前段时间，Bugku 新上线了一个 PAR 模式，分别包含”渗透测试“与”安全加固“两种类型的靶场，到目前平台已经有两个渗透靶场和一个加固靶场。每个靶场开启一次需要耗费20个平台金币，一次只有两个小时的机会，且在启动或中途若有操作不当的话，环境就会容易崩溃导致无法完成进一步的渗透或者修复。在和几位大佬对渗透1环境久攻不下之时想着开下另一个渗透2环境换换脑子，结果不小心点进安全加固环境，误打误撞通了关。把这次通关答案分享出来（不敢说是有什么思路），希望对各位能有所帮助，欢迎师傅们提供更为完备的加固思路及修复方案。
启动环境后，平台会提供相应受害主机的ssh登录凭证，用终端管理工具登录然后就可以进行修复步骤了。好在每个位置都有提示，倒是方便了不少。
js劫持
原本访问目标地址进入到的应该是”XX学院二手交易市场“，却被劫持跳转至某大佬博客。
这里在burp记录或浏览器网络中也能够发现相关跳转，同时这里还有一个可疑的php文件访问请求。
将这名大佬的博客链接复制到flag位置提交，也就完成了第一题。
黑客首次webshell密码
进入站点上传文件 /var/www/html/public/Uploads 目录查看上传文件，在上传的webshell中发现密码（这一文件恰好就是上一题中发现的可疑请求文件）
获取文件内容后将webshell连接密码复制到flag处，第二题便完成。
黑客首次入侵方式
首先通过 lsof -i:80 命令，查看下web服务的80端口是由那个进程占用的
然后通过查看位于 /var/log/nginx/ 下的nginx web访问日志得知首次攻击方式为XSS（注意这里题目里面声明”非有效攻击“，且该题flag出输入内容需为小写）
黑客服务器的信息
通过 ps aux 命令查看进程信息发现可疑执行脚本进程
通过查看相关脚本 1.sh 得知攻击者反弹shell的地址信息，按照 ”IP:端口“ 的格式填入flag处即可完成该题目
黑客的Webshell2
这里个人的思路仍然是从web访问日志入手，这里利用了 腾讯安全应急响应中心实验室提供的web日志取证分析工具，筛出了部分可疑webshell文件
位于 /var/www/html/public/static/img 目录下的 1.php
查看该文件内容即可获得flag
mysql
登录mysql，mysql登录密码为 ”123456“ 。回收用户的file权限并关闭全局日志功能，点击题目中的check按钮即可完成该题目。
黑客的账号
通过查看 /etc/passwd 文件得知攻击者添加的账号
使用 userdel 命令删除相关用户后，点击题目中的check按钮即可完成该题目
黑客篡改过的命令1
从 /bin 目录下常用的命令入手，分别发现 ”ls、ps“ 命令存在问题
执行如下命令将原始命令文件覆盖被恶意篡改后的文件并删除 ”/var/www/html/public/static/img“ 目录下的webshell即可，这里的免杀其实也就是因为使用篡改后的 ls 命令导致会重新写入一个webshell。执行完毕后，点击题目中的check按钮即可完成该题目。
mv ps ps.bak
mv ps_ ps
mv ls ls.bak
mv ls2 ls
rm /var/www/html/public/statichttps://sec-in.com/img/1.php
黑客篡改的命令2
通过上一题即可解出。
mv ls ls.bak
mv ls2 ls
修复JS劫持
在 /var/www/html 目录下利用如下命令查找含有js代码的文件
find . | xargs grep -ri '<script type="text/javascript">' -l | sort | uniq -c
发现在 /var/www/html/application/home/view/public/js.html 文件中含有恶意js代码
只是不知道js里面的这个flag有什么用
删除该文件内的恶意代码或将 head.html、foot.html 的内容覆盖到 js.html 中（不可删除 js.html ）即可修复js劫持，点击改题目中的check按钮即可通关
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论