报告四

实验目的：通过对目标靶机的渗透过程，了解CTF竞赛模式，理解CTF涵盖的知识范围，如MISC、PPC、WEB等，通过实践，加强团队协作能力，掌握初步CTF实战能力及信息收集能力。熟悉网络扫描、探测HTTP web服务、目录枚举、提权、图像信息提取、密码破解等相关工具的使用。
系统环境：Kali Linux 2、WebDeveloper靶机来源：https://www.vulnhub.com/
实验工具：不限
实验原理：
1、什么是CTF
CTF（Capture The Flag）中文一般译作夺旗赛，在网络安全领域中指的是网络安全技术人员之间进行技术竞技的一种比赛形式。CTF起源于1996年DEFCON全球黑客大会，以代替之前黑客们通过互相发起真实攻击进行技术比拼的方式。发展至今，已经成为全球范围网络安全圈流行的竞赛形式，2013年全球举办了超过五十场国际性CTF赛事。而DEFCON作为CTF赛制的发源地，DEFCON CTF也成为了目前全球最高技术水平和影响力的CTF竞赛，类似于CTF赛场中的“世界杯”。
1.1 CTF竞赛模式
（1）解题模式（Jeopardy）在解题模式CTF赛制中，参赛队伍可以通过互联网或者现场网络参与，这种模式的CTF竞赛与ACM编程竞赛、信息学奥赛比较类似，以解决网络安全技术挑战题目的分值和时间来排名，通常用于在线选拔赛。题目主要包含逆向、漏洞挖掘与利用、Web渗透、密码、取证、隐写、安全编程等类别。
（2）攻防模式（Attack-Defense）在攻防模式CTF赛制中，参赛队伍在网络空间互相进行攻击和防守，挖掘网络服务漏洞并攻击对手服务来得分，修补自身服务漏洞进行防御来避免丢分。攻防模式CTF赛制可以实时通过得分反映出比赛情况，最终也以得分直接分出胜负，是一种竞争激烈，具有很强观赏性和高度透明性的网络安全赛制。在这种赛制中，不仅仅是比参赛队员的智力和技术，也比体力（因为比赛一般都会持续48小时及以上），同时也比团队之间的分工配合与合作。
（3）混合模式（Mix）结合了解题模式与攻防模式的CTF赛制，比如参赛队伍通过解题可以获取一些初始分数，然后通过攻防对抗进行得分增减的零和游戏，最终以得分高低分出胜负。采用混合模式CTF赛制的典型代表如iCTF国际CTF竞赛。
1.2 CTF各大题型简介
MISC（安全杂项）
全称Miscellaneous。题目涉及流量分析、电子取证、人肉搜索、数据分析、大数据统计等等，覆盖面比较广。我们平时看到的社工类题目；给你一个流量包让你分析的题目；取证分析题目，都属于这类题目。主要考查参赛选手的各种基础综合知识，考察范围比较广。
PPC（编程类）
全称Professionally Program Coder。题目涉及到程序编写、编程算法实现。算法的逆向编写，批量处理等，有时候用编程去处理问题，会方便的多。当然PPC相比ACM来说，还是较为容易的。至于编程语言嘛，推荐使用Python来尝试。这部分主要考察选手的快速编程能力。
CRYPTO（密码学）
全称Cryptography。题目考察各种加解密技术，包括古典加密技术、现代加密技术甚至出题者自创加密技术。这样的题目汇集的最多。这部分主要考查参赛选手密码学相关知识点。
REVERSE（逆向）
题目涉及到软件逆向、破解技术等，要求有较强的反汇编、反编译扎实功底。需要掌握汇编，堆栈、寄存器方面的知识。有好的逻辑思维能力。主要考查参赛选手的逆向分析能力。此类题目也是线下比赛的考察重点。
STEGA（隐写）
全称Steganography。题目的Flag会隐藏到图片、音频、视频等各类数据载体中供参赛选手获取。载体就是图片、音频、视频等，可能是修改了这些载体来隐藏flag，也可能将flag隐藏在这些载体的二进制空白位置。有时候需要你侦探精神足够的强，才能发现。此类题目主要考查参赛选手的对各种隐写工具、隐写算法的熟悉程度。
PWN（溢出）
PWN在黑客俚语中代表着攻破，取得权限，在CTF比赛中它代表着溢出类的题目，其中常见类型溢出漏洞有栈溢出、堆溢出。在CTF比赛中，线上比赛会有，但是比例不会太重，进入线下比赛，逆向和溢出则是战队实力的关键。主要考察参数选手漏洞挖掘和利用能力。
WEB（web类）
WEB应用在今天越来越广泛，也是CTF夺旗竞赛中的主要题型，题目涉及到常见的Web漏洞，诸如注入、XSS、文件包含、代码审计、上传等漏洞。这些题目都不是简单的注入、上传题目，至少会有一层的安全过滤，需要选手想办法绕过。且Web题目是国内比较多也是大家比较喜欢的题目。因为大多数人开始安全都是从web*站开始的。

实验步骤和内容：
目的：获取靶机Web Developer 文件/root/flag.txt中flag。
基本思路：本网段IP地址存活扫描(netdiscover)；网络扫描(Nmap)；浏览HTTP 服务；网站目录枚举(Dirb)；发现数据包文件 “cap”；分析 “cap” 文件，找到网站管理后台账号密码；插件利用（有漏洞）；利用漏洞获得服务器账号密码；SSH 远程登录服务器；tcpdump另类应用。

一次寻找CTF flag的全过程：

1、发现目标 (netdiscover)

找到WebDeveloper的IP地址，截图如下：

2、:利用NMAP扫描目标主机

发现目标主机端口开放、服务情况，截图如下：

http端口开放

3、若目标主机提供了HTTP服务

尝试利用浏览器访问目标网站。截图如下：

最下面有一段Just another WordPress site，初步认为是WordPress模版构筑。

4、利用whatweb探测目标网站使用的CMS模板。

截图如下：

**whatweb的使用命令：
1.单个目标
whatweb 192.168.1.100
2.从外部导入目标数据进行批量探测
whatweb -input-file=路径
whatweb -i 路径
c.根据特定的格式探测的结果导出
whatweb 192.168.1.110 -log-xml=result.xml

whatweb的高级使用
whatweb -v 192.168.1.100
详细输出
whatweb 192.168.1.100/24 -url-suffix=":8080"
-url-prefix //添加前缀
-url-suffix // 添加后缀
-url-pattern //在中间插入内容
whatweb -v -proxy-user admin:password url
以指定用户名和密码进行探测
whatweb -v -c=cookie值 url
通过-c,指定cookie的值
whatweb -l
使用参数-l可以列出插件的列表,包括插件以及插件的描述
whatweb -info-plugins=“YouTube”**

CMS是"Content Management System"的缩写，意为"内容管理系统"。 内容管理系统是企业信息化建设和电子政务的新宠，也是一个相对较新的市场。对于内容管理，业界还没有一个统一的定义，不同的机构有不同的理解。

5、网络搜索wpscan，简要说明其功能。

1.1.1 WordPress网站介绍

WordPress是全球流行的博客网站，全球有上百万人使用它来搭建博客。他使用PHP脚本和Mysql数据库来搭建网站。Wordpress作为三大建站模板之一，在全世界范围内有大量的用户，这也导致白帽子都会去跟踪 WordPress的安全漏洞，Wordpress自诞生起也出现了很多漏洞。Wordpress还可以使用插件、主题。于是Wordpress本身很难挖掘什么安全问题的时候，安全研究者开始研究其插件、主题的漏洞。通过插件，主题的漏洞去渗透Wordpress站点。
于是WPScan应运而生，收集 Wordpress的各种漏洞，形成一个Wordpress专用扫描器

想深究的可以去这两个文章看看：
https://blog.csdn.net/qq_41453285/article/details/100898310
https://blog.csdn.net/hunk2018/article/details/78643230

6、使用 Dirb 爆破网站目录。

（Dirb 是一个专门用于爆破目录的工具，在 Kali 中默认已经安装，类似工具还有国外的patator，dirsearch，DirBuster， 国内的御剑）截图如下，找到一个似乎和网络流量有关的目录（路径）。

7、浏览器访问该目录（路径）

发现一个cap文件。截图如下：

8、利用Wireshark分析该数据包，分析TCP数据流。

过滤命令如下：
http.request.method==POST
截图如下：

9、利用上一步得到的信息进入网站后台。

（网站管理员账号与操作系统账号是不同概念）
截图如下：

10、利用该CMS存在的（插件Plugin）漏洞。

利用文件管理插件（File manager）漏洞。
安装该插件，直接可以浏览wp-config.php。
截图如下：

11、SSH登录服务器

尝试利用上一步获得的访问数据库的用户名和密码连接远程服务器。
1、尝试查看/root/flag.txt
ssh打开命令：
ssh service start
ssh 用户名@host
截图如下：

均无法查看。

12、使用tcpdump执行任意命令（当tcpdump捕获到数据包后会执行指定的命令。）

查看当前身份可执行的命令。
截图如下：

发现可以root权限执行tcpdump命令

13、发动攻击，获取flag

在上面的页面吹响进攻的号角

创建攻击文件
touch /tmp/exploit1

写入shellcode
echo ‘cat /root/flag.txt’ > /tmp/exploit

赋予可执行权限
chmod +x /tmp/exploit

利用tcpdump执行任意命令
sudo tcpdump -i eth0 -w /dev/null -W 1 -G 1 -z /tmp/exploit -Z root

获得flag

tcpdump命令详解：
-i eth0 从指定网卡捕获数据包
-w /dev/null 将捕获到的数据包输出到空设备（不输出数据包结果）
-z [command] 运行指定的命令
-Z [user] 指定用户执行命令
-G [rotate_seconds] 每rotate_seconds秒一次的频率执行-w指定的转储
-W [num] 指定抓包数量