第二届陇剑杯2023线上wp

已于 2023-09-08 21:18:29 修改
阅读量1k 收藏 6
点赞数 2
分类专栏： 日常 文章标签： 陇剑杯2023 第二届陇剑杯 取证
于 2023-09-07 21:37:58 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_38626043/article/details/132703167
版权

1. hard_web

hard_web_1

题目内容：服务器开放了哪些端口，请按照端口大小顺序提交答案，并以英文逗号隔开(如服务器开放了 80 81 82 83 端口，则答案为 80,81,82,83)

半开放扫描

端口开放状态

  1. 攻击机发送 SYN 请求连接此端口
  2. 靶机回复 SYN ACK 表示可以连接 请确认是否连接
  3. 攻击机发送 RST ACK 断开连接

在这里插入图片描述

tcp.flags.syn==1 and ip.dst == 192.168.162.188

在这里插入图片描述

hard_web_2

题目内容：服务器中根目录下的 flag 值是多少？

全部加密
在这里插入图片描述
导出全部文件，df报毒

在这里插入图片描述
哥斯拉webshell得到key748007e861908c03

在这里插入图片描述

匹配状态码为200的数据包

在这里插入图片描述

在这里插入图片描述

0d0a0d0a

b5c1fadbb7e28da08572486d8e6933a84c5144463f178b352c5bda71cff4e8ffe919f0f115a528ebfc4a79b03aea0e31cb22d460ada998c7657d4d0f1be71ffa

在这里插入图片描述
在这里插入图片描述

hard_web_3

题目内容：该 webshell 的连接密码是多少？

在这里插入图片描述

import requests
import hashlib
dic = "abcdefghijklmnopqrstuvwxyz0123456789"
for i in dic:
    for j in dic:
        for k in dic:
            for l in dic:
                s='1'+i+j+k+l+'y'
                md5=hashlib.md5(s.encode('utf-8')).hexdigest()
                if '748007e861908c03' in md5[:16]:
                    print(s)
                    print(md5)
                    break

在这里插入图片描述
在这里插入图片描述

2. sevrer save

sevrer save_1

题目内容：黑客是使用什么漏洞来拿下 root 权限的。格式为：CVE-2020-114514

在这里插入图片描述

在这里插入图片描述

sevrer save_2

题目内容：黑客反弹 shell 的 ip 和端口是什么，格式为：10.0.0.1:4444

在这里插入图片描述

sevrer save_3

题目内容：黑客的病毒名称是什么？格式为：filename

在这里插入图片描述

sevrer save_4

题目内容：黑客的病毒运行后创建了什么用户？请将回答用户名与密码：username:password

在这里插入图片描述
误导

在这里插入图片描述

沙箱

在这里插入图片描述

sevrer save_5

题目内容：服务器在被入侵时外网 ip 是多少? 格式为：10.10.0.1

在这里插入图片描述

sevrer save_6

题目内容：病毒运行后释放了什么文件？格式：文件 1,文件 2

在这里插入图片描述

sevrer save_7

题目内容：矿池地址是什么？格式：domain:1234

在这里插入图片描述

sevrer save_8

题目内容：黑客的钱包地址是多少？格式：xx:xxxxxxxx

DOGE:DRXz1q6ys8Ao2KnPbtb7jQhPjDSqtwmNN9

在这里插入图片描述

3. Wireshark

Wireshark1_1

题目内容：被入侵主机的 IP 是？

在这里插入图片描述

Wireshark1_2

题目内容：被入侵主机的口令是？

在这里插入图片描述

Wireshark1_3

题目内容：用户目录下第二个文件夹的名称是？

在这里插入图片描述

Wireshark1_4

题目内容：/etc/passwd 中倒数第二个用户的用户名是？

在这里插入图片描述

4. Incidentresponse

题目内容：你是公司的一名安全运营工程师，今日接到外部监管部门通报，你公司网络出口存在请求挖矿域名的行为。需要立即整改。经过与网络组配合，你们定位到了请求挖矿域名的内网 IP 是 10.221.36.21。查询 CMDB 后得知该 IP 运行了公司的工时系统。（虚拟机账号密码为：root/IncidentResponsePasswd）（答案中如有空格均需去除，如有大写均需变为小写，使用 echo -n ‘strings’|md5sum|cut -d ’ ’ -f1 获取 md5 值作为答案）

IncidentResponse_1

题目内容：挖矿程序所在路径是？

在这里插入图片描述

在这里插入图片描述

IncidentResponse_2

题目内容：挖矿程序连接的矿池域名是？

.viminfo
在这里插入图片描述

在这里插入图片描述

IncidentResponse_3

题目内容：攻击者入侵服务器的利用的方法是？

在这里插入图片描述
在这里插入图片描述

shiro反序列化

在这里插入图片描述

IncidentResponse_4

题目内容：攻击者的 IP 是？

在这里插入图片描述

在这里插入图片描述
在这里插入图片描述

IncidentResponse_5

题目内容：攻击者发起攻击时使用的 User-Agent 是？

awk status ==200

在这里插入图片描述

IncidentResponse_6

题目内容：攻击者使用了两种权限维持手段，相应的配置文件路径是？

在这里插入图片描述
在这里插入图片描述

IncidentResponse_7

题目内容：攻击者使用了两种权限维持手段，相应的配置文件路径是？(md5 加密后以 b 开头)

find / -newermt '2023-07-23 16:30:10' ! -newermt '2023-07-23 19:10:10'
stat /etc/redis/redis.conf

在这里插入图片描述

5. SmallSword

SmallSword_1

题目内容：连接蚁剑的正确密码是__?（答案示例：123asd）

在这里插入图片描述

SmallSword_2

题目内容：攻击者留存的值是______________?(答案示例：d1c3f0d3-68bb-4d85-a337-fb97cf99ee2e)

在这里插入图片描述
在这里插入图片描述

在这里插入图片描述

SmallSword_3

题目内容：攻击者下载到的flag是______________?(答案示例：flag3{uuid})

在这里插入图片描述
exe头

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
方法2

修改exe后缀后发现为python打包程序的ico
在这里插入图片描述
反编译
在这里插入图片描述

将2.pyc反编译
在这里插入图片描述

https://tool.lu/pyc/
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

6. ez_web

ez_web_1

题目内容：服务器自带的后门文件名是什么？（含文件后缀）

d00r执行了命令
在这里插入图片描述
ViewMore写了d00r
在这里插入图片描述

ez_web_2

题目内容：服务器的内网 IP 是多少？

在这里插入图片描述
在这里插入图片描述

ez_web_3

题目内容：攻击者往服务器中写入的 key 是什么？

在这里插入图片描述

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

7. Babyforensics

baby_forensics_1

题目内容：磁盘中的 key 是多少？

在这里插入图片描述
在这里插入图片描述

方法2
在这里插入图片描述

在这里插入图片描述

方法3

拖到diskgenius，发现bitlocker锁

在这里插入图片描述

https://arsenalrecon.com/downloads
ArsenalImageMounter挂载
只读打开
在这里插入图片描述
在这里插入图片描述

在这里插入图片描述

在这里插入图片描述

在这里插入图片描述

在这里插入图片描述

在这里插入图片描述

在这里插入图片描述

在这里插入图片描述

在这里插入图片描述

baby_forensics_2

题目内容：电脑中正在运行的计算器的运行结果是多少？

./volatility_2.6_lin64_standalone -f ../baby_forensics.raw --profile=Win7SP1x64 psscan

在这里插入图片描述

./volatility_2.6_lin64_standalone -f ../baby_forensics.raw --profile=Win7SP1x64 memdump -p 2844 -D ./tmp

在这里插入图片描述
修改data后缀，用GIMP调
在这里插入图片描述
方法2

./volatility_2.6_lin64_standalone -f ../baby_forensics.raw --profile=Win7SP1x64 windows > ./tmp/win
dows

在这里插入图片描述
在这里插入图片描述

baby_forensics_3

题目内容：该内存文件中存在的 flag 值是多少？

在这里插入图片描述
在这里插入图片描述

在这里插入图片描述

在这里插入图片描述

替换打开

U2FsdGVkX195MCsw0ANs6/Vkjibq89YlmnDdY/dCNKRkixvAP6+B5ImXr2VIqBSp94qfIcjQhDxPgr9G4u++pA==

在这里插入图片描述

使用RS打开找到key

在这里插入图片描述
在这里插入图片描述

方法2：
继续分析上题文件，找到密文，找到key线索

在这里插入图片描述

在这里插入图片描述
提取文件

./volatility_2.6_lin64_standalone -f ../baby_forensics.raw --profile=Win7SP1x64 filescan > filescan.txt
cat filescan.txt| grep i4ak
./volatility_2.6_lin64_standalone -f ../baby_forensics.raw --profile=Win7SP1x64 dumpfiles -Q 0x000000003ef3a310 -D ./tmp

在这里插入图片描述

8. tcpdump

tcpdump_1

题目内容：攻击者通过暴力破解进入了某 Wiki 文档，请给出登录的用户名与密码，以:拼接，比如 admin:admin

在这里插入图片描述

tcpdump_2

题目内容：攻击者发现软件存在越权漏洞，请给出攻击者越权使用的 cookie 的内容的 md5 值。（32 位小写）

根据一题重新过滤，从41654后的数据包，其中有一个post包
在这里插入图片描述

tcpdump_3

题目内容：攻击使用 jdbc 漏洞读取了应用配置文件，给出配置中的数据库账号密码，以:拼接，比如 root:123456

jdbc走tcp协议

在这里插入图片描述

在这里插入图片描述

tcpdump_4

题目内容：攻击者又使用了 CVE 漏洞攻击应用，执行系统命令，请给出此 CVE 编号以及远程 EXP 的文件名，使用:拼接，比如 CVE-2020-19817:exp.so

在这里插入图片描述

在这里插入图片描述

tcpdump_5

题目内容：给出攻击者获取系统权限后，下载的工具的名称，比如 nmap

在这里插入图片描述

9. Hacked

hacked_1

题目内容：admIn 用户的密码是什么？

在这里插入图片描述

往前翻
在这里插入图片描述

解出后不对

在这里插入图片描述
添加条件继续翻
在这里插入图片描述
在这里插入图片描述

在这里插入图片描述

hacked_2

题目内容：app.config[‘SECRET_KEY’]值为多少？

在这里插入图片描述
在这里插入图片描述

hacked_3

题目内容：flask 网站由哪个用户启动？

在这里插入图片描述
开始以为是这个，不对，然后往后看

在这里插入图片描述

Flask Session Cookie Decoder
https://www.kirsle.net/wizards/flask-session.cgi

在这里插入图片描述

在这里插入图片描述
在这里插入图片描述

在这里插入图片描述

download

bf-ezweb-hacked-hardweb-smallsword-wireshark1-tcpdump
https://download.csdn.net/download/qq_38626043/88311550
bf
https://download.csdn.net/download/qq_38626043/88311494
ss
https://download.csdn.net/download/qq_38626043/88311492
ir过大，采用的分段压缩，需要全部下载后才能解压
https://download.csdn.net/download/qq_38626043/88315724
https://download.csdn.net/download/qq_38626043/88315728
https://download.csdn.net/download/qq_38626043/88315730

ref

https://mp.weixin.qq.com
https://mp.weixin.qq.com
https://mp.weixin.qq.com
https://blog.csdn.net/NDASH
https://blog.csdn.net/m0_52484587

_abcdef
关注
专栏目录
陇剑杯部分wp（参赛总结与反思）
cuddlylm的博客
10-17 631
1.签到 网管小王在上网途中发现自己的网络访问异常缓慢，于是对网络出口捕获了流量，请您分析流量后进行回答：（本题仅1小问） 此时正在进行的可能是___http___协议的网络攻击。（如有字母请全部使用小写，填写样例：http、dns、ftp） 看请求包，协议为http，版本为1.1 2.jwt 昨天，单位流量系统捕获了黑客攻击流量，请您分析流量后进行回答： 这题要先了解什么是jwt JSON Web Token (JWT)是一个开放标准(RFC 7519)，它定义了一种紧凑的、自包含的方式，用于作为JS
2021陇剑杯网络安全大赛wp-webshell部分（详细题解）
偷一个月亮
09-15 6831
3.1 3.2 其中web根目录可以再system命令中看到 3.3 3.4 3.5 写frpc配置文件，推测为frpc，正确 实际上传动作为 L3Zhci93d3cvaHRtbC9mcnBj解码base64即为/var/www/html/frpc 3.6 3.5中写配置动作，hex转字符后，如下 3.7 同上 ...
2021年“陇剑杯“部分WP
mwmbfh的博客
09-15 1973
2021年"陇剑杯"部分WP一、 战队信息二、 解题情况三、 解题过程题目3.1题目3.1操作内容题目3.1flag值题目7.1题目7.1操作内容题目7.1flag值题目8.1题目8.1操作内容题目8.1flag值题目8.2题目8.2操作内容题目8.2flag值题目8.3题目8.3操作内容题目8.2flag值 一、 战队信息 战队名称：fuller 二、 解题情况 三、 解题过程 题目3.1 题目3.1操作内容 使用wireshark打开题目文件，使用筛选条件，选择发送的数据。 Ø
第二届“陇剑杯”网络安全大赛线上赛write up2023
m0_52484587的博客
09-01 4070
题目内容：服务器开放了哪些端口，请按照端口大小顺序提交答案，并以英文逗号隔开(如服务器开放了80 81 82 83端口，则答案为80,81,82,83)过滤器:ip.dst == 192.168.162.188 and tcp.connection.synack。
CTF - 第二届“陇剑杯”网络安全大赛线上赛部分write up
HengMengSec的博客
08-26 479
CTF - 第二届“陇剑杯”网络安全大赛线上赛部分write up
2023陇剑杯
qq_64201116的博客
09-18 1366
​首先判断哪个是服务器地址​从响应包看，给客户端返回数据包的就是服务器所以确定服务器地址是​再从开放端口来看，长期开放的端口​所以就是80、888、8888。
2021陇剑杯线下赛题目
04-10
守护数字安全，构建清朗空间！首届“陇剑杯”网络安全大赛，全国首次“以防为主”的网络安全大赛。
2021陇剑杯部分wp
hezhing
11-03 1294
2021陇剑杯 全是流量分析。麻了。只做了一部分。 参考链接 陇剑杯 个人 ’WriteUp‘-魔法少女雪殇 (snowywar.top) 陇剑杯Writeup（部分） - 惊觉 (leheavengame.com) 1.签到 题目描述： 网关小王在上网途中发现自己的网络访问异常缓慢，于是对网络出口捕获了流量，请您分析流量后进行回答： 1.1：     #### 题目：     此时正在进行的可能是http 协议的网络攻击。
2020 第二届网鼎杯 boom wp
01-20
2020 第二届网鼎杯 boom wp ​ ​ 卑微新手在线答题。。。。。 第二届网鼎杯-boom 下载附件得到一个boom.exe程序 打开是这样 根据提示继续 得到一串md5 加密的数据，使用在线解密 https://www.somd5.com/ 得到第...
【电子取证篇】分享一波电子数据取证工具
蘇小沐的电子数据取证博客
11-11 3923
大多数为开源或免费的电子取证相关工具---【蘇小沐】
陇剑杯题目附件hack.pcap
11-20
陇剑杯题目附件hack.pcap
陇剑杯2023-Incidentresponse1-取证题
09-08
IR总共三个文件，这是其中一个，需要下载三个文件才能解压 题目内容：你是公司的一名安全运营工程师，今日接到外部监管部门通报，你公司网络出口存在请求挖矿域名的行为。需要立即整改。经过与网络组配合，你们定位到了请求挖矿域名的内网 IP 是 10.221.36.21。查询 CMDB 后得知该 IP 运行了公司的工时系统。（虚拟机账号密码为：root/IncidentRe IncidentResponse_1 题目内容：挖矿程序所在路径是？ IncidentResponse_2 题目内容：挖矿程序连接的矿池域名是？ IncidentResponse_3 题目内容：攻击者入侵服务器的利用的方法是？ IncidentResponse_4 题目内容：攻击者的 IP 是？ IncidentResponse_5 题目内容：攻击者发起攻击时使用的 User-Agent 是？ IncidentResponse_6 题目内容：攻击者使用了两种权限维持手段，相应的配置文件路径是？ IncidentResponse_7 题目内容：攻击者使用了两种权限维持手段，相应的配置文件路径是？(md5 加密后以 b 开头)
CTF实验：web安全命令执行
floyd_art的博客
04-12 1709
命令执行漏洞介绍 当应用需要调用一些外部程序去处理内容的情况下，就会用到一些执行系统命令的函数。如PHP中的system、exec、shell_exec等，当用户可以控制命令执行函数中的参数时，将可以注入恶意系统命令到正常命令中，造成命令执行攻击。 　　调用这些函数执行系统命令的时候，如果将用户的输入作为系统命令的参数拼接到命令行中，又没有过滤用户的输入的情况下，就会造成命令执行漏洞。 信息探测 ...
网络安全CTF流量分析-入门8-攻击流量行为分析
最新发布
m0_51198141的博客
11-26 922
1.攻击者爆破使用的账号和密码是多少2.攻击者发现软件存在越权漏洞，请给出攻击者越权使用的Cookie的内容的md5值3.攻击者使用jdbc漏洞读取了应用配置文件，给出配置文件中的数据库账号密码4.攻击者又使用CVE攻击了应用，执行系统命令，请给出此CVE编号以及远程Exp的文件名5.给出攻击者获取系统权限后,下载的工具的名称这道题整体就是分析出整个流量的行为就行，做起来还是比较舒服并且贴合实际情况，但是要有一定的逻辑思维，否则容易陷入误区。
陇剑杯之第六题内存分析之学习
shy的博客
09-28 843
网管小王制作了一个虚拟机文件，让您来分析后作答： github上下载开元内存取证框架Volatility https://github.com/volatilityfoundation/volatility3/releases/tag/v1.0.1 使用imageinfo 获取系统信息。
2021陇剑杯网络安全大赛wp-JWT部分（详细题解）
偷一个月亮
09-15 7982
2021陇剑杯网络安全大赛-JWT部分（详细题解） 2.1 token特征 eyJ 2.2 2.3 2.4 2.5 2.6
网络数据分析溯源(WebShell密码)
qq_36933272的博客
09-05 1693
用wireshark打开数据包 有题目提示，有人连接过一句话的webshell，猜想可能是asp、php之类的木马 用http.request.method ==“POST” && http contains "php"尝试过滤，发现xiaoma.php 查看发现d76R3478就是webshell的密码 输入密码，得到key ...
OpenSSH 安全漏洞(CVE-2020-14145)离线升级openssh9.3p1.tgz
qq_58430227的博客
07-03 1956
处理云服务器系统漏洞OpenSSH 安全漏洞(CVE-2019-6111)、(CVE-2019-6109)、(CVE-2019-6110)、(CVE-2020-14145)、(CVE-2016-20012)、(CVE-2021-41617)、(CVE-2018-15919)、(CVE-2017-15906)、(CVE-2018-15473)、(CVE-2018-15473)OpenSSH 操作系统命令注入漏洞(CVE-2020-15778)、OpenSSH 资源管理错误漏洞(CVE-2021-28041)、
关于蚁剑的安装和使用
hanjunhao2002的博客
02-02 1904
加载器： https://github.com/AntSwordProject/AntSword-Loader 核心源码： https://github.com/AntSwordProject/antSword 两者都下好之后运行exe文件 发现需要初始化，进行初始化，路径为你下载的源码路径 初始化成功后如下 将小马上传服务器后url地址填写小马的位置 后面两者都选base64 连接密码为小马里面默认的123 添加后连接成功如下 可以轻松控制权限
2021陇剑杯线下赛 wp
09-02
2021陇剑杯线下赛wp指的是该比赛的胜利方案（Winning Proposal）。这个问题的答案取决于具体的比赛和题目，因此我无法提供具体的场景和情况。不过，我可以向你介绍一些常见的比赛wp示例，帮助你理解wp的含义。 通常，比赛wp是指参赛者提出的在比赛中胜出的最佳方案。这种方案可能涉及各种因素，包括创新性、技术实施、解决问题的方法和效率等。具体来说，一个好的wp可能包括以下几个要素： 1. 题目分析：清晰理解比赛的题目和要求，明确问题的关键点和目标。 2. 解决方案：提出独特、创新和可行的解决方案，展示自己的技术和专业知识。 3. 实施计划：描述实施该方案的详细步骤和时间表，包括资源的分配和团队协作。 4. 风险分析：识别潜在的风险和挑战，并提供解决方法和备选方案。 5. 评估指标：明确关键的评估指标和成功的标准，展示方案的效果和可衡量的结果。 在许多比赛中，评委会或专家小组会对参赛者提交的wp进行评审，选出最佳的方案。一个优秀的wp将会体现出创新性、可行性和适应性。并且，一个优秀的方案通常能够提供有说服力的理由来解释为什么这个方案是最好的，以及为什么它比其他方案更优秀。 总的来说，2021陇剑杯线下赛wp是指在比赛中成功的方案，这个方案提供了创新、可行和有效的解决问题的方法，并且能够清晰地展示其技术和团队的能力。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

_abcdef

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值