搜索

[18827] 2021-07-17_应急响应之Teamviewer

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-18
2021-07-17_应急响应之Teamviewer 应 急 响 应 之 T e a m v i e w e r 原 创   花 十 一 一   h u a s e c   2 0 2 1 - 0 7 - 1 7 收 录 于 话 题   # 应 急 响 应   , 2 6 个 0 1 — 分 析                     T e a m V i e w e r 是 一 个 在 任 何 防 火 墙 和 N A T 代 理 的 后 台 用 于 远 程 控 制 ， 桌 面 共 享 和 文 件 传 输 的 简 单 且 快 速 的 解 决 方 案 （ 非 开 源 软 件 ） 。 为 了 连 接 到 另 一 台 计 算 机 ， 只 需 要 在 两 台 计 算 机 上 同 时 运 行   T e a m V i e w e r   即 可 ， 该 软 件 第 一 次 启 动 在 两 台 计 算 机 上 自 动 生 成 伙 伴   I D 。 只 需 要 输 入 你 的 伙 伴 的   I D   到   T e a m V i e w e r ， 然 后 就 会 立 即 建 立 起 连 接 。 想 象 一 下 ， 如 果 攻 击 者 拥 有 我 们 的   T e a m V i e w e r   I D   和 密 码 并 连 接 了 主 机 。 我 们 可 以 从 什 么 地 方 开 始 调 查 ？                       T e a m V i e w e r 在 安 装 和 使 用 后 会 生 成 一 些 日 志 ， 下 面 我 们 对 这 些 日 志 进 行 详 细 分 析 。 该 路 径 记 录 成 功 连 接 该 主 机 的 t e a m v i e w e r   i d ， 如 下 图 ： 我 使 用   T e a m V i e w e r   1 5   ， 安 装 路 径 是 D : A p p T e a m V i e w e r ， 所 以 日 志 名 字 为 T e a m V i e w e r 1 5 _ L o g f i l e . l o g   ， 日 志 路 径 为 这 个 日 志 包 含 了 很 多 信 息 ， 例 如 ： （ 1 ） 主 机 信 息 （ 操 作 系 统 、 I P   地 址 、 C P U 、 代 理 设 置 、 时 区 ） （ 2 ） t v     i d T e a m V i e w e r 安 装 路 径 下 的 C o n n e c t i o n s _ i n c o m i n g . t x t 9 2 7 5 9 X X X X X       远 程 的 t v   I D 1 6 - 0 5 - 2 0 2 1   0 9 : 0 9 : 3 8     连 接 起 始 时 间 1 6 - 0 5 - 2 0 2 1   0 9 : 1 2 : 1 0     断 开 时 间 L u o s h u a n g     我 的 主 机 名 称 R e m o t e C o n t r o l   t v 的 连 接 方 式 ， 远 程 控 制 ， 如 果 是 文 件 传 输 该 处 显 示 F i l e t r a n s f e r T e a m V i e w e r 安 装 路 径 下 的 T e a m V i e w e r < v e r s i o n > _ l o g f i l e . l o g D : A p p T e a m V i e w e r T e a m V i e w e r T e a m V i e w e r 1 5 _ L o g f i l e . l o g
（ 3 ） t v   服 务 器 （ 4 ） t v   安 装 路 径 （ 5 ） 连 接 成 功 与 失 败 情 况 （ 6 ） 连 出 情 况 有 时 候 我 们 看 不 到 T e a m V i e w e r 主 机 的 I D ， 这 是 因 为 该 I D 处 于 初 始 化 阶 段 ， 可 以 通 过 关 键 字 " M a c h i n e I D " 找 到 。 通 过 检 索 关 键 字 " A u t h e n t i c a t i o n P a s s w o r d L o g i n _ P a s s i v e " ， 来 判 断 当 前 主 机 是 否 被 连 接 过 ， 连 接 成 功 的 特 征 是 " s u c c e s s " ， 失 败 的 特 征 是 " d e n i e d " ， 并 且 连 接 失 败 的 时 候 还 会 记 录 失 败 者 的 t e a m v i e w e r   i d 。 通 过 检 索 关 键 字 "   T r y i n g   c o n n e c t i o n   t o " 可 以 获 取 当 前 主 机 连 接 过 哪 些 机 器 。
该 日 志 记 录 了 当 前 主 机 连 接 过 哪 些   T e a m V i e w e r   I D ， 以 及 起 始 和 结 束 连 接 时 间 。 如 下 图 ： 该 日 志 记 录 了 当 前 主 机 连 接 过 的 t v   i d ， 打 开 里 边 的 内 容 是 t v   i d 和 连 接 方 式 。 当 主 机 上 卸 载 t v 后 ， 有 些 文 件 并 不 会 跟 随 卸 载 中 删 除 ， 这 些 文 件 是 ： 0 2 — T V   I D / 密 码 获 取 该 工 具 通 过 窗 口 句 柄 的 方 式 获 取 正 在 运 行 的 T e a m V i e w e r 的 I D 和 密 码 ， 下 载 地 址 ： h t t p s : / / g i t h u b . c o m / z 1 R o 0 / g e t _ T e a m V i e w e r _ I D _ P a s s w o r d 使 用 方 法 ： p y t h o n   g e t _ T e a m V i e w e r _ I D _ P a s s w o r d . p y 总 之 ， 通 过 t e a m v i e w e r 可 以 知 道 以 下 信 息 ： C : U s e r s < u s e r > A p p D a t a R o a m i n g T e a m V i e w e r C o n n e c t i o n s . t x t 1 4 5 1 0 X X X X X       另 一 台 t v   I D 0 8 - 0 4 - 2 0 2 1   0 9 : 3 9 : 3 4     连 接 起 始 时 间 0 8 - 0 4 - 2 0 2 1   0 9 : 5 8 : 3 4     断 开 时 间 h u a s h i y i     我 的 主 机 名 称 R e m o t e C o n t r o l   t v 的 连 接 方 式 ， 远 程 控 制 ， 如 果 是 文 件 传 输 该 处 显 示 F i l e t r a n s f e r C : U s e r s < u s e r > A p p D a t a R o a m i n g T e a m V i e w e r M R U R e m o t e S u p p o r t * . t v c 安 装 路 径 下 的 c o n n e c t i o n s _ i n c o m i n g . t x t C : U s e r s < u s e r > A p p D a t a R o a m i n g T e a m V i e w e r T e a m V i e w e r 1 5 _ L o g f i l e . l o g C : U s e r s < u s e r > A p p D a t a R o a m i n g T e a m V i e w e r C o n n e c t i o n s . t x t
（ 1 ） 我 尝 试 连 接 过 谁 ( T e a m V i e w e r   I D ) ； （ 2 ） 谁 （ T e a m V i e w e r   I D ） 使 用   T e a m V i e w e r   连 接 过 我 ； （ 3 ） 卸 载 t v 后 并 非 所 有   T e a m V i e w e r   文 件 都 会 被 删 除 ； （ 4 ） 看 到 t v 进 程 不 妨 获 取 下 I D / 密 码 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理