陇剑杯 2021 write up整理

陇剑杯 2021 write up整理

1 签到题

1.1

【题目描述】
此时正在进行的可能是＿http＿协议的网络攻击。（如有字母请全部使用小写，填写样例：http，dns，ftp）

【操作内容】
如下图可知，正在进行的可能为 http 协议攻击。

2 JWT

2.1

【题目描述】
该网站使用了_jwt_认证方式。（如有字母请全部使用小写）

【操作内容】
简单的流量审计，查看登录后的 cookie 可知使用了 jwt 的认证方式。

2.2

【题目描述】
黑客绕过验证使用的jwt中，id和username是_10087#admin _。

【操作内容】

方法1：简单的流量审计，查看绕过用的 jwt cookie可得id和username为10087#admin。

方法2：搜索username得到

2.3

【题目描述】
黑客获取webshell之后，权限是_== root==_？

【操作内容】
查看命令执行的结果可得：

2.4

【题目描述】
黑客上传的恶意文件文件名是_/tem/1.c_。

【操作内容】
查看命令执行内容可得：

2.5

【题目描述】
黑客在服务器上编译的恶意so文件，文件名是_looter.so_。

【操作内容】
查看命令执行内容可得：

2.6

【题目描述】
黑客在服务器上修改了一个配置文件，文件的绝对路径为_/etc/pam.d/common-auth_。

【操作内容】
发现文件“looter.so”文件被导向/etc/pam.d/common-auth路径，猜测这里就是被修改的配置文件。

3 webshell

3.1

【题目描述】
黑客登录系统使用的密码是_Admin123!@#_。

【操作内容】
在流量包中搜索pass、password或者admin，即可查询到密码为“Admin123!@#”。

3.2

【题目描述】
黑客修改了一个日志文件，文件的绝对路径为_/var/www/html/data/Runtime/Logs/Home/21_08_07.log_。

【操作内容】
对日志进行分析，查看哪个数据包的流跟踪中带有log文件，如下图所示：

3.3

【题目描述】
黑客获取webshell之后，权限是_ www-data_？

【操作内容】

3.4

【题目描述】
黑客写入的webshell文件名是_1.php_。

【操作内容】
字符串过滤，对post数据包进行查找和分析，发现第337个数据包post上去了webshell文件，写入的webshell文件名为1.php。

3.5

【题目描述】
黑客上传的代理工具客户端名字是_frpc_。

【操作内容】
查看上传的配置文件可得客户端名字为frpc。

方法1：

方法2：

3.6

【题目描述】
黑客代理工具的回连服务端IP是_192.168.239.123_。

【操作内容】

获得一串十六进制代码，直接010Editor打开

3.7

【题目描述】
黑客的socks5的连接账号、密码是_0HDFt16cLQJ#JTN276Gp_。

【操作内容】
查看上传的配置文件可得账号和密码，如下图所示：

4 日志分析

4.1

【