工具获取

Lovelymem快速上手教程

做题

第一问：请找到rdp连接的跳板地址

加载内存镜像后，点击网络信息

然后过滤3389

DstAddr 192.168.60.220

第二问：请找到攻击者下载黑客工具的IP地址

155.94.204.67

第三问：攻击者获取的“FusionManager节点操作系统帐户（业务帐户）”的密码是什么

vol2,或者vol3的filescan

GalaxManager_2012

第四问：请找到攻击者创建的用户

先导出全部的eventlog,然后将fffffa801a544ba0-Security.evtx 转为csv


筛选一下A new account was created

很容易得出新建的用户是 ASP.NET

第五问：请找到攻击者利用跳板rdp登录的时间

第一问有，UTC时间 2024-12-20 16:15:34 UTC

第六问：请找到攻击者创建的用户的密码哈希值

或者 vol2 vol3 使用 hashdump
5ffe97489cbec1e08d0c6339ec39416d