hashes: SHA256=7d3c2983ad2f278d9e799b5792f13f57bf890bd3b03d10b36e53bf0b6677895e
        ParentProcessGuid: {7df8f1a8-c73a-6908-0def-0fa03e560000}
        ParentProcessId: 5018
        ParentImage: /usr/bin/bash
        ParentCommandLine: bash
        ParentUser: root

您也可以将 SysmonForLinux 与 Auditd 结合使用，以获得更全面的覆盖范围。SysmonForLinux 在进程/网络事件方面表现优异，而 Auditd 负责处理系统调用。此外，使用 SysmonLogView 您可以将日志导出为 CSV 格式进行分析： sysmonLogView -csv output.csv < syslog

内存获取

使用 AVML 的内存转储

最简单的工具是 AVML，它不需要在目标系统上进行任何编译。要获取内存镜像，只需以 root 权限运行它并提供文件名即可。

clubs@htb[/htb]$ sudo ./avml memdump.mem

Acquiring memory...
Progress: 100% (4.0 GB / 4.0 GB)
Memory acquisition complete. File saved as memdump.mem

使用 LiME 进行内存转储

对于允许使用内核模块的环境，LiME 提供了通过 TCP 转储内存或转储到本地文件的多项灵活选项。首先，在类似系统（匹配内核版本）上使用 make 编译该模块，然后将 .ko 文件传输到目标系统。使用 insmod 加载它，并指定输出格式。

clubs@htb[/htb]$ sudo insmod lime.ko "path=tcp:4444 format=lime"

# On the collection host:
clubs@htb[/htb]$ nc -l -p 4444 > memory.lime

这种方法适用于远程获取数据而不写入目标磁盘，从而降低了覆盖证据的风险。

内存分析

vol3

1 2	linuxforensics@ubuntu:~$ git clone https://github.com/volatilityfoundation/volatility3.git linuxforensics@ubuntu:~$ pip install -r requirements.txt

插件	描述	命令
`linux.pslist`	通过遍历内核的任务列表列出所有运行进程，显示 PID、PPID、命令名称和启动时间等详细信息。可用于识别隐藏或恶意的进程。	`python3 vol.py -f memdump.mem linux.pslist`
`linux.bash`	从 bash shell 中恢复命令历史，通过扫描进程内存中的历史结构，即使日志被清除也能揭示已执行的命令。	`python3 vol.py -f memdump.mem linux.bash`
`linux.sockstat`	列出所有进程的网络连接，包括套接字、协议（TCP/UDP）、本地/远程地址以及相关联的进程。适用于检测未经授权的网络活动或后门。	`python3 vol.py -f memdump.mem linux.sockstat`
`linux.psaux`	列出进程及其命令行参数。	`python3 vol.py -f memdump.mem linux.psaux`
`linux.pstree`	显示进程树，展示父子关系以可视化进程层次结构并发现异常，如孤立的进程。	`python3 vol.py -f memdump.mem linux.pstree`
`linux.lsmod`	列出加载的内核模块，有助于检测注入内核中的 rootkit 或恶意驱动程序。	`python3 vol.py -f memdump.mem linux.lsmod`
`linux.lsof`	显示每个进程的打开文件，包括文件描述符、类型（例如，普通文件、套接字）和路径，可用于在事件期间跟踪文件访问。	`python3 vol.py -f memdump.mem linux.lsof`
`linux.envvars`	从进程中提取环境变量，这可能揭示配置细节、路径或敏感数据，如 API 密钥。	`python3 vol.py -f memdump.mem linux.envvars`
`linux.malfind`	扫描进程内存，通过检测具有可执行权限但没有映射文件的区域，查找可疑代码注入或隐藏的恶意软件。	`python3 vol.py -f memdump.mem linux.malfind`
`linux.check_syscall`	验证系统调用表的完整性，以检测 rootkit 的钩子或修改。	`python3 vol.py -f memdump.mem linux.check_syscall`
`linux.elfs`	列出所有进程的内存映射的 ELF 文件。	`python3 vol.py -f memdump.mem linux.elfs`
`linux.mountinfo`	列出进程挂载命名空间中的挂载点。	`python3 vol.py -f memdump.mem linux.mountinfo`
`linux.proc`	列出所有进程的内存映射。	`python3 vol.py -f memdump.mem linux.proc`

额外的插件如 linux.ifconfig（网络接口）、linux.mount_cache（挂载的文件系统）和 linux.pidhashtable（进程 ID 哈希表枚举）可提供更深入的系统状态洞察。你可以串联插件或使用自动化工具进行综合分析，例如结合 linux.pslist 和 linux.malfind 来调查可疑进程。

使用 Volatility 进行内存分析

首先我们需要确定获取内存镜像的系统内核版本。我们可以使用 volatility 模块的 banners 功能。

linuxforensics@ubuntu:~$ cd /tools/volatility3
linuxforensics@ubuntu:~/tools/volatility3$ python3 vol.py -q -f ~/Desktop/cases/HacktiveLegion_15102023/memdump.mem banners.Banners

Volatility 3 Framework 2.5.2

Offset  Banner

0x60dd97e0      Linux version 5.15.0-84-generic (buildd@lcy02-amd64-005) (gcc (Ubuntu 9.4.0-1ubuntu1~20.04.2) 9.4.0, GNU ld (GNU Binutils for Ubuntu) 2.34) #93~20.04.1-Ubuntu SMP Wed Sep 6 16:15:40 UTC 2023

时间焦虑症

2025-11-20T16:00:00.000Z

在某个下午，正准备去上课，突然意识到，我好像正处于一种“生病式”的状态，我会惶恐还没有到来的时间，以及即使早就在计划内但是将要去完成的事情，即使那件事情本身并不让我排斥，但我依旧会焦虑。
从初中开始，我发现我对时间变得更加敏感。也更加在乎时间给我带来的安全感。

对我来说什么样才算时间充足？
也许可能凌晨四点起床？
也许可能直到困了再睡觉？
就算忙忙碌碌一天，到了下午四五点左右，又会觉得焦虑与恐慌，一天结束了，时间太快了…我曾甚至因此偶尔会感到心慌，呼吸困难，心跳加速，做不了任何事情，非常浮躁，那种感觉并不好受，我只能一遍一遍的深呼吸，让自己平静下来。

不知从什么时候起，我总是认为：睡觉是浪费时间的，睡的越少越好，只需要保持维持生命体征的最小时间即可。
这也侧面反映出我对时间的需求以及潜意识对时间的焦虑。

要怎么形容呢？

时间焦虑症！

伴随的还有做不完的事情和无法好好分配的时间
小时候看过一本书，有关于如何分清事情的“轻重缓急”，在看那本书的时候我每每试着自己去给多件事情排序，印象里完全正确的次数少之又少，那时候的我就发现，有些事情是真的很难去分个先后说谁一定要先做谁一定要后做？或者说，谁必须比谁先做？

当选择降临，我们必须面对一定的得失。

如果你既要又要，那难免会挑战更大，请尽力抓住所有你不想失去的也不能失去的东西/人。

与时间的斗争永不会停止，我们要做的除了抓住当下，就是安排好每个阶段的事情处理节奏。

话先这么多吧，有新的思考再更新。

vi/vim的使用

2025-11-19T16:00:00.000Z

基本上 vi/vim 共分为三种模式，命令模式（Command Mode）、输入模式（Insert Mode）和命令行模式（Command-Line Mode）。

命令模式

用户刚刚启动 vi/vim，便进入了命令模式。

此状态下敲击键盘动作会被 Vim 识别为命令，而非输入字符，比如我们此时按下 i，并不会输入一个字符，i 被当作了一个命令。

以下是普通模式常用的几个命令：

i – 切换到输入模式，在光标当前位置开始输入文本。
x – 删除当前光标所在处的字符。
: – 切换到底线命令模式，以在最底一行输入命令。
a – 进入插入模式，在光标下一个位置开始输入文本。
o：在当前行的下方插入一个新行，并进入插入模式。
O – 在当前行的上方插入一个新行，并进入插入模式。
dd – 剪切当前行。
yy – 复制当前行。
p（小写） – 粘贴剪贴板内容到光标下方。
P（大写）– 粘贴剪贴板内容到光标上方。
u – 撤销上一次操作。
Ctrl + r – 重做上一次撤销的操作。
:w – 保存文件。
:q – 退出 Vim 编辑器。
:q! – 强制退出Vim 编辑器，不保存修改。

若想要编辑文本，只需要启动 Vim，进入了命令模式，按下 i 切换到输入模式即可。

命令模式只有一些最基本的命令，因此仍要依靠底线命令行模式输入更多命令。

输入模式

在命令模式下按下 i 就进入了输入模式，使用 Esc 键可以返回到普通模式。

在输入模式中，可以使用以下按键：

字符按键以及Shift组合，输入字符
ENTER，回车键，换行
BACK SPACE，退格键，删除光标前一个字符
DEL，删除键，删除光标后一个字符
方向键，在文本中移动光标
HOME/END，移动光标到行首/行尾
Page Up/Page Down，上/下翻页
Insert，切换光标为输入/替换模式，光标将变成竖线/下划线
ESC，退出输入模式，切换到命令模式

底线命令模式

在命令模式下按下 :（英文冒号）就进入了底线命令模式。

底线命令模式可以输入单个或多个字符的命令，可用的命令非常多。

在底线命令模式中，基本的命令有（已经省略了冒号）：

:w：保存文件。
:q：退出 Vim 编辑器。
:wq：保存文件并退出 Vim 编辑器。
:q!：强制退出Vim编辑器，不保存修改。

按 ESC 键可随时退出底线命令模式。

Docker学习记录

2025-11-18T16:00:00.000Z

用docker启动kali
docker exec -it kali bash

Docker命令

Linux命令

改主机名：hostnamectl set-hostname xxx
查看当前用户：pwd
创建文件夹：mkdir test
rm -r test
创建文件：touch file1
rm file1

基础命令

docker镜像的分层结构特点是：所有层均为只读
docker rmi -f $(docker images -aq) 删除所有镜像
docker rm -f $(docker ps -aq)删除所有容器
容器是镜像运行的实例
镜像看作类，容器是实例化的镜像
容器内无前台进程运行会导致容器自动退出
docker history 查看指定镜像的创建历史
docker tag 升级镜像版本命令
docker inspect nginx 查看nginx镜像的详细信息
后台运行 -d
docker save : 将指定镜像保存成 tar 归档文件
docker load : 导入使用 docker save 命令导出的镜像

创建容器 docker run -dit –name=test_machine ubuntu:18.04 (默认up状态)
进入容器 docker exec -it test_machine /bin/bash

vim命令

dd删除一行，u （ctrl+z）撤销

Dockerfile

FROM ubuntu:18.04
MAINTAINER xxxx_xxx    
ENV MYPATH /usr/local
WORKDIR $MYPATH
RUN apt update
RUN apt -y install vim
RUN apt -y install net-tools
RUN echo "xxxx_xxx" > file.txt
CMD /bin/bash

FROM # 基础镜像，当前新镜像是基于哪个镜像的
MAINTAINER # 镜像维护者的姓名和邮箱地址
RUN # 容器构建时需要运行的命令
EXPOSE # 当前容器对外保留出的端口
WORKDIR # 指定在创建容器后，终端默认登录的进来工作目录
ENV # 用来在构建镜像过程中设置环境变量
ADD # 将宿主机目录下的文件拷贝进镜像且ADD命令会自动处理URL和解压tar压缩包
COPY # 类似ADD，拷贝文件和目录到镜像中
CMD # 指定一个容器启动时要运行的命令，dockerFile中可以有多个CMD指令，但只有最后一个生效！
ENTRYPOINT # 指定一个容器启动时要运行的命令,形成新的命令组合

阿里云Docker仓库。

1	docker login --username=aliyun9961787532 crpi-mi3d4ixpugeyb3y3.cn-hangzhou.personal.cr.aliyuncs.com

从Registry中拉取镜像

1	$ docker pull crpi-mi3d4ixpugeyb3y3.cn-hangzhou.personal.cr.aliyuncs.com/clubsspades_docker/mytomcat:[镜像版本号]

将镜像推送到阿里云Registry

1	$ docker login --username=aliyun9961787532 crpi-mi3d4ixpugeyb3y3.cn-hangzhou.personal.cr.aliyuncs.com

本地搭建Docker Register

vim /etc/docker/daemon.json 
{
         "insecure-registries":["192.168.171.129:5000"]
}
配置完重启docker
systemctl daemon-reload
systemctl restart docker

创建运行registry镜像
docker run -d -p 5000:5000 --restart=always --name registry -v /opt/myregistry:/var/lib/registry  registry

修改镜像标签+推送镜像
docker tag nginx localhost:5001/nginx:1.0
docker push localhost:5001/nginx:1.0

查看本地仓库已经推送的镜像  
ls -l /opt/myregistry/docker/registry/v2/repositories/

拉取镜像
docker pull localhost:5001/nginx:1.0

查看本地仓库镜像资源：curl 192.168.171.129:5000/v2/_catalog
从私有仓库拉取镜像：docker pull 192.168.171.129:5000/nginx

持久化存储与数据共享

1、创建文件夹/home/share，将index.html文件放到文件夹/home/share。
后台方式运行nginx镜像，将本地目录/home/share映射到容器目录/usr/share/nginx/html，
docker run -d --name nginx -p 8081:80 -v ~/class/docker_class_x x x x/share:/usr/share/nginx/html nginx
测试能否在容器里面的/usr/share/nginx/html目录找到index.html。

2、运行两个官方最新nginx镜像，一个实现具名挂载，数据卷名字为nginx_conf，容器内路径为/usr/share/nginx/；一个匿名挂载，容器内路径为/usr/share/nginx/
具名挂载：

匿名挂载：

3、后台方式运行官方最新的mysql镜像，容器名字mysql-server，端口映射33306:3306，在宿主机上创建数据卷，将目录/home/data挂载到容器目录/var/lib/mysql，密码设置用-e MYSQL_ROOT_PASSWORD=123456
docker run -d --name mysql-server -p 33306:3306 -v ~/class/docker_class_xxxx/data:/var/lib/mysql -e MYSQL_ROOT_PASSWORD=123456 mysql
启动后进入到容器里面运行命令mysql -u root -p**，输入密码后登录

不进入容器也可以查看ip

例如tomcat容器，docker inspect registry
容器和容器之间可以通信

docker虚拟网络

–link原理 /etc/hosts文件添加ip和主机名对应

自定义网络

docker network create --driver bridge --subnet 192.16.0.0/24 --gateway 192.16.0.1 webnet
通过docker network ls查看
新的网络webnet就是自己定义的

启动两个容器测试，使用自己创建的自定义网络的 webnet
docker run -d -P --name tomcat-net-01 --net webnet tomcat
docker run -it --name=centos-net-02 --net webnet centos ping -c 3 tomcat-net-01

期中测试

Docker基础命令综合应用

1. 分别拉取ubuntu的18.04版本的镜像、mysql最新镜像、nginx最新镜像。
docker pull ubuntu:18.04
docker pull mysql
docker pull nginx
2. 查看ubuntu的18.04镜像的详细信息，并删除该镜像
docker inspect ubuntu:18.04
docker rmi ubuntu:18.04
3. 后台方式运行官方最新的mysql镜像，容器名字mysql-server，端口映射33306:3306，在宿主机上创建数据卷，将目录/home/data挂载到容器目录/var/lib/mysql，密码设置为123456 .
宿主机目录：容器目录
docker run -d –name mysql-server -p 33306:3306 -v /home/data:/var/lib/mysql -e MYSQL_ROOT_PASSWORD=123456 mysql
4. 后台方式运行两个官方最新nginx镜像，一个实现具名挂载，数据卷名字为nginx_volume，容器内路径为/usr/nginx/；一个匿名挂载，容器内路径为/usr/nginx/，端口映射和容器名字自定
具名挂载：docker run -d –name nginx01 -p 8080:80 -v nginx_volume:/usr/share/nginx/html nginx
匿名挂载: docker run -d –name nginx02 -p 8081:80 -v /usr/share/nginx/html nginx
5. 查看数据卷nginx_ volume的详细信息
docker volume inspect nginx_volume
6. 删除系统中所有容器
docker rm -f $(docker ps -aq)

使用Dockerfile定制tomcat镜像

材料：apache-tomcat-8.5.59.tar、jdk-8u301-linux-x64.tar

要求：在centos镜像上定制tomcat镜像，访问默认网页

1. 编写Dockerfile文件，构建镜像版本为tomcat:1.0的镜像

（要给出构建过程以及Dockerfile文件内容）

要求：

1. 以centos为基础镜像；

2. 作者要改为自己的姓名拼音和邮箱

3. 创建数据卷挂载到容器的 /home/share目录

4. 定制tomcat镜像必要的代码

FROM registry.cn-hangzhou.aliyuncs.com/xujc/centos
MAINTAINER xxx_xxxx@aaa.com
WORKDIR /usr/local 

ADD jdk-8u301-linux-x64.tar.gz /usr/local/java/
ADD apache-tomcat-8.5.59.tar.gz /usr/local/tomcat/

ENV JAVA_HOME /usr/local/jdk1.8.0_301
ENV CATALINA_HOME /usr/local/apache-tomcat-8.5.59
ENV PATH $PATH:$JAVA_HOME/bin:$CATALINA_HOME/bin

EXPOSE 8080

VOLUME ["/home/share"]

CMD ["/usr/local/apache-tomcat-8.5.59/bin/catalina.sh", "run"]

docker build -t tomcat:1.0 .
2. 后台方式运行镜像，生成容器名为tomcat-web的容器并用浏览器访问默认网页
docker run -d –name tomcat_web -p 23048:8080 tomcat:1.0
3. 列出镜像的变更历史
docker history tomcat:1.0
4. 进入tomcat01容器然后退出容器
docker exec -it tomcat_web /bin/bash
exit
5. 停止tomcat01容器
docker stop tomcat01
6. 删除tomcat01容器
docker rm tomcat01

部署和创建本地registry服务

1、使用官方镜像registry创建本地registry服务。运行官方镜像registry，配置适当的参数和选项，实现不用进入容器也能查看仓库的镜像，能自启动
docker pull registry
docker run -d –name my_registry -p 5001:5000 –retstart=always -v register:/var/lib/registry registry
curl 192.168.31.115:5001/v2/_catalog
2、将第二题定制的tomcat:1.0镜像推送到本地registry 服务的私有仓库。
docker tag tomcat:1.0 localhost:5001/tomcat:1.0
docker push localhost:5001/tomcat:1.0
3、查看本地仓库镜像资源
curl 192.168.31.115:5001/v2/_catalog

创建自定义网络

1、创建一个自定义网络net-web，子网为192.16.0.0/24，网关为：192.16.0.1。
docker network create –driver bridge –subnet 192.16.0.0/24 –gateway 192.16.0.1 net-web
2、后台方式运行tomcat最新镜像，容器名字为tomcat-net, 要使用自己创建的自定义网络的 net-web，端口映射为9090:8080
docker run -d –name tomcat-net -P –net net-web -p 9090:8080 tomcat
3、运行centos最新镜像，使用自定义网络 net-web,容器名字为centos-web，进入到容器里面，用ping命令ping容器名tomcat-net，测试是否连通。
docker run -dit –name centos-web –net net-web centos
docker exec -it centos-web bash
ping tomcat-net

学习软考中级信息安全工程师存档

2025-11-16T16:00:00.000Z

基础知识

《中华人民共和国个人信息保护法》2021年11月1日施行
《网络安全法》2017.1.1
《国家安全法》2020.6.1
《数据安全法》2021.9.1

Snort–基于规则的误用检测

ssh无法抵御中间人攻击和拒绝服务攻击
SYN/ACK 扫描，向某个主机端口发送SYN/ACK数据包，若端口未开放返回RST；若端口开放，不返回信息。
设备冗余，即设备之间相互备份

“广外女生”超级管理技术DDos
灰鸽子、网络神偷：端口反向连接
交换机和路由器支持AAA认证：认证，授权，记账

各类扫描：

缓冲区溢出

冰河：7626、BackOriffice：54320

CIDF

特洛伊木马利用端口反向连接技术
SQL SERVER 开发的服务端口号1433
勒索病毒常禁用445端口
Blaster 135端口

密码分为：核心密码、普通密码、商用密码。
核心密码（绝密级）、普通密码（机密级）用于保护国家秘密信息。
商用密码保护不属于国家秘密的信息，公民、法人、其他组织可以使用。

Biba

禁止搬运在线运行的网络设备属于–防震

透明代理

握手协议

操作系统不属于行业漏洞

电子证据

注册表在system32/config目录下

用户高：向下；用户低：向上

系统安全

三同步：同步设计、同步建设、同步运行
TCSEC

表达攻击，干扰水印的存在：
鲁棒性攻击，减少/消除水印：

容错系统工作
形式化验证最精确
隐蔽通道

云计算–端、管、云
Android
工控系统追求：可用性–完整性–保密性
传统IT：保密性–完整性–可用性

有关“风险”
设置账户权限
采用密码技术
账户安全增强：

机房的组成
国际认证协议：
SELinux：
工控安全：工控系统固件漏洞

应用安全

模糊测试：
电力工控面临的主要威胁不包括：设备损耗
内容安全策略：
业务连续性管理框架：
重要信息系统灾难恢复等级：
信息安全产品认证
WPDRRC—六个环节、三大要素（人员、政策、技术）
电子证据特点：高科技性、无形性和易破坏性
COBRA
Nessus、Nmap、X-SCAN、AppScan
SSH三协议：传输层、用户认证、连接

X.509
开放系统与封闭系统
OWASP
工具
httpd.conf是Apache的主配置文件
access.conf 文件负责读取文件的基本控制，限制目录执行功能、限制访问目录的权限。
数据库的索引字段用户提高dbms的查找速度，不能加密
强制访问控制：金融、军事
数字水印特点：
代码安全缺陷不包括–功能缺陷：
电子证据特性：
隐私保护技术：
访问控制机制：
IKE—IPSec

AES：在AES标准规范中，分组长度只能是128位，密钥的长度可以使用128位、192位或者256位。密钥的长度不同，推荐加密轮数也不同，比如AES-128也就是密钥的长度为128位，加密轮数为10轮，AES-192为12轮，AES-256为14轮。

域名–24小时报备

CA提供数字证书的申请、审核、签发、查询、发布以及证书吊销等生命周期的管理服务。RA是证书登记权威机构，辅助CA完成绝大部分的证书处理功能。

PGP是一种加密软件，应用了多种密码技术，其中密钥管理算法选用RSA、数据加密算法IDEA、完整性检测和数字签名算法，采用了MD5 和RSA以及随机数生成器，PGP将这些密码技术有机集成在一起利用对称和非对称加密算法的各自优点，实现了一个比较完善的密码系统。

依据《信息安全技术网络安全等级保护测评要求》等技术标准，定期对定级对象的安全等级状况开展等级测评。其中，定级对象的安全保护等级分为五个，
即第一级（用户自主保护级）、
第二级（系统保护审计级）、
第三级（安全标记保护级）、
第四级（结构化保护级）、
第五级（访问验证保护级）。–提供系统恢复机制

基于行的自主访问控制方法是在每个主体上都附加一个该主体可访问的客体的明细表，根据表中信息的不同又可分成三种形式，即能力表、前缀表和口令；
基于列的自主访问控制机制是在每个客体上都附加一个可访问它的主体的明细表，它有两种形式，即保护位和访问控制表。

通过VPN技术，企业可以在远程用户、分支部门、合作伙伴之间建立一条安全通道，并得到VPN提供的多种安全服务，从而实现企业网安全。VPN主要的安全服务有以下3种：
保密性服务：防止传输的信息被监听
完整性服务：防止传输的信息被修改
认证服务：提供用户和设备的访问认证，防止非法接入。
显然，合规性服务不属于VPN安全服务。

根据入侵检测应用对象，常见的产品类型有Web IDS、数据库IDS、工控IDS等。其中Web IDS利用Web网络通信流量或Web访问日志等信息，检测常见的Web攻击；数据库IDS检测常见的针对数据库的攻击，跨站点脚本攻击不是针对数据库的。

网闸的技术原理是使用一个具有控制功能的开关读写存储设备，通过开关的设置来连接或切断两个独立主机系统的数据交换，两个独立主机系统与网闸的连接是互斥的，因此，两个独立主机不存在通信的物理连接，而且**主机对网闸的操作只有“读”和“写”。

计算机信息系统安全保护能力的五个等级审计要求如下：

Windows日志有三种类型：
系统日志、应用程序日志和安全日志
Sysevent.evt、Appevent.evt和Secevent.evt
安全日志记录与安全相关的事件，只有系统管理员才可以访问。

依据技术性分类，漏洞分为以下两类：
（1）非技术性安全漏洞：这方面的漏洞来自制度、管理流程、人员、组织结构等。包括网络安全责任主体不明确、网络安全策略不完备、网络安全操作技能不足、网络安全监督缺失、网络安全特权控制不完备。
（2）技术性安全漏洞：这方面的漏洞来源有设计错误、输入验证错误、缓冲区溢出、意外情况处置错误、访问验证错误、配置错误、竞争条件、环境错误等。

蠕虫扫描：随机、顺序、选择性（螺虫实例）

ICMP风暴和Smurf攻击都是基于网络层ICMP协议的攻击；
UDP风暴是基于传输层UDP的攻击；
SYN Flood攻击通过创建大量“半连接”来攻击，TCP连接的三次握手中，服务器在发出SYN+ACK应答报文后无法收到客户端的ACK报文（第三次握手无法完成），服务器将等待1 分钟左右才丢弃未完成连接，如果出现大量这样的半连接将消耗大量的资源。

在网络安全测评的实施方式中，安全功能检测，依据网络信息系统的安全目标和设计要求，对信息系统的安全功能实现状况进行评估，检查安全功能是否满足目标和设计要求。安全功能符合性检测的主要依据有：《信息安全技术信息系统等级保护安全设计技术要求》（GBT25070-2019）、《信息安全技术信息系统通用安全技术要求》（GBT20271-2016）、网络信息安全最佳实践、网络信息系统项目安全需求说明书等。

日志文件绝大多数是纯文本文件，每一行就是一个消息。每个消息都由四个域的固定格式组成。时间标签：表示消息发出的日期和时间。 主机名：表示生成消息的计算机的名字。生成消息的子系统的名字：可以是Kernel，表示消息来自内核；或者是进程的名字，表示发出消息的程序的名字，在方括号里的是进程的PID。消息：即消息的内容。

Oracle系统有超过10个特殊的默认用户账号和密码，密码有些就储存在操作系统中的普通文本文件中，Oracle内部密码就储存在 strXXX.cmd文件中，其中XXX是Oracle系统ID和SID，默认是“ORCL”。这个密码用于数据库启动进程，提供完全访问数据库资源。 Oracle监听进程密码，保存在文件“listener.ora”（保存着所有的Oracle执行密码）中，用于启动和停止Oracle的监听进程。 cmd文件即链接命令文件，以后缀.cmd结尾，用于DSP代码的定位，用户自定义代码存放和加载位置，所以可能用于存储Oracle数据库的内部密码。

第二代交换机又称为以太网交换机，工作于OSI的数据链路层，称为二层交换机，识别数据中的MAC，并根据MAC地址选择转发。
第一代交换机以集线器为代表，工作在OSI的物理层；
第三代交换机通俗地称为三层交换机，工作在OSI的网络层；
第四代交换机在第三代交换机的基础上增加了业务功能，比如防火墙、负载均衡、IPS等；
第五代交换机通常支持软件定义网络SDN，具有强大的QoS能力。

为避免攻击者利用Read-onlySNMP或ReadWrite SNMP对网络设备进行危害操作，网络设备提供了SNMP访问安全控制措施，包括 SNMP访问认证、限制SNMP访问的IP地址、关闭SNMP访问。

口令是系统中认证用户的主要手段，系统安装时默认的口令最小长度通常为5，但为保证口令不易被猜测攻击，可增加口令的最小长度至少为 8。为此，需修改文件etc/login.defs中的参数PASS MIN LEN。同时应限制口令的使用时间，保证定期更换口令，建议修改参数PASS MIN DAYS。

setenforce 1可临时启用 SELinux 的强制模式（Enforcing），让系统强制实施 SELinux 策略。

cmp–文件比较。
cmp -s file1.txt file2.txt
echo $? # 查看上一条命令的退出状态码
状态码0:文件相同；状态码1:文件不同
arp–查看和管理本地的arp缓存表

机房安全等级分A、B、C三级，机房标准为A，较大损害为B，机房选址应在二楼。

7月2日，网络安全审查办公室发布关于对“滴滴出行”启动网络安全审查的公告。公告原文如下：为防范国家数据安全风险，维护国家安全，保障公共利益，依据《中华人民共和国国家安全法》《中华人民共和国网络安全法》，网络安全审查办公室按照《网络安全审查办法》，对“滴滴出行”实施网络安全审查。为配合网络安全审查工作，防范风险扩大，审查期间“滴滴出行”停止新用户注册。 7月5日，网络安全审查办公室发布关于对“运满满”“货车帮”“BOSS直聘”启动网络安全审查的公告。公告原文如下：为防范国家数据安全风险，维护国家安全，保障公共利益，依据《中华人民共和国国家安全法》《中华人民共和国网络安全法》，网络安全审查办公室按照《网络安全审查办法》，对“运满满”“货车帮”“BOSS直聘”实施网络安全审查。为配合网络安全审查工作，防范风险扩大，审查期间“运满满”“货车帮”“BOSS直聘”停止新用户注册。

金丝雀（Canary）这一名称来源于早先英国的探测技术。英国矿工下井前会带一只金丝雀，金丝雀对毒气敏感，如果井下有有毒气体，则会停止鸣叫甚至死亡，从而矿工们得到预警。 Canary技术属于缓解缓冲溢的有效手段，该技术插入一个值在堆栈溢出发生的高危区域的低地址部分。通过检测该值是否改变，来判断堆栈或者缓冲区是否出现溢出。这种方式，增加了堆栈溢出攻击的难度，而且几乎不消耗资源，属于操作系统保护的常用手段。堆栈保护。

TCP SYN扫描又称“半打开扫描（Half-open Scanning）”，当向目标主机发送SYN连接，如果收到一个来自目标主机的SYN/ACK应答，那么可以推断目标主机的该端口开放。如果收到一个RSTACK则认为目标主机的该端口未开放。

在移动应用App程序插入无关代码属于代码混淆技术，用于增加阅读代码的难度，是防反编译的一种手段。

PDRR（防护-检测-恢复-响应）模型中，数据备份对应环节是恢复。

等保2.0第四级要求：所有计算节点都应基于可信根实现开机到操作系统启动，再到应用程序启动的可信验证，并在应用程序的所有执行环节对其执行环境进行可信验证，主动抵御病毒入侵行为，同时验证结果，进行动态关联感知，形成实时的态势。
三级增加应用程序的关键执行环节进行动态可信验证；
四级增加应用程序的所有执行环节进行动态可信验证。

认证一般由标识和鉴别两部分组成。
（1）标识（Identification）：实体（如设备、人员、服务、数据等）唯一的、可辨识的身份标志。这些标志可以是IP地址、网卡地址、通讯运营商信息等。
（2）鉴别（Authentication）：利用技术（如口令、数字证实、签名、生物特征等），识别并验证实体属性的真实性和有效性。

Kerberos系统中的应用服务器负责为用户提供服务。

操作系统访问控制是针对计算机系统资源而采取的访问安全措施。操作系统访问控制的具体措施有文件读写、进程、内存等访问控制。

Web应用防火墙可以防止SQL注入、xss攻击、恶意文件上传、远程命令执行、文件包含、恶意扫描拦截等；可以发现并拦截恶意的Web 代码；可防止网站挂马、后门上传拦截等。所以说Web应用防火墙只针对80、443端口的表述是错误的。

基于网络的入侵检测系统（NIDS）可以检测到的攻击有：同步风暴、分布式拒绝服务攻击、网络扫描、缓冲区溢出、协议攻击、流量异常、非法网络访问等。
基于主机型入侵检测系统（HIDS）可以检测：针对主机的端口和漏洞扫描；重复登录失败；拒绝服务；系统账号变动、重启、服务停止、注册表修改、文件和目录完整性变化等。

FTP称为文件传输协议，文件传输审计主要针对FTP协议，从FTP网络流量数据提取信息。

引导区病毒是通过感染磁盘引导扇区进行传播的病毒。
常见的引导区病毒有Boot.WYX、磁盘杀手、AntiExe病毒等。

蠕虫的具体组成如下：
（1）探测模块：探测目标主机的脆弱性，确定攻击、渗透方式。
（2）传播模块：复制并传播蠕虫。
（3）蠕虫引擎模块：扫描并收集目标网络信息，如IP地址、操作系统版本等。
（4）负载模块：实现蠕虫内部功能的伪代码。

网络安全取证步骤如下：
（1）取证现场保护。保护受害系统或设备的完整性，防止证据丢失。
（2）证据识别。识别可获取的证据信息。
（3）传输证据。传输证据到取证设备。
（4）保存证据。存储证据，并确保存储的数据与原始数据一致。
（5）分析证据。针对证据进行分析，重现攻击过程。
（6）提交证据。向法院、律师提交证据。

防火墻的网络地址转换（NAT）技术主要是为了解决公开地址不足而出现的，当内部某一个用户访问外网时，防火墙动态地从地址集中选择一个未分配的地址分配给该用户，该用户即可使用这个合法地址进行通信。在实现 NAT 的方式中，把内部地址映射到外部网络的一个IP地址 的不同端口上的方式属于PAT。

隐私保护技术是针对个人信息安全保护的重要措施，常见的隐私保护技术有泛化、抑制、置换、裁剪、扰动等。其中改变数据属主的方式被称为置换。

WinPC 复用25端口

案例分析题

iptables

iptables -A INPUT --dport 80 -p tcp -j Accept iptables -A INPUT –sport 53 –dspot 1024:65535 -p UDP -j Accept
iptables -A INPUT --dport 20:23,53,80,110 -p tcp -m multiport -j Accept

Linux知识

创建软连接 ln -s /dev/shm shm (-s是软链接，没有就是硬链接)
查找失效的链接文件 find /home xtype l
删除实效的 find /home xtype l -delete
系统日志文件路径 var/log/secure
etc/ssh/ssh_config
>>表追加
systemctl restart sshd (start/stop/restart)
要远程登录的需要使用 /bin/bash 的shell （sh zsh tcsh也行）

Windows知识

事件查看器 eventvwr.msc

3389是rdp端口
Wireshark过滤：tcp.port == 3389 ip.addr == 192.168.66.1
12162开始交换密钥，12168开始传递加密数据
ICMP协议受害者收到Echo reply数据包

RSA

e * d=mod &(n) 求公钥d
私钥Ke，公钥Kd，M是明文，C是密文
C =Me mod n
M =Cd mod n
消息（明文）m < n
不可以直接使用RSA数字签名，首先因为消息太大，时间需要长，并且加密后n太大了，其次无法验证完整性，完整性需要hash验证
RSA签名体制可以实现三个基本安全目标：完整性、真实性、不可否认性

其他

政府网站不低于三级，每年检查

netstat -a 显示所有连接和监听端口
netstat -b 显示对应的可执行文件

Snort属于基于网络型的误用检测系统。

安全通信方式：ssh 和stelnet（secure telnet）

CC攻击

安卓四大组件

替代和置换对应香农发表的论文提到的混乱和扩散技术

跨站伪造请求攻击–认证服务
明文传输漏洞–数据加密
Sumurf攻击（Dos）–可用性
攻击进行追踪溯源–审计服务
签名伪造攻击–抗否认性
软件被植入木马–数据完整性

BLP模型–防止非授权信息的扩散，只能保障机密性，不能保障完整性
简单安全特性：读访问，主体 > 客体全部范畴，只能向下读
*特性：写访问，客体 > 主体全部范畴，只能向上写

Biba模型–防止非授权修改，保障完整性
简单安全特性：主体 > 客体全部范畴，不能向下读
*特性 :主体 < 客体，不能向上写
调用特性：主体完整性 < 另一个主体，不能调用另一个主体

C语言

缓冲区溢出，C语言数组特性：不对数组越界进行检查
栈(stack):
编译器自动分配自动管理，内存连续，保存函数值和局部变量，内存空间从高到低分配。
堆(heap) :
人为分配，通过malloc或new，需要手动释放，或者程序结束统一回收。内存空间不连续，从低到高分配。
模糊测试相当于黑盒测试

隐写相关（一）

2024-12-31T16:00:00.000Z

NTFS隐写

NTFS文件系统时windows NT内核系列操作系统支持的、专门为网络和磁盘配额的，文件加密等管理安全特性设计的磁盘格式。NTFS比FAT文件系统更加稳定，更能也更为强大。

NTFS数据流文件也被称为 Alternate data streams，简称ADS，是NTFS文件系统的一个特性之一，允许单独的数据流文件存在，同时也允许文件附着多个数据流，除了主文件流之外还允许许多非主文件流寄生在主文件流中，使用资源派生的方式来维持与文件的相关信息，并且这些寄生的数据流文件我们使用资源管理器无法看到。

交换数据流介绍:

Windows NTFS文件系统的交换数据流（Alternate Data Steams, ADS）可以追溯到Windows NT3.1，为了满足Windows系统和苹果HFS（Hierachical File System）系统的交互需求诞生了交换数据流。NTFS使用的交换数据流来存储文件的相关元数据，包括安全信息、原作者以及其他元数据。
对于隐藏文件，Windows NTFS中的交换数据流事一种简单并且隐蔽的方式。

dir /r #即可查看当前目录是否有ntfs隐写的文件

然后用工具ntfsstreamseditor.exe打开所在文件夹,即可导出隐藏的文件

PicoCTF

2024-10-31T16:00:00.000Z

PicoCTF

git用法

git log:查看上传日志

git show可以接分支git branch -a查看分支

git checkout +commit hash恢复

符号链接

ln -s /root/flag.txt /home/player/banner：访问 /home/player/banner 将会像访问 /root/flag.txt 一样

ln：

ln 是用于创建链接的命令。默认情况下，ln 创建硬链接，但加上 -s 选项后，它会创建一个符号链接。

-s：

-s 选项表示创建符号链接（symbolic link），也叫软链接（soft link）。符号链接类似于快捷方式，它指向另一个文件或目录。与硬链接不同，符号链接不会占用数据块，而是存储目标文件的路径。

/root/flag.txt：

这是符号链接的目标文件。在这个例子中，/root/flag.txt 是目标文件，也就是你希望指向的实际文件。该文件通常是存储 “flag” 的文件，在一些挑战中，flag 是需要找到的关键文件。

/home/player/banner：

这是符号链接的路径和名称。/home/player/banner 是你希望创建的符号链接的路径和名称。通过这个符号链接，用户可以访问 /root/flag.txt 文件，而无需直接访问原文件路径。

总结：

这个命令创建了一个符号链接 banner，它位于 /home/player/ 目录，指向 /root/flag.txt 文件。换句话说，访问 /home/player/banner 将会像访问 /root/flag.txt 一样，返回相同的内容。

root权限shell

sudo -l:查看当前用户可用权限，如需要从vim得到root，sudo vi然后:!sh进入root权限

如何自动执行任务以在 Linux 服务器上间隔运行？

/etc/crontab

man命令

通过 man 命令，您可以获取关于特定命令或主题的详细信息。

语法

1	man [选项] [节号] 命令/主题

一些常见的选项包括：

-f：显示与指定关键字相关的手册页面。
-k：搜索手册页中与关键字匹配的条目。
-a：显示所有匹配的手册页面。
-w：仅显示手册页的位置，而不显示其内容。

rockstar-py项目

一种语言代码，从歌词txt转成py脚本，项目从github上clone。

rockstar-pyhttps://github.com/yyyyyyyan/rockstar-py

rockstar-py –output rockstar.py -i lyrics.txt

形如txt,需要用rockstar-py转成py

rockstarhttps://web.archive.org/web/20190522020843/https://codewithrockstar.com/online

Clubs&Spades's Space

Sherlock - Vantage

Task 1 : What tool did the attacker use to fuzz the web server ?

Task 2 : Which subdomain did the attacker discover?

Task 3 : 攻击者在成功登录仪表盘前尝试了多少次登录？

Task 4 : 攻击者是什么时候下载了 OpenStack API 远程访问配置文件的？（UTC）

Task 5 : 攻击者何时首次与控制器节点上的 API 进行了交互？

Task 6 : 攻击者访问的默认项目的项目 ID 是什么？

Task 7 : 哪个 OpenStack 服务为 OpenStack API 提供认证和授权？

Task 8 : Swift 服务的端点 URL 是什么？

Task 9 : 攻击者发现了多少个containers

Task 10 : 攻击者是在何时下载了敏感用户数据文件的？(UTC)

Task 11 : How many user records are in the sensitive user data file?

Task 12 : 为了实现持久化，攻击者创建了一个具有管理员权限的新用户。请问该新用户的用户名是什么？

Task 13 : 新用户的密码是什么？

Task 14 : 该行为对应 MITRE ATT&CK 的哪个子技术？

EZ 工具与应急响应用途速查表

1. Get-ZimmermanTools

2. AmcacheParser

3. AppCompatCacheParser

4. bstrings

5. EvtxECmd

6. EZViewer

7. JLECmd

8. JumpListExplorer

9. LECmd

10. MFTECmd

11. MFTExplorer

12. PECmd

13. RBCmd

14. RecentFileCacheParser

15. RECmd

16. RegistryExplorer

17. rla

18. SDBExplorer

19. SBECmd

20. ShellBagsExplorer

21. SQLECmd

22. SrumECmd

23. SumECmd

24. TimelineExplorer

25. VSCMount

26. iisGeoLocate

最常用的一组（Windows 应急优先掌握）

一句话记忆

PolyUCTF 2026 MISC Greenhat Writeup

题目信息

1. 初步观察

2. 观察 agent_message 的外层格式

3. 从图片里拿到第三段 key material

4. 三段材料的长度非常“巧”

5. 确定拼接顺序

6. 解密 agent_message

7. 解密后看到的攻击行为

8. 从下载块里恢复 flag

9. 最终脚本思路

复盘

PolyUCTF 2026 MISC MIDI隐写 writeup

题目

解题思路

1. 先看 MIDI 里有什么可疑内容

2. 解析隐藏轨 Phantom's Breath

3. 不用硬数歌词，直接定位 GitHub 仓库

4. 打开仓库源码拿 flag

复现脚本

总结

【HTB Academy】Linux取证练习记录

🛠️ 准备工作：解析 Sysmon for Linux 日志

🔍 第一部分：基于日志的进程与网络溯源

1. 查找连接到 C2 服务器的恶意进程 (PID)

2. 数据库取证：分析被窃取的用户信息

结论： 攻击者首先获取了 users 表的用户名列表，随后精准窃取了用户 Wade Murphy 的所有信息。

🧠 第二部分：Volatility 3 内存取证高级技巧

1. 突破迷雾：寻找真实的父进程 (PPID)

2. 内存文件提取：Dump 可疑 ELF

3. 寻找注入的恶意代码 (RWX 内存区)

第三部分：恶意软件静态分析 (YARA & Hexdump)

1. 批量运行 YARA 规则

2. 手工提取 Meterpreter UUID (Hexdump 技巧)

💡 总结与反思

2. 观察 `agent_message` 的外层格式

6. 解密 `agent_message`

2. 解析隐藏轨 `Phantom's Breath`

结论：攻击者首先获取了 users 表的用户名列表，随后精准窃取了用户 Wade Murphy 的所有信息。