一带一路暨金砖大赛之企业信息系统安全赛项AWD_writeup 赛题解析

最新推荐文章于 2024-06-08 09:55:58 发布
最新推荐文章于 2024-06-08 09:55:58 发布
阅读量536 收藏 7
点赞数 10
分类专栏： 全国职业技能大赛-各类赛项赛题比赛综合任务书 文章标签： 安全 网络 writeup php cve
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_57099902/article/details/134694117
版权
本文详述了一带一路暨金砖大赛中关于企业信息系统安全的AWD赛项，涵盖ssh弱口令、phpmyadmin getshell、CVE-2020-10238远程命令执行及后台登录后门等解题方法。通过解法展示，重点考察了后门账户、数据库操作、CVE漏洞利用和自动化攻击技巧。
摘要由CSDN通过智能技术生成

目录

AWD_writeup

1、解法一  

ssh弱口令账户

2、解法二

phpmyadmin getshell

3、解法三

CVE-2020-10238 后台远程命令执行

4、解法四

后台登陆首页存在常规后门


 

AWD_writeup

主要考点：后门账户、数据库操作、  cve漏洞、后门漏洞、自动化攻击

1、解法一  

ssh弱口令账户

用户登录后cat /etc/passwd 发现系统存在额外账户

使用msf进行ssh爆破尝试

msfconsole

use auxiliary/scanner/ssh/ssh_login

set rhost 192.168.2.162

set rport 22

最低0.47元/天 解锁文章
你可知这世上再难遇我
关注
专栏目录
2021一带一路暨金砖大赛之企业信息系统安全赛项AWD_writeup
Jay
12-19 853
发现站点phpmyadmin 并且在 configuration.php文件中发现数据库连接用户和密码均为joomla。后台登录存在弱口令 用户名admin 密码 123456 其实这个后台用户名密码可以有好几个地方获取。审计源码发现在后台登录首页存在一句话后门，密码为cimer，尝试利用如下。主要考点：后门账户、数据库操作、cve漏洞、后门漏洞、自动化攻击。用户登录后cat /etc/passwd 发现系统存在额外账户。ls -al 发现站点的includes文件夹权限为777。尝试登录，发现登录成功。
一带一路暨金砖大赛之企业信息系统安全赛项AWD决赛 部分赛题解析
君逍遥o
11-29 1427
一带一路暨金砖大赛之企业信息系统安全赛项AWD决赛 部分赛题解析
某团队线下赛AWD writeup&Beescms_V4.0代码审计
weixin_30302609的博客
09-04 508
还是跟上篇一样。拿别人比赛的来玩一下。 0x01 预留后门 连接方式： 0x02 后台登录口SQL注入 admin/login.php 在func.php当中找到定义的check_login函数 很明显看到没有过滤直接带入。 如右侧的可以看出来只是进行了简单的替换为null。所以直接重写即可bypass payload如下： 　　id?=...
ATT&CK实战系列—红队实战-3
Beret-81的博客
04-27 1907
ATT&CK实战系列—红队实战-30、靶场介绍1、信息收集2、漏洞分析2.1 漏洞挖掘2.2 漏洞扫描2.3 漏洞验证3、漏洞利用​3.1 Joomala Getshell3.2 主机信息收集3.3 敏感信息收集4、权限提升4.1 脏牛提权5、权限维持5.1 添加 root 后门6、横向渗透6.1 搭建 socks5 代理6.2 内网主机探测6.3 端口探测6.4 漏洞扫描6.5 域内横向--域成员6.6 域内横向--域控6.7 拿到 FLAG7、痕迹清理7.1 Linux7.2 windows 0
awd的批量脚本 pwn_北极星杯AWD-Writeup
weixin_39966909的博客
12-20 882
前言祝祖国70周年生日快乐,也祝星盟一周年生日快乐.感谢各位师傅在国庆假期抽出时间参加这次比赛,也感谢负责组织比赛的师傅忙前忙后.我是M09ic,负责本次北极星杯AWD的赛后分享.靠着抱大腿以及足够的运气,很荣幸获得了第二名.感谢小远师傅,sayhi师傅,以及Alkaid师傅大哥大嫂国庆好!!!先贴上web题目源码:因为是先上的waf再做的备份,所以看到waf相关的东西师傅们可以无视...web1...
2024 一带一路暨金砖国家技能发展与技术创新大赛【企业信息系统安全赛项】选拔赛样题
Aluxian_的博客
04-28 3522
任务 1：找到 A 集团总站点，对目标进行渗透测试，找到站点的后台管理页面以及该站点运行的系统账户，将端口号与账户名作为flag 值提交， 提交格式：flag｛后台端口+服务运行账户｝；1．访问目标网页下载pwn程序，对该程序进行安全审计，通过相应的漏洞得到隐藏的flag，提交格式：flag{******}。5.访问目标网站下载MISC.zip文件，将文件5中的flag值提交，提交格式：flag{******}。1.访问目标网站下载MISC.zip文件，将文件1中的flag值提交，提交格式：flag{
AWD-Yunnan-Simple_WriteUp
豆傻小饼干随记
02-19 1328
一、基础准备工作 1、比赛颁发队伍口令 team1:ctf:a98cea6c2ee6842bc2edcb0bd05e0e59 2、修改当前用户密码 $ passwd Changing password for ctf. (current) UNIX password: Retype new UNIX password: passwd: password updated successfully 3、打包源码及下载 tar -zcvf /tmp/web.tar.gz /var/www/html/* 这里
2021一带一路暨金砖大赛之企业信息系统安全赛项AWD-writeup（解析）
12-18
1.参赛选手能够根据大赛提供的赛项要求，设计信息安全防护方案， 并且能够提供详细的信息安全防护设备拓扑图。 2.参赛选手能够根据业务需求和实际的工程应用环境，实现网络设 备、安全设备、服务器的连接，通过调试...
2018河北省网络信息安全大赛,HBINS AWD赛程序demo,含数据库.zip
11-09
信息安全竞赛相关程序代码、设计文档、使用说明，供参考 信息安全竞赛相关程序代码、设计文档、使用说明，供参考 信息安全竞赛相关程序代码、设计文档、使用说明，供参考 信息安全竞赛相关程序代码、设计文档、使用...
2020第三届江西省高校网络安全技能大赛 线下赛 CTF&AWD Writeup
末初的CSDN博客
09-19 3906
文章目录CTFMiscBoring_exe!_ezAffineDaylightBlueWebAurora websiteweb2(忘了叫啥名)CryptoInterceptedtelegramAWDAWD1AWD2 CTF Misc Boring_exe !_ ..... ..... ..... ..... !?!!. ?.... ..... ..... ..... .?.?! .?... .!... ..... ..... !.?.. ..... !?!!. ?!!!! !!?.? !.?!! !!!.
记GFCTF线下AWD赛
yjprolus的博客
11-28 4529
参加的第一次线下AWD赛记录
[SSHsuoha]SSH批量改密、批量监控改密、批量命令执行工具、C段生成、批量(AWD比赛适用)
weixin_45446164的博客
12-04 657
这个主要的运行机制是生成IP段后存储到flagVPS，随后给每个IP单独一个线程让他持续监控是否是这个SSH秘钥，比如在的某些比赛可以通过这种方式更改别人的ssh秘钥上分，或者设置自己的账密来防止被别人改密，改密成功后输出到result.txt，SSH成功上线后会按行执行common.txt这个命令，然后把结果输出到commonResult.txt（可以根据运行模式来指定是否改密，是否执行命令，是否无限执行）common.txt ----->每次改密后执行的操作，一行一行执行。
探秘AWD比赛，你的技术提升之旅从这里开始！
最新发布
gitblog_00095的博客
06-08 316
探秘AWD比赛，你的技术提升之旅从这里开始！ AWD-Guide从零学习AWD比赛指导手册以及AWD脚本整理项目地址:https://gitcode.com/gh_mirrors/aw/AWD-Guide 在这个数字世界里，网络安全显得至关重要，而CTF（Capture The Flag）比赛正是检验和提升这方面技能的最佳舞台之一。其中，AWD（Attack With Defense）模式以其实...
JoomlaRCE远程代码执行-CVE-2020-11890-10238-10239( 三个)复现
thelostworld
05-12 857
一、复现内容：JoomlaRCE远程代码执行CVE-2020-11890 <3.9.17 远程命令执行漏洞 CVE-2020-10238 <= 3.9.15 远程命令执行漏洞 CVE-2020-10239 3.7.0 to 3.9.15 远程命令执行漏洞二、漏洞详情：Joomla!是美国Open Source Matters团队的一套使用PHP和MySQL开发的开源、跨平台的内容管理系统(CMS)。此条漏洞编号已分配，漏洞详情即将更新。影响版本：CVE-2020-11890 <
(CVE-2020-10238)Joomla远程代码执行
m0_55563900的博客
04-17 1007
一、实验介绍 1.基本概念 Joomla!是美国Open Source Matters团队的一套使用PHP和MySQL开发的开源、跨平台的内容管理系统(CMS)。Joomla是一套内容管理系统，是使用PHP语言加上MYSQL数据库所开发的软件系统。 2.影响版本 Joomla <= 3.9.15 二、实验目的 1.掌握漏洞产生的原理 2.了解漏洞影响版本 3.熟悉漏洞的修复方式 三、实验步骤 1.启动靶场查看实验环境； 2.下载执行脚本； 3.运行exp; 4.进行访问shell. 四、修复
AWD 线下攻防 指南 避坑
YX-hueimie
11-13 880
最近参加了省赛的线下AWD，遇到了一些坑，这里总结一下分享给没有打过AWD，即将要打AWD的师傅们。
关于awd赛制的学习路程·awd的理论内容
m0_61361405的博客
09-01 518
AWD(Attack With Defense，攻防兼备)模式是一个非常有意思的模式，你需要在一场比赛里要扮演攻击方和防守方，攻者得分，失守者会被扣分。也就是说，攻击别人的靶机可以获取 Flag 分数时，别人会被扣分，同时你也要保护自己的主机不被别人得分，以防扣分。在攻防模式中，参赛队伍分别防守同样配置的虚拟靶机，并在有限的博弈时间内，找到其他战队的薄弱环节进行攻击，同时要对自己的靶机环境进行加固防守。
AWD攻防比赛指导手册
瓦罗兰特顶级C位的博客
01-04 3488
「 攻防模式 | AWD (Attack With Defense) 」 是 CTF比赛 「CTF Capture The Flag」 几种主要的比赛模式之一，该模式常见于线下赛。
ctf_awd_platform
10-23
CTF（Capture The Flag）即夺旗赛，是一种网络安全竞赛形式。AWD（Attack-Defense）平台是一种特殊的CTF比赛平台，主要专注于攻击和防御的技能训练与比拼。 ctf_awd_platform是指一种特定的AWD平台，其目的是为了提供一个安全的环境，让参赛选手能够在其中进行攻击和防御的实战训练。 在ctf_awd_platform中，参赛选手将分为多个小队，每个小队都需要同时进行攻击和防御。比赛的过程中，参赛选手需要使用各种技术和工具，对其他小队的系统进行攻击，尝试获取对方的旗帜。同时，参赛选手也需要保护自己的系统，防止其他小队进行攻击并窃取自己的旗帜。 ctf_awd_platform提供了一个仿真的网络环境，模拟了现实世界中的网络系统。参赛选手可以在这个环境中进行攻防实战，通过解决各种网络安全问题来提升自己的技能。 ctf_awd_platform不仅能够帮助参赛选手提升网络攻防技术，还能够提高其团队合作能力和解决问题的能力。在比赛中，参赛选手需要与队友紧密配合，共同制定攻击和防御策略，以获取最佳的比赛成绩。 总体而言，ctf_awd_platform是一个能够帮助参赛选手提升网络安全技术和团队合作能力的AWD平台，通过实战演练来提高参赛选手的技能水平，并为他们在网络安全领域的职业发展打下坚实的基础。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

你可知这世上再难遇我

君不见黄河之水天上来

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值