CTF线下AWD攻防经验总结

CTF线下AWD攻防经验总结

给第一次打awd小白看的：举办方会分配多个靶机服务器的ssh（或者vpn）用户名密码，ip及网站信息

其中一台靶机就是我们的，环境相同，我们机器有的漏洞别人也会有

ssh连接工具

MobaXterm

XTerminal

electerm

dump源码

使用ssh工具保留源码，防止源码修改出现问题，或者被攻击者入侵，删除所有源码准备

压缩

tar -cvf html.tar /var/www/html
zip -q -r html.zip /var/www/html

解压

tar -xvf html.tar -C /var/www/html
unzip web.zip -d /var/www/html

上传下载源码

一般使用ssh工具直接打包源码到本地是最快最方便的

弱密码修改

ssh

拿到ssh第一步就是先和队友修改ssh登录密码（这个被gank点就是第一次打长城杯半决赛在西安被一个师傅利用ssh脚本修改了所有队伍ssh密码，核心原因是因为举办方分配的ssh都是一样的，这是个低级错误，导致全场被gg了）

passwd

mysql

一般密码不会动，这里也给出修改mysql的方法吧

这个要看一下主办方是否对密码check；如果不允许修改就不要动了，因为这种伤敌一千自损八百方式少用最好

mysql -u root -p #登录
show databases; #查看数据库
use test; #打开站点数据库
show tables; #打开站点的用户表
select * from admin；
update admin set user pass='需要设置的密码';
flush privileges; #立即生效

web后台网站密码

find /var/www//html -path '*config*'

加固

linux加固

源码丢到D盾等工具删除后门，同时利用这个后门发起攻击，实战情况大概是你冰蝎还没连接到人家就已经把后门删除或者修改了，虽然这个漏洞是送分的，但拼的是手速，因此要提前准备好脚本

通过.bash_history查找历史命令，发现痕迹

查看计划任务：cat /etc/crontab、有的是cron.d视情况而定

使用脚本开启日志监控，流量监控

杀掉进程

kill -9 pid            //Linux上
taskkill /f /pid pid   //Windows上

windows加固

查找所有用户信息，禁止非administrator、禁用guest账户、关闭文件共享

开启系统日志审计功能

确保启动项是可控的

通过PCHunter、Monitor查找恶意代码文件

攻击流程

端口扫描

nmap -sn 39.165.214.6/24#主机发现
nmap -sT -sV -sS -p- -O ip#扫描主机全部端口
nmap --script=vuln -p- ip#脚本漏洞扫描

eval - 类型函数是代码执行而不是命令执行（一句话木马）

system - 类型函数是命令执行而不是代码执行

常见漏洞

SQL注入、文件包含、文件上传

sql类的漏洞一般不会有过滤、可以用sqlmap跑出来、再利用select load_file(‘/flag’)；

文件包含可以直接通过…/…/…/…/…/flag方式获取

上传漏洞一般也是比较简单的黑名单过滤、服务器解析漏洞，可以直接上传木马

框架漏洞

分为两种：一种是出题人写的框架、另一种是已有漏洞的框架

如果是已有漏洞框架，通常会比较明显，这个需要准备充分，电脑中备好EXP库、漏洞库和各种扫描工具库，以便快速利用

如果是出题人的框架，简单有效就是将源码拷贝到工具进行审计、然后开始常规的渗透测试、比如文件上传、sql等等

总结

第一步ssh工具打包源码备份

第二部修改ssh弱密码

第三步加固、删除后门、拼手速冰蝎连接或者脚本攻击获得flag

第四步开始靠经验变找漏洞变修复

架，简单有效就是将源码拷贝到工具进行审计、然后开始常规的渗透测试、比如文件上传、sql等等

总结

第一步ssh工具打包源码备份

第二部修改ssh弱密码

第三步加固、删除后门、拼手速冰蝎连接或者脚本攻击获得flag

第四步开始靠经验变找漏洞变修复