CTF-----攻防世界练习题(二）

CTF学习打卡篇四

---

webshell与一句话木马

**webshell（大马）

webshell就是以asp、php、jsp或者cgi等网页文件形式存在的一种命令执行环境，也可以将其称做为一种网页后门。黑客在入侵了一个网站后，通常会将asp或php后门文件与网站服务器WEB目录下正常的网页文件混在一起，然后就可以使用浏览器来访问asp或者php后门，得到一个命令执行环境，以达到控制网站服务器的目的。
顾名思义，“web”的含义是显然需要服务器开放web服务，“shell”的含义是取得对服务器某种程度上操作权限。webshell常常被称为入侵者通过网站端口对网站服务器的某种程度上操作的权限。由于webshell其大多是以动态脚本的形式出现，也有人称之为网站的后门工具。

Webshell通过Web应用程序中的漏洞或弱服务器安全配置上传，包括以下内容：

1. SQL注入 ;
2. 应用程序和服务中的漏洞;
3. 文件处理和上传漏洞；
4. 远程文件包含（RFI）和本地文件包含（LFI）漏洞;
5. 远程代码执行 ;
6. 暴露的管理界面;
7. 跨站脚本。

**一句话木马（小马）

一句话木马就是通过向服务端提交一句简短的代码来达到向服务器插入木马并最终获得webshell的方法。

一些不同脚本语言的一句话木马

php一句话木马：  
asp一句话木马：  <%eval request ("value")%> 
              或  <% execute(request("value")) %>   
aspx一句话木马： <%@ Page Language="Jscript" %> <% eval(Request.Item["value"]) %>

攻防世界web

---

**

1.webshell

**
题目描述:小宁百度了php一句话,觉着很有意思,并且把它放在index.php里。

打开一看便知道这是一道关于webshell与一句话木马的题，我们可以直接使用菜刀或者中国蚁剑就可解出，这里我用中国蚁剑。点开蚁剑，右键添加数据。密码是“shell”
双击打开我们便会看到flag.txt,直接双击打开，便可以看到flag!

---

**

2.command_execution

**
题目描述:小宁写了个ping功能,但没有写waf,X老师告诉她这是非常危险的，你知道为什么吗。
题目场景如上图所示。
看到方框中提示输入需要ping地址，那我们就直接输入本机地址吧（当然你也可以输入其他地址）,方正是测试。先看看有没有反应。
输入之后发现有反应，说明是对的,之后我们再输入&& ls 看该目录下有些啥

好像就只看到index.php,看不到其他的了，那我们就直接用find 命令去查看“*.txt” 文件(因为一般flag都会放在一个.txt的文件中)
发现了一个flag.txt文件，我们把它打开康康！
flag还真出现了!!

**

补充知识点

**

• WAF

Web应用防护系统（也称为：网站应用级入侵防御系统。英文：Web Application Firewall，简称：
WAF）。利用国际上公认的一种说法：Web应用防火墙是通过执行一系列针对HTTP/HTTPS的安全策略来专门为Web应用提供保护的一款产品。

• Ping 是Windows，linux, Unix系统下的命令，是网络诊断工具，利用ip 地址的唯一性，给其发送数据包，要求对方返回一个同样大小的数据包，来确定网络机器是否相连。某些病毒木马会强行远程执行ping命令抢占网络资源。

• 当ping 命令没有开WAF 时，就需要命令注入，利用截断来执行行命令。

• 在操作系统中，“&、|、||”都可以作为命令连接符使用:
  1.A&&B-----表示A命令语句执行成功，然后执行B命令语句
  2.A&B-----表示简单的拼接，A命令语句和B命令语句没有制约关系
  3.A|B-----表示A命令语句的输出，作为B命令语句的输入执行
  4.A||B-----表示A命令语句执行失败，然后才执行B命令语句
  5.A;B-----表示先执行A，再执行B

• " ls " 是linux 下常用的命令之一，和dos 下的 dir 命令一样都是用来列出目录下的文件；

• find 命令的使用可查看 点击可查看find命令使用

• cat + filepath 可查看文件内容。

---

**

3.simple_js

**
题目描述:小宁发现了一个网页，但却一直输不对密码。(Flag格式为 Cyberpeace{xxxxxxxxx} )
打开题目场景如上图所示，随便输入一个密码
分析源码
太长了有一部分没截下来…分析源码我们可以看出含有js,并且不论你输入什么进去都会提示FAUX PASSWORD HAHA.在这之中我们发现一段很奇怪的代码，语法有误，还是一段16进制，这会不会是flag???试着解码。

js 16进制解码工具
之后我们把解出后的一串数字重新写代码执行

得到 一串字符“786OsErtk12 ”，这就是flag!!

---

结尾

今天分享就到这吧！！