咨詢服務(wù)熱線
400-6446-808
創(chuàng)安實(shí)驗(yàn)室專欄
您的當(dāng)前位置:首頁 > 創(chuàng)安實(shí)驗(yàn)室專欄
?+
+
2023“隴劍杯”網(wǎng)絡(luò)安全大賽預(yù)選賽Writeup ①
HW
這題其實(shí)可以參考這篇文章：從一道題分析Nmap SYN/半連接/半開放掃描流量（https://mochu.blog.csdn.net/article/details/127569366）
TCP掃描確認(rèn)端口開放的標(biāo)志就是返回 SYN+ACK 的包，所以只需要過濾 SYN、ACK 狀態(tài)都為 1 的包即可
答案
過濾 http 發(fā)現(xiàn)這里有個(gè) shell.jsp
右鍵追蹤HTTP流，可以看到 shell.jsp 的內(nèi)容，哥斯拉AES加密的shell
PS：選擇HTTP流是因?yàn)榻?jīng)過gzip解碼的，如果是追蹤TCP流還需要解碼gzip
那么經(jīng)過 shell.jsp 的流量就是AES加密過的，密鑰已知： 748007e861908c03
選擇原始數(shù)據(jù)，以 0d0a0d0a 為 請(qǐng)求體/響應(yīng)體 和 請(qǐng)求頭/響應(yīng)頭 的界限
然后直接丟 CyberChef 梭哈
能解密流量了，就慢慢看過找flag即可，讀取flag在 tcp.stream eq 20053
webshell連接密碼就是： 748007e861908c03
cmd5撞一下即可得知是（不過這條收費(fèi)）： 14mk3y
SS
過濾 http ，前面都是爆破的干擾流量，直接看到后面。
從這個(gè) /helloworld/greeting 開始追蹤TCP流，直接搜索引擎檢索Payload關(guān)鍵字即可鎖定CVE編號(hào)
繼續(xù)追蹤TCP流，在 tcp.stream eq 106 ，即可發(fā)現(xiàn)反彈shell的IP和端口
/home/guests/ 下發(fā)現(xiàn)一個(gè) main 文件，是 ELF 可執(zhí)行文件。
生成的用戶名和密碼，直接查看 /etc/passwd 以及 /etc/shadow
新創(chuàng)建的用戶名和密碼： ll:123456
/home/guests/.log.txt 中有一個(gè)外網(wǎng)IP： 172.105.202.239
從 main 文件的修改時(shí)間來看，以及 .idea 中兩個(gè)看著很像挖礦程序的修改時(shí)間完全相同來猜測， lolMiner 、 mine_doge.sh 是病毒運(yùn)行后釋放的文件
打開 mine_doge.sh
很明顯，礦池地址： doge.millpools.cc:5567
錢包地址： DOGE:DRXz1q6ys8Ao2KnPbtb7jQhPjDSqtwmNN9
WS
就兩個(gè)IP，很明顯被TELNET登陸的IP是： 192.168.246.28
直接追蹤TCP流即可發(fā)現(xiàn)口令為： youcannevergetthis
T·B·C
本文由創(chuàng)信華通創(chuàng)安實(shí)驗(yàn)室編輯。
本文僅限于個(gè)人學(xué)習(xí)和技術(shù)研究，由于傳播、利用此文所提供的信息而造成刑事案件、非授權(quán)攻擊等違法行為，均由使用者本人負(fù)責(zé)，本單位不為此承擔(dān)任何責(zé)任。創(chuàng)安攻防實(shí)驗(yàn)室擁有對(duì)此文章的修改和解釋權(quán)，如欲轉(zhuǎn)載或傳播此文章，必須保證此文章的完整性，包括版權(quán)聲明等全部內(nèi)容。
如有侵權(quán)，請(qǐng)聯(lián)系后臺(tái)。
