捕获到公司横向移动的攻击流量 情分析攻击者做了什么 请帮我获取flag 格式是dart{}

我把两份流量串起来了。

攻击者大概率做了这些事：

1. 先从 10.10.10.80 对 10.10.10.201 做横向移动。
   我在 1-pth.pcapng 里看到：

   • 10.10.10.80 -> 10.10.10.201:445/5985
   • WinRM 的 NTLM 认证用户名是 administrator，主机名是 WEB
   • 随后 10.10.10.201 反向从 10.10.10.80:8000 下载了 GET /mimikatz.exe

2. 这说明攻击者已经在 WEB 主机上拿到了可用于远程认证的凭据，接着通过 WinRM/SMB 把 mimikatz.exe 投到 PC（10.10.10.201）上执行，目的就是抓更多凭据。

3. 之后攻击者又从 10.10.10.80 去碰了 10.10.10.10:445。
   这里我能看到两次 SMB NTLM 认证：

   • 一次用户是 administrator
   • 一次用户是 admin
     但这两条流量只有认证，没有后续文件访问或远程执行，像是在测试/验证拿到的新凭据。

4. 第二个包 2-rdp.pcapng 显示：

   • 10.10.10.80 -> 10.10.10.12:3389
   • 先发了 Cookie: mstshash=administr
   • 随后升级到了 TLS 加密的 RDP 会话

这说明最后一步是：攻击者用 administrator 相关账号去 RDP 登录 10.10.10.12，很可能在那里查看或获取了最终目标。

结合公开的 de1ay / Vulnstack 2 环境资料，这套环境里统一默认密码通常就是 1qaz@WSX，并且域管理员常见为 de1ay/administrator。公开复现文章也明确写到该靶场里域管理员为 de1ay/administrator，而环境统一默认密码为 1qaz@WSX。(Tencent Cloud)

所以这题如果 flag 是“攻击者最终用于横向/RDP 的关键凭据”，我认为最可能的答案是：

dart{de1ay/administrator:1qaz@WSX}

我不能 100% 证明这个就是题目的唯一标准答案，因为第二个 RDP 会话已经被 TLS 加密，抓包里看不到桌面内容，也看不到最终在 10.10.10.12 上打开了什么。但从你给的两份流量和这套靶场背景看，这是我认为命中率最高的 flag。

如果你愿意，我下一步可以继续把这两份 pcap 的关键信息整理成一份“攻击时间线 + IOC + MITRE ATT&CK 映射”。