【TryHackMe】Investigating Windows：Walkthrough

# 概要

TryHackMe「Investigating Windows」のWalkthroughです。

https://tryhackme.com/r/room/investigatingwindows

# Task1

## **Q1**.*Whats the version and year of the windows machine?*

コマンドプロンプトからバージョン、年代を確認できました。

![q1.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3005822/f693b76e-1b14-6a39-bbb6-a5a4c2def07a.png)

**A**.**Windows Server 2016**

## **Q2**.*Which user logged in last?*

**Hint**.*That's you just now. But, who logged in before you?*

`Event Viewr`->`Windows Logs`->`security`でログインのログを見ます。

![q2.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3005822/cba6962e-8768-a611-6b13-7e2c66312057.png)

**A**.**Administrator**

## **Q3**.*When did John log onto the system last?Answer format: MM/DD/YYYY H:MM:SS AM/PM*

**Hint**.*Try using cmd to find this out*

`Logon`のイベントIDは`4624`なのでフィルタリングします。

![q3 filter.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3005822/619175f2-372a-9293-8584-9a0187ca6d7a.png)

そして文字列検索で`John`を検索し最終ログイン日を調べます。

![q3 find.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3005822/b84a9e20-2aeb-5fcb-edd2-24456a8a12d6.png)

**A**.**03/02/2019 5:48:32 PM**

## **Q4**.*What IP does the system connect to when it first starts?*

レジストリの`HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run`でスタートアッププログラムを調べます。

![q4.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3005822/88fb31f2-eaa6-6ad4-ea5f-00c2b52b63c6.png)

**A**.**10.34.2.3**

## **Q5**.*What two accounts had administrative privileges (other than the Administrator user)?Answer format: username1, username2*

`net localgroup administrators`コマンドでグループに所属しているユーザーを調べます。

![q5.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3005822/9110e1a6-4d93-a166-a269-1e6663ee16f7.png)

**A**.**Jenny, Guest**

## **Q6**.*Whats the name of the scheduled task that is malicous.*

`Get-ScheduledTask`でスケジュールされたプログラムを閲覧し悪意のあるプログラムを探します。

![q6.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3005822/01873784-2e17-ba8f-65cf-8947e6b988e2.png)

**A**.**Clean file system**

## **Q7**.*What file was the task trying to run daily?*

タスクスケジューラーを開いて毎日実行するプログラムを発見します。

![q7.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3005822/04e0eaa5-f4f9-3bd4-d4f6-c689f00ae6ba.png)

**A**.**nc.ps1**

## **Q8**.*What port did this file listen locally for?*

プログラムの引数でリッスンしているポートが分かります。

![q7.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3005822/a779073c-655e-647b-e035-62680c888c0d.png)

**A**.**1348**

## **Q9**.*When did Jenny last logon?*

`net user jenny`コマンドでログイン履歴を調べます。

![q9.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3005822/ddd49667-6724-a9d4-b8f7-b7109f86ac42.png)

**A**.**Never**

## **Q10**.*At what date did the compromise take place?Answer format: MM/DD/YYYY*

タスクスケジューラーのファイルが作成された日付で推測できます。

![q10.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3005822/b9b93798-bb99-674d-6355-e37c22374df6.png)

**A**.**03/02/2019**

## **Q11**.*During the compromise, at what time did Windows first assign special privileges to a new logon?Answer format: MM/DD/YYYY HH:MM:SS AM/PM*

**Hint**.*00/00/0000 0:00:49 PM*

タスクスケジューラーのファイル作成日で絞って、イベントID`4672`(新しいログオンに特権が付与された時のもの)で検索します。

![q11 filter.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3005822/bf8524ef-6ce2-9be2-38a8-96a4a29d1ef6.png)

ヒントから日付を予測しました。

![q11.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3005822/36b3ef6f-ffc4-169c-a6ac-46abc99d9965.png)

**A**.**03/02/2019 4:04:49 PM**

## **Q12**.*What tool was used to get Windows passwords?*

`/tmp/mim.exe`があり定期的に`Mimikatz`が実行されていると分かります。
`/tmp/mim-out.txt`に情報を保存していると分かりました。

![q12.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3005822/e0dd6e77-7503-8302-a08e-27e89646b710.png)

**A**.**Mimikatz**

## **Q13**.*What was the attackers external control and command servers IP?*

`C:\Windows\System32\drivers\etc\hosts`で怪しいエントリーを調べます。

![q13.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3005822/db6c8356-79fe-75b9-0500-d55af3d3707f.png)

**A**.**76.32.97.132**

## **Q14**.*What was the extension name of the shell uploaded via the servers website?*

`C:\inetpub\wwwroot`配下を調べます。

![q14.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3005822/447bc6e0-d3c5-f5e4-250f-84e3a0ce30af.png)

**A**.**.jsp**

## **Q15**.*What was the last port the attacker opened?*

**Hint**.*Firewall*

`Firewall`受信ルールの一番上にあるエントリーを確認します。

![q15.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3005822/98ae0cdb-1f0c-fe36-ffc1-ac203fd968d8.png)

**A**.**1337**

## **Q16**.*Check for DNS poisoning, what site was targeted?*

`C:\Windows\System32\drivers\etc\hosts`ファイルから確認できます。

![q13.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3005822/c50654d2-4442-25a8-e725-f292d99c5dc3.png)

**A**.**google.com**