Bugku-渗透&加固模式-应急加固1-通关wp

前段时间，Bugku 新上线了一个 PAR 模式，分别包含”渗透测试“与”安全加固“两种类型的靶场，到目前平台已经有两个渗透靶场和一个加固靶场。每个靶场开启一次需要耗费20个平台金币，一次只有两个小时的机会，且在启动或中途若有操作不当的话，环境就会容易崩溃导致无法完成进一步的渗透或者修复。在和几位大佬对渗透1环境久攻不下之时想着开下另一个渗透2环境换换脑子，结果不小心点进安全加固环境，误打误撞通了关。把这次通关答案分享出来（不敢说是有什么思路），希望对各位能有所帮助，欢迎师傅们提供更为完备的加固思路及修复方案。

启动环境后，平台会提供相应受害主机的ssh登录凭证，用终端管理工具登录然后就可以进行修复步骤了。好在每个位置都有提示，倒是方便了不少。

js劫持

原本访问目标地址进入到的应该是”XX学院二手交易市场“，却被劫持跳转至某大佬博客。

这里在burp记录或浏览器网络中也能够发现相关跳转，同时这里还有一个可疑的php文件访问请求。

将这名大佬的博客链接复制到flag位置提交，也就完成了第一题。

黑客首次webshell密码

进入站点上传文件 /var/www/html/public/Uploads 目录查看上传文件，在上传的webshell中发现密码（这一文件恰好就是上一题中发现的可疑请求文件）

获取文件内容后将webshell连接密码复制到flag处，第二题便完成。

黑客首次入侵方式

首先通过 lsof -i:80 命令，查看下web服务的80端口是由那个进程占用的

然后通过查看位于 /var/log/nginx/ 下的nginx web访问日志得知首次攻击方式为XSS（注意这里题目里面声明”非有效攻击“，且该题flag出输入内容需为小写）

黑客服务器的信息

通过 ps aux 命令查看进程信息发现可疑执行脚本进程

通过查看相关脚本 1.sh 得知攻击者反弹shell的地址信息，按照 ”IP:端口“ 的格式填入flag处即可完成该题目

黑客的Webshell2

这里个人的思路仍然是从web访问日志入手，这里利用了 腾讯安全应急响应中心实验室提供的web日志取证分析工具，筛出了部分可疑webshell文件

位于 /var/www/html/public/static/img 目录下的 1.php

查看该文件内容即可获得flag

mysql

登录mysql，mysql登录密码为 ”123456“ 。回收用户的file权限并关闭全局日志功能，点击题目中的check按钮即可完成该题目。

黑客的账号

通过查看 /etc/passwd 文件得知攻击者添加的账号

使用 userdel 命令删除相关用户后，点击题目中的check按钮即可完成该题目

黑客篡改过的命令1

从 /bin 目录下常用的命令入手，分别发现 ”ls、ps“ 命令存在问题

执行如下命令将原始命令文件覆盖被恶意篡改后的文件并删除 ”/var/www/html/public/static/img“ 目录下的webshell即可，这里的免杀其实也就是因为使用篡改后的 ls 命令导致会重新写入一个webshell。执行完毕后，点击题目中的check按钮即可完成该题目。

mv ps ps.bak
mv ps_ ps
mv ls ls.bak
mv ls2 ls
rm /var/www/html/public/statichttps://sec-in.com/img/1.php

黑客篡改的命令2

通过上一题即可解出。

mv ls ls.bak
mv ls2 ls

修复JS劫持

在 /var/www/html 目录下利用如下命令查找含有js代码的文件

find . | xargs grep -ri '<script type="text/javascript">' -l | sort | uniq -c

发现在 /var/www/html/application/home/view/public/js.html 文件中含有恶意js代码

只是不知道js里面的这个flag有什么用

删除该文件内的恶意代码或将 head.html、foot.html 的内容覆盖到 js.html 中（不可删除 js.html ）即可修复js劫持，点击改题目中的check按钮即可通关