应急加固-医院数据泄露应急处置

系统登录凭证：admin/Zhoudi666

首次发起扫描的源地址为

正常TCP连接三次握手数据包特征：

SYN标志位=1;ACK标志位=0

SYN标志位=1;ACK标志位=1

SYN标志位=0;ACK标志位=1

扫描行为特征： 采用半开放扫描方式，产生大量SYN数据包。

SYN标志位=1;ACK标志位=0

大量SYN数据包可能暗示网络攻击（如端口扫描、SYN洪水攻击）

tcp.flags.syn == 1 && tcp.flags.ack == 0

flag{192.168.37.3}

通过日志分析定位高频扫描源IP

使用日志分析系统

统计(http.status_code, client_ip) | http.status_code >= 404 | 排序-降序

筛选HTTP协议流量，按状态码和客户端IP分组统计；过滤出404及以上状态码数据；按数量降序排列。

最高频IP为192.168.27.3

flag{192.168.27.3}

定位次高频扫描源IP

flag{192.168.37.1}

识别使用AWVS扫描工具的IP

AWVS流量特征：

1.URL包含acunetix_test标识
2.请求头含acunetix/wvs标识
3.User-Agent含acunetix标识
4.请求体含acunetix test标识
5.URL重复acunetix_test标识
6.请求头重复acunetix/wvs标识
7.请求体重复acunetix test标识

共同特征为"acunetix"

http contains "acunetix"

过滤包含"acunetix"的数据流

发现所有记录均来自192.168.37.1

flag{192.168.37.1}

定位执行混合扫描的IP并提交扫描次数(以wireshark统计为准)

已分析192.168.37.3、192.168.37.1，剩余192.168.37.100待分析

检测到GET请求包含大量恶意负载，确认该IP执行混合扫描

源IP：192.168.37.100 目标IP：192.168.37.2

ip.src == 192.168.37.100 && ip.dst == 192.168.37.2

flag{4812}

定位执行Web登录暴力破解的IP

登录接口通常为login

http.method == "POST" && http contains "login.php"

发现192.168.37.87持续向login.php发送POST请求，包含多个账号密码组合。

flag{192.168.37.87}

提交暴力破解尝试次数

选中

flag{106}

检测数据库异常注册行为并提交源IP

使用日志分析工具过滤：

服务类型 == "HTTP" 
| 请求方法 == "POST" 
| 请求路径 == "/register.php" 
| 统计(client_ip, method, uri) 
| 排序-降序

通常注册接口为"register"，使用POST方法提交。

http.method == "POST" && http contains "register.php"

发现192.168.37.177在register.php的POST请求最多；每个请求包含不同用户名密码组合。

flag{192.168.37.177}

提交成功注册数量

根据数据包时间，查询4月30日新增注册用户

共计58个

flag{58}

提交攻击者成功登录admin的IP及密码，用&连接

登录成功对应302状态码

http.method == "POST" && http contains "login.php"

flag{admin&zhoudi123}

检测数据库泄露漏洞点

数据泄露常见手段为SQL注入攻击。

注入成功返回状态码200

http contains "SELECT" && http.method == "POST" && http contains "username"

常见注入关键词：SELECT UNION OR AND 等。大小写敏感，需全量测试。

POST请求更易隐藏，优先排查此类流量。

注入点常见于登录表单或搜索框，参数变量多为username。

检测到服务器返回200状态码，注入成功。

flag{settings.php}

统计攻击者获取的患者信息数量

数据量庞大，可通过流量长度排序分析。

http.uri contains "settings.php" && http.response

过滤响应包；定位漏洞文件进行分析。

uri用于路径匹配，后接contains表示包含指定文件。

按长度排序，首条数据可疑

显示UTF-8格式，在响应包中发现大量人员信息泄露

导出至TXT，发现信息以逗号分隔

12000个逗号对应12001个用户

flag{12001}