數(shù)據(jù)庫(kù)相關(guān)1.數(shù)據(jù)庫(kù)一需要找到隱藏用戶的創(chuàng)建時(shí)間在 windows 系統(tǒng)中創(chuàng)建新用戶在用戶名后添加$,會(huì)變成隱藏用戶但是在 win10 系統(tǒng)以上會(huì)在左下角顯示全部用戶在事件查看器的 windows 日志通過(guò)事件 ID4720用于創(chuàng)建用戶確定創(chuàng)建時(shí)間得到 flagflag{2024/12/16 15:24:21}2.數(shù)據(jù)庫(kù)二需要找到惡意文件得知是個(gè)勒索病毒打開(kāi)任務(wù)管理器進(jìn)程一般惡意文件運(yùn)行在后臺(tái)。分析哪個(gè)是惡意的文件這里我的文件已經(jīng)刪除flag{xmrig.exe}3.數(shù)據(jù)庫(kù)三找到惡意文件的外聯(lián)地址使用 netstat -ano 列出所有狀態(tài)查看是否有外聯(lián)地址也可以查看配置文件這里 URL 域名對(duì)應(yīng)的 IP 即為外聯(lián)地址通過(guò) DNS 解析得到 flag4.數(shù)據(jù)庫(kù)修復(fù)使用數(shù)據(jù)庫(kù)修復(fù)工具“D-Recovery SQL Server”進(jìn)行修復(fù)選擇被加密的數(shù)據(jù)庫(kù)文件在”選擇參照mdf文件“中選擇”【非題目】題mssql-備份數(shù)據(jù)庫(kù)可能會(huì)用到“中的純表結(jié)構(gòu)文件flag{E4r5t5y6mhgur89g}5.數(shù)據(jù)庫(kù)五提交powershell命令中惡意文件的MD5在事件查看器的應(yīng)用程序部分找到 powershell 的命令找到 400ID 值確定信息位置from base64 解碼后知道是 Gzip 格式再使用 Gunzip發(fā)現(xiàn)解密后的內(nèi)容還有一次 base64把內(nèi)容拿出來(lái)再解碼再加個(gè) MD5得到 flagflag{d72000ee7388d7d58960db277a91cc40}