Xman特训营第二天

  54shen       2019-08-14 23:53:02 0

今天讲awd中的web,由tea-deliverers战队,今年defcon第三,清华在读硕士,金牌讲师kerivwy师傅讲解。
kerivwy师傅awd经验丰富,骚套路见的多,讲的妙趣横生,干货满满,收益匪浅。

还得抓紧时间出题,所以贴上上课的快速笔记。
tea-deliverers战队,前几天defcon第三,清华在读硕士,kerivwy

代码审计 运维能力

AWD很吃经验

线下赛拼装备,各类脚本

还有硬件,交换机,配VPN给场外选手

运维应对手册

线下赛环境

反弹shell可能弹不到本机,可以试试弹到自己的gamebox

内外网切换,修改路由表,ubuntu可能会刷新路由表注意一下

hackmd

NUC设备

拓扑扫描,nmap,masscan,bash脚本

要么找端口,要么找IP

SYN扫描快一些,nmap -sS

RouterScan搞路由器

Masscan也很快,几秒钟就扫出来

运维

骚:死循环打攻击脚本

patch前后都要备份

cron定时备份web

mysql备份数据库,root可能要改密码,也可以用户降权

备份tmp比较危险,本地最好搞一份,或者备份在/home/目录内

18年强网杯AWD

sleep(max),最大进程打满

AWD终极原则,洞不一定要修,狗住就行

数据库trigger,

帮你恢复数据库

.htaccess

PHP题目80%

不好降权,组件有洞直接换

python题

不好重启,性能差,单机就能打挂

遇到不明webshell,猜测eval在哪,改成var_dump

通过checker的流量判断漏洞点在哪

phpinfo竞争包含

auth.log包含?

burpsuite 一键生成python payload

交flag

curl注意被命令注入

有时候不能交太快,可能会被ban

随机webshell

文件名密码都不一样

salt+host+port

障眼法攻击

/0x0c影响cats

touch修改时间

流量转发,换flag

文件监控备份

python版,sh版,go版本静态交叉编译

tmux

rsync同步web目录,或者同步抓到的流量

Paramiko自动化

sshfs

inotify

内存马当炸弹用

文件马,内存马,漏洞,互相守护

清理内存马

建立同名文件夹

写.htaccess禁止运行

crontab -r清空

officelens截图软件

点开头,横线开头,斜线开头

软链接,把根目录链接到某个js目录,还会影响备份

软链接放深一点,让人cd不进去

被打了不要慌,说不定变成机会,跟着捡flag

404马

fork炸弹

我们承诺不首先使用fork炸弹

占满文件空闲空间的炸弹

垃圾流量生成器

垃圾流量要贯穿比赛整场

流量清洗器

流量自动重放器

gamebox之间互相构成网络互相守护,防止被主办方抓到自己的流量

docker有时候提权会出bug

非预期

checker无脑,checker对异常处理有误,超时会返回true,sleep(60)

主办方有时候会利用选手网段当代理

checker IP可能不靠谱

交换机口不够,选手IP段不一样

策略

有时候你是第二名,不要打第一名,防止被抓流量复现

故意宕机,不让第一名打,让他得分低于打你得分

整体思想是把前面得队伍拉下来

请先登录
+1 已点过赞
0
分享到:
登录后才能发贴或参与互动哦! 点击登录

全部评论 (0)