Solar杯应急响应挑战赛Writeup解析与教学

1. 比赛概述

2024第一届Solar杯应急响应挑战赛是一场专注于网络安全应急响应能力的CTF比赛，包含日志分析、内存取证等多个考察方向。

2. 日志流量分析

2.1 基础日志分析

工具使用：

• 使用D盾工具直接分析日志文件

解题步骤：

1. 获取日志文件"日志流量-1"
2. 使用D盾工具加载分析
3. 在分析结果中查找flag

关键点：

• 直接解码即可获得flag
• flag格式：flag{A7b4_X9zK_2v8N_wL5q4}

2.2 哥斯拉流量分析

工具使用：

• 哥斯拉流量分析工具

解题步骤：

1. 获取"日志流量-2"文件
2. 使用哥斯拉流量分析工具解析
3. 从解析结果中提取flag

关键点：

• 需要识别哥斯拉(Godzilla)流量特征
• flag格式：flag{sA4hP_89dFh_x09tY_lL4SI4}

3. 内存取证分析

3.1 网络连接分析

工具命令：

vol.py -f 123.raw --profile=Win7SP1x64 netscan

解题步骤：

1. 使用Volatility工具加载内存镜像
2. 指定正确的profile(Win7SP1x64)
3. 执行netscan命令查看网络连接
4. 从结果中提取flag

关键点：

• 第一个flag：flag{192.168.60.220}
• 第二个flag：flag{155.94.204.67}

3.2 文件系统分析

工具命令：

vol.py -f 123.raw --profile=Win7SP1x64 filescan | grep txt

解题步骤：

1. 使用filescan命令扫描内存中的文件
2. 使用grep过滤txt文本文件
3. 发现pass.txt文件
4. 提取并查看该文件内容

关键点：

• flag格式：flag{GalaxManager_2012}

3.3 注册表分析

解题步骤：

1. 使用Volatility的注册表分析功能
2. 查看系统账户信息
3. 从账户信息中获取flag

关键点：

• flag格式：flag{Guest}

4. 邮件头分析

解题步骤：

1. 分析邮件头中的传输路径
2. 识别邮件经过的服务器：
   • 发件服务器：mail.solar.sec (VM-20-3-centos)
   • 第一跳：mail.da4s8gag.com (通过Postfix服务)
   • 第二跳：newxmmxszc6-1.qq.com (通过NewMX服务)
   • 最终收件人：hellosolartest@qq.com

关键点：

• flag格式：flag{mail.solar.sec|mail.da4s8gag.com|newxmmxszc6-1.qq.com}
• 需要按邮件传输顺序排列服务器

5. 工具与技术总结

5.1 关键工具

1. D盾：用于快速分析日志文件
2. 哥斯拉流量分析工具：专门用于分析Godzilla webshell流量
3. Volatility：内存取证分析框架
   • netscan：分析网络连接
   • filescan：扫描内存中的文件
   • 注册表分析：查看系统配置和账户信息

5.2 技术要点

1. 日志分析：

   • 快速定位关键信息
   • 识别各种日志格式

2. 内存取证：

   • 正确选择profile
   • 网络连接分析
   • 文件系统遍历
   • 注册表取证

3. 邮件分析：

   • 理解邮件头结构
   • 追踪邮件传输路径

6. 实战练习建议

1. 搭建Volatility环境练习内存取证
2. 收集各种类型的日志进行D盾分析练习
3. 分析真实的哥斯拉流量样本
4. 练习解析复杂的邮件头信息

通过本比赛的分析，可以全面掌握基础的应急响应技能，特别是日志分析和内存取证这两项关键能力。