应急响应 WP

终于把hbc虚拟机下好了，十一月还要打美亚杯，忙之。

贴个官方视频，挺好用的。

总之开始吧。今天的题：

我在做这道题之前都不知道模拟C2是啥，其实是对面的服务器。
C2是攻击者用来远程操控被入侵系统的“指挥中心”。在真实的网络攻击中，C2服务器负责与植入受害者机器的恶意软件（Agent/木马）通信，下发指令（如窃取文件、开启摄像头）并接收回传数据。
在网络靶场中，模拟C2就是为了安全地复现这种攻击场景。它是一个受控的、模拟的攻击指挥中心，让你可以在隔离环境中练习检测、分析和防御C2通信的技能。
C2框架的开发语言非常多样，主流选择包括Go、C/C++、Python、C# 等

按照提示把虚拟机快照打好之后进入靶场，打开wireshark流量分析。

可以看到bingdu.haobachang.com，知道服务端链接地址。

然后看

• 第 234 帧：Time 225.064925

• 第 240 帧：Time 230.155210 （间隔约 5.09 秒）

• 第 244 帧：Time 235.229435 （间隔约 5.07 秒）

所以外联频次是差不多五秒一次。

然后我们去看模拟C2的语言。现在就要打开procexp了。

找到一个奇怪的run.exe，决定就是你了。

下个srtings工具总算能看到这个 run.exe 程序里包含的所有可打印的文本字符串了。

自己看或者直接发给AI，知道是go。

得到flag。