Sherlock Scenario 我们在网络活动中发现了一个异常模式，表明可能存在安全漏洞。我们的团队怀疑我们的系统遭到未经授权的入侵，可能会泄露敏感数据。您的任务是调查此事件。 Task1 VBS 脚本是从哪个域下载的？ 在最开始的DNS包里面发现了escuelademarina.com，并且下面的SMB包里也存在一个AZURE_DOC_OPE…

Sherlock Scenario 在这个 Sherlock 中，您将熟悉 MFT（主文件表）取证。您将了解用于分析 MFT 工件以识别恶意活动的知名工具和方法。在我们的分析过程中，您将使用 MFTECmd 工具解析提供的 MFT 文件，使用 TimeLine Explorer 打开并分析解析的 MFT 的结果，并使用十六进制编辑器从 MFT 中恢…

Sherlock Scenario 在本 Sherlock 中，您将熟悉 Sysmon 日志和各种有用的 EventID，用于识别和分析 Windows 系统上的恶意活动。Palo Alto 的 Unit42 最近对 UltraVNC 活动进行了研究，其中攻击者利用 UltraVNC 的后门版本来维护对系统的访问。此实验室受该活动的启发，指导参与者…

Sherlock Scenario 我们的SIEM提醒我们注意一个需要立即查看的可疑登录事件。警报详细信息是IP地址和源工作站名称不匹配。您将收到事件时间范围内周围时间的网络捕获和事件日志。对给定的证据进行核化，并向SOC经理报告。 NTLM Relay Attack 这是Hackthebox的官方链接：NTLM 中继攻击检测 (hackthebo…

Sherlock Scenario 在这个非常简单的 Sherlock 中，您将熟悉 Unix auth.log 和 wtmp 日志。我们将探索一个场景，其中 Confluence 服务器通过其 SSH 服务被暴力破解。获得对服务器的访问权限后，攻击者执行了其他活动，我们可以使用 auth.log 进行跟踪。尽管 auth.log 主要用于暴力分析…

关于evtx evtx文件是微软采用的一种全新的日志文件格式。在此之前的格式是 evt 。evtx由Windows事件查看器创建，包含Windows记录的事件列表，以专有的二进制XML格式保存。 在本文的附件中，存在三个日志，分别是安全、日志、应用程序 不要直接运行！！用windows自带的事件查看器打开 Windows-evt…