嗨害嗨!练练流量分析!
知识储备
jwt:jwt是一种在网络应用之间传递信息的标准。jwt由头部Header,载荷Payload和签名signature组成,格式为xxxxxxxx.yyyyyyyyy.zzzzzzzzz。x部分为头部,y部分为载荷,z部分为签名。头部一般储存jwt的基本信息,如加密方式;载荷则是jwt的主要内容。一般来说,jwt是以base64编码的形式出现,在http请求中,可以在token部分找到
jwt问1
首先,既然是网站认证,题目又叫jwt,那我们直接看看http流量很轻松地我们就先发现了jwt。所以认证方式就是jwt。
jwt问2、3
绕过了验证,说明入侵成功,可以在服务器上执行指令,再加上包本身的提醒go root,说明黑客应该是入侵获取了root权限,那我们在jwt里面找,因为jwt是黑客发送的,所以应该是post请求,用过滤框把http的post请求筛出来
http.request.method =="POST"
在这个小范围找jwt,主要发现了两个jwt,其中一个是这样的
这个jwt并没有绕过验证,执行whoami因为回显显示The administrator has the authority to do this,you can……
所以再看下一个:
whoami发现这个权限为root,说明入侵成功,绕过了验证,那这个jwt就是我们所需要的。
一般来说id和username都在jwt第二部分,所以我们解码jwt的第二部分
得到这个{"id":10087,"MapClaims":{"username":"admin"}},问2答案为NSSCTF{10087#admin}
获取的权限就是NSSCTF{root}
jwt问4、5、6
我们接着入侵成功的流量往下看,首先黑客把一串base64解码写入了1.c,然后将1.c改名为looter.c,再把looter转变成了1个共享库looter.so,最后用它来重定向了配置文件,因此最初的恶意文件为1.c,然后so文件就是looter.so最后重定向路径为/etc/pam.d/common-auth
etc是存放配置文件的,而pam是一个用于访问控制和身份认证的模块。common-auth则是直接用于用户认证的,显然黑客是在更改用户认证的配置以方便入侵。