Nssctf[陇剑杯 2021]jwt,webshell,日志分析

[陇剑杯 2021]jwt（问1）

昨天，单位流量系统捕获了黑客攻击流量，请您分析流量后进行回答：
该网站使用了______认证方式。（如有字母请全部使用小写）。得到的flag请使用NSSCTF{}格式提交。

NSSCTF{jwt}

什么是jwt？

什么是JWT？(细致讲解)-CSDN博客

问2

昨天，单位流量系统捕获了黑客攻击流量，请您分析流量后进行回答：
黑客绕过验证使用的jwt中，id和username是______。（中间使用#号隔开，例如1#admin）。得到的flag请使用NSSCTF{}格式提交。

NSSCTF{10086#admin}

发现不对

看这个回显

whoami的回显是没有管理员权限，证明他还没有成功攻进去，他还要进一步提权

然后经过一系列提取操作变成root权限

这里用的是10087#admin才是flag

NSSCTF{10087#admin}

问3

黑客获取webshell之后，权限是______？。得到的flag请使用NSSCTF{}格式提交。

就是上面的root了

NSSCTF{root}

问4

黑客上传的恶意文件文件名是_____________。(请提交带有文件后缀的文件名，例如x.txt)。得到的flag请使用NSSCTF{}格式提交。

传了一个 恶意的 PAM（Pluggable Authentication Module）模块，用于窃取用户的用户名和密码，并将其保存到一个隐藏的文件中

NSSCTF{1.c}

问5

黑客在服务器上编译的恶意so文件，文件名是_____________。(请提交带有文件后缀的文件名，例如x.so)。得到的flag请使用NSSCTF{}格式提交。

NSSCTF{looter.so}

问6

黑客在服务器上修改了一个配置文件，文件的绝对路径为_____________。（请确认绝对路径后再提交）。得到的flag请使用NSSCTF{}格式提交。

command=cd /tmp;make

NSSCTF{/etc/pam.d/common-auth}

webshell（问1）

单位网站被黑客挂马，请您从流量中分析出webshell，进行回答：
黑客登录系统使用的密码是_____________。。得到的flag请使用NSSCTF{}格式提交。

NSSCTF{Admin123!@#}

问2

黑客修改了一个日志文件，文件的绝对路径为_____________。（请确认绝对路径后再提交）。得到的flag请使用NSSCTF{}格式提交。

过滤POST请求：http.request.method == POST

把value添加为列更好分析

加上 /var/www/html/ 才是绝对路径

NSSCTF{/var/www/html/data/Runtime/Logs/Home/21_08_07.log}

问3

黑客获取webshell之后，权限是______？得到的flag请使用NSSCTF{}格式提交。

www-data

问4

黑客写入的webshell文件名是_____________。(请提交带有文件后缀的文件名，例如x.txt)。得到的flag请使用NSSCTF{}格式提交。

问5

黑客上传的代理工具客户端名字是_____________。（如有字母请全部使用小写）。得到的flag请使用NSSCTF{}格式提交。

原来这个frpc.ini就是在配置代理

FRP (Fast Reverse Proxy) 是一款开源的反向代理工具，而 frpc 是 FRP 客户端的命令行程序。FRP 主要用于内网穿透，通过它可以让外网访问位于内网或防火墙后的设备或服务。

FRP 的主要组件

1. frps (FRP Server): FRP 服务端，部署在外网服务器上，用于接收来自客户端的连接。
2. frpc (FRP Client): FRP 客户端，部署在内网设备上，与服务端建立连接，并通过它将内网服务映射到外网。

FRP 的典型使用场景

• 内网穿透: 允许外网访问处于内网的 HTTP、HTTPS 或其他 TCP 服务，如通过外网访问内网中的 Web 服务器、数据库等。
• 远程桌面: 让外网用户通过公网访问内网中的远程桌面服务。
• 物联网设备远程管理: 管理和监控无法直接访问的 IoT 设备。

• 

和内网渗透有关，在做代理映射到外网

所以这个代理工具客户端名字就是frpc

NSSCTF{frpc}

问6

黑客代理工具的回连服务端IP是_____________。得到的flag请使用NSSCTF{}格式提交。

就是上面一题说的啦

NSSCTF{192.168.239.123}

问7

黑客的socks5的连接账号、密码是______。（中间使用#号隔开，例如admin#passwd）。得到的flag请使用NSSCTF{}格式提交。

还是上面那题 都在frpc.ini里面

NSSCTF{0HDFt16cLQJ#JTN276Gp}

日志分析（问1）

网络存在源码泄漏，源码文件名是_____________。(请提交带有文件后缀的文件名，例如x.txt)。得到的flag请使用NSSCTF{}格式提交。

www.zip

问2

分析攻击流量，黑客往/tmp目录写入一个文件，文件名为_____________。得到的flag请使用NSSCTF{}格式提交。

sess_car

问3

分析攻击流量，黑客使用的是______类读取了秘密文件。得到的flag请使用NSSCTF{}格式提交。

SplFileObject