Wargames与bash知识03

Wargames与bash知识03

Bandit Level 5

第五关卡和第六关卡是考察linux一个很重要的命令find，find命令是一个很重要的命令，虽说比起以前使用过的命令要复杂很多，但是很有必要掌握日常的用法。
NAME
find - 递归地在层次目录中处理文件

总览 SYNOPSIS
find [path…] [expression]

描述 DESCRIPTION
这个文档是GNU版本 find 命令的使用手册。 find 搜索目录树上的每一个文件名，它从左至右运算给定的表达式，按照优先规则(见运 算符OPERATORS一节)进行匹配，直到得出结果（左边运算在 ‘与’ 操作中得出假， 在’或’ 操作中得出真），然后 find 移向下一个文件名。

第一个以 ‘-’ , ‘(’ , ‘)’ , ‘,’ 或 ‘!’ 这些字符起始的参数是表达式的开始; 在它之前的任何参数是要搜索的路径，在它之后的任何参数都是表达式的余下部分。 如果没有路径参数，缺省用当前目录。如果没有表达式，缺省表达式 用 ‘-print’.

当所有文件都成功处理时 find 退出并返回状态值0。如果发生错误则返回一个大于0的值。

表达式 EXPRESSIONS
表达式是由选项(选项总是影响所有的操作, 而不仅仅是一个指定的文件的处 理, 而且总是返回真值)，测试(测试返回一个真值或一个假值)，还有动 作(动作有side effects, 返回一个真值或假值) 组成。它们都以运算符分开.忽 略运算符的时候，默认使用 -and 连接. 如果表达式没有包含 -prune 以外的动 作，当表达式为真时会执行 -print 动作。

选项 OPTIONS
所有的选项都总是返回真值，它们总会被执行，除非放在表达式中执行不到的地方。 因此，清楚起见，最好把它们放在表达式的开头部分。

-daystart
从当日起始时开始而不是从24小时之前，计算时间(for -amin, -atime, -cmin, -ctime, -mmin, and -mtime)。
-depth
先处理目录的内容再处理目录本身。
-follow
不检索符号链接。隐含了 -noleaf。
-help, --help
列出 find 的命令行用法的概要，然后退出。
-maxdepth levels
进入命令行参数指定的目录下层目录时，最深不超过levels(一个非负整数) 层。-maxdepth 0' 意味着只在命令行参数指定的目录中执行测试和动作。 -mindepth levels 不在levels(一个非负整数)层之内执行任何测试和动作。-mindepth 1’意 味着处理所有的文件，除了命令行参数指定的目录中的文件。
-mount
不进入处于其它文件系统之上的目录。可以用-xdev代替，从而和一些其他版本的 find 兼容。
-noleaf
不为“目录中子目录数量比硬连接数少2”这种假设做优化。这个选项在搜索那些不遵 循UNIX文件系统链接约定的文件系统时用，比如CD-ROM,MS-DOS文件系统或AFS卷的 加载点。在普通的UNIX文件系统中,每个目录至少有两个硬连接,它的名字和它 的 ‘.’ 条目。另外，它的子目录(假如有)还会各有一个 ‘…’ 链接到它。在 find 检索一个目录时，发现子目录数比它的连接数少二时，它就知道目录中的其他条目 并非目录(而是目录树中的叶(`leaf’)节点)。除非需要检索的是这个叶节点，否则 没必要去处理它。这样可以带来很大的搜索速度提升。
-version, --version
打印find的版本号然后退出。
-xdev
不进入处于其他文件系统之上的目录。
测试 TESTS
数字参数可以这样给出：

+n
是比 n 大，
-n
是比 n 小，
n
正好是 n 。
-amin n
对文件的最近一次访问是在 n 分钟之前。
-anewer file
对文件的最近一次访问比 file 修改时间要晚。如果命令行中 -follow 在 -anewer 之前，(也只有在这种情况下) -anewer 会受 -follow 的影响。
-atime n
对文件的最近一次访问是在 n24 小时之前。
-cmin n
对文件状态的最近一次修改是在 n 分钟之前。
-cnewer file
对文件状态的最近一次修改比 file 修改时间要晚。如果命令行中 -follow 在 -cnewer 之前，(也只有在这种情况下) -cnewer 会受 -follow 的影响。
-ctime n
对文件状态的最近一次修改是在 n24 小时之前。
-empty
文件是空的普通文件或者空目录。
-false
总是false。
-fstype type
文件处于 type 类型的文件系统之上。有效的文件系统类型在不同版本的Unix中是不同的；一些Unix中的不完全的文件系统类型列表是这样：ufs, 4.2, 4.3, nfs, tmp, mfs, S51K, S52K. 你可以用 -printf 加上 %F 指令来查看你的文件系统的类型。
-gid n
文件的数字形式的组ID是 n。
-group gname
文件属于 gname (也允许使用数字形式的组ID).
-ilname pattern
和 -lname 类似，但是匹配时是不区分大小写的。
-iname pattern
和 -name 类似，但是匹配时是不区分大小写的。例如，fo*' and F??’ 模式与文件名 Foo', FOO’, foo', fOo’ 等等相匹配。
-inum n
文件的 i 结点数是 n。
-ipath pattern
和 -path 类似，但是匹配时是不区分大小写的。
-iregex pattern
和 -regex 类似, 但是匹配时是不区分大小写的。
-links n
文件有 n 个链接。
-lname pattern
文件是一个与pattern 匹配的符号链接。元字符不会对/' 或 .’ 做特殊处理。
-mmin n
对文件数据的最近一次修改是在 n 分钟之前。
-mtime n
对文件数据的最近一次修改是在 n*24 小时之前。
-name pattern
基本的文件名(将路径去掉了前面的目录)与shell模式pattern相匹配。元字符(*', ?‘, 还有[]' ) 不会匹配文件名开头的.’ 。使用 -prune 来略过一个目录及其中的文件。查看 -path 的描述中的范例。
-newer file
对文件的最近一次修改比 file 修改时间要晚。如果命令行中 -follow 在 -newer 之前，(也只有在这种情况下) -newer 会受 -follow 的影响。
-nouser
没有符合文件的数字形式的用户ID的用户。
-nogroup
没有符合文件的数字形式的组ID的组。
-path pattern
文件名与shell模式pattern相匹配。元字符不会对/' 或 .’ 做特殊处理。因此，例如：

find . -path ‘./sr*sc’

如果存在 ‘./src/misc’ 的话，会将它打印出来。想要忽略一个完整的目录树，应当使用-prune 而不是检查目录树中所有的文件。例如：要跳过 ‘src/emacs’ 目录和其中所有的文件和子目录，把其他找到的文件打印出来，应当这样：

find . -path ‘./src/emacs’ -prune -o -print
-perm mode
文件的权限位恰好是 mode (八进制或符号)。 Symbolic modes use mode 0 as a point of departure.
-perm -mode
所有的权限位 mode 都被设置了的文件。
-perm +mode
任何权限位 mode 被设置了的文件。
-regex pattern
文件名与正则表达式 pattern 匹配。这是对整个路径的匹配，不是搜索文件。例如，要匹配名为./fubar3' 的文件，可以使用正则表达式 .*bar.’ 或者 .*b.*3'，但是不能用b.*r3’。
-size n[bckw]
文件使用了 n 单位个存储单元。默认的单位是512字节的块，也可以用n后面加上 b' 来指定这个值。其他的单位是字节，如果在 n 后面加上 c’ ；千字节(kB)，如果在 n 后面加上k' ；两字节的字，如果在 n 后面加上 w’ 。大小不会计入 indirect blocks，但是会计入没有真正分配空间的疏松文件中的块。
-true
总是true。
-type c
文件是 c 类型的。类型可取值如下：
b
特殊块文件(缓冲的)
c
特殊字符文件(不缓冲)
d
目录
p
命名管道 (FIFO)
f
普通文件
l
符号链接
s
套接字
D
门 (Solaris 特有)
-uid n
文件的数字形式的用户ID是 n 。
-used n
文件最后一次存取是在最后一次修改它的状态的 n 天之后。
-user uname
文件的所有者是 uname (也可以使用数字形式的用户ID).
-xtype c
和 -type 相同，除非文件是一个符号链接。对于符号链接：如果没有给出 -follow ，如果文件是一个指向 c 类型文件的链接，那么返回true；如果给出了 -follow ，如果 c 是 l' 那么返回true。换句话说，对于符号链接，-xtype 检查那些 -type 不检查的文件。 动作 ACTIONS -exec command ; 执行 command；如果命令返回状态值0，那么 exec 返回true。所有 find 其余的命令行参数将作为提供给命令的参数，直到遇到一个由 ;’ 组成的参数为止。命令的参数中，字符串 {}' 将以正在处理的文件名替换。所有的 {}’ 都会被替换，不仅是在单独的一个参数中。有些版本的 find 不是这样做的。 这些参数可能需要用 \' 来escape 或者用括号括住，防止它们被shell展开。命令是从起始目录执行的。 -fls file 返回true；类似 -ls 但是像 -fprint 那样写入 file。 -fprint file 返回true；将文件全名打印到文件 file 中。如果运行 find 时 file 不存在，那么它将被创建。如果它存在，它将被覆盖。文件名``/dev/stdout'' 和``/dev/stderr'' 会作特殊处理；它们分别指的是标准输出和标准错误输出。 -fprint0 file 返回true；类似 -print0 但是像 -fprint 那样写入 file。 -fprintf file format 返回true；类似 -printf 但是像 -fprint 那样写入 file。 -ok command ; 类似 -exec 但是会先向用户询问 (在标准输入); 如果回应不是以 y’ 或 Y' 起始则不会运行 command 而是返回false。 -print 返回true；在标准输出打印文件全名，然后是一个换行符。 -print0 返回true；在标准输出打印文件全名，然后是一个null字符。这样可以使得处理 find 的输出的程序可以正确地理解带有换行符的文件名。 -printf format 返回true；在标准输出打印 format , 解释 ’ escape 还有 %' 指令。字段宽度和精度可以像C函数 printf’ 那样来指定。与 -print 不同的是, -printf 在字符串末端不会添加一个新行。可用的escape 和指令如下：
\a
警告铃声
\b
回退
\c
立即停止以当前格式输出，刷新输出设备。
\f
表格结束
\n
新行
\r
回车
\t
水平tab
\v
竖直tab
\
输出自身\' \NNN ASCII编码是NNN(八进制)的字符 在一个 ’ 字符后面使用任何其他字符会被作为普通的字符，因此它们都会被打印出来。

%%
输出自身%' %a 文件最后一次存取的时间。格式是C函数 ctime’ 返回值的格式。
%Ak
文件最后一次存取的时间。格式以 k 指定，可以是 @' 或者是C函数 strftime’ 的指令格式。下面列出了 k 可用的值；有一些并不是在所有系统上都可用，因为不同系统中 `strftime’ 也不同。
@
从 Jan. 1, 1970, 00:00 GMT 起的秒数
时间字段：

H
小时 (00…23)
I
小时 (01…12)
k
小时 ( 0…23)
l
小时 ( 1…12)
M
分钟 (00…59)
p
本地的 AM 或者 PM
r
12小时格式的时间 (hh:mm:ss [AP]M)
S
秒 (00…61)
T
24小时格式的时间 (hh:mm:ss)
X
本地的时间表示方法 (H:M:S)
Z
时区(例如，EDT)，如果不能决定时区就是空
日期字段：

a
本地一星期中每天的名称的缩写(Sun…Sat)
A
本地一星期中每天的全名，可变长度 (Sunday…Saturday)
b
本地每月的名称的缩写 (Jan…Dec)
B
本地每月的全名，可变长度 (January…December)
c
本地的日期和时间表示 (Sat Nov 04 12:02:33 EST 1989)
d
一个月当中的日子 (01…31)
D
日期 (mm/dd/yy)
h
与 b 相同
j
一年当中的日子 (001…366)
m
月份 (01…12)
U
以星期日作为每周起始，一年当中的星期 (00…53)
w
一星期当中的日子 (0…6)
W
以星期一当作每周起始，一年当中的星期 (00…53)
x
本地的日期表示 (mm/dd/yy)
y
年份的最后两位 (00…99)
Y
年份 (1970…)
%b
文件大小，以512字节的块为单位 (四舍五入)。
%c
文件状态最后一次修改的时间。格式是C函数 ctime' 返回值的格式。 %Ck 文件状态最后一次修改的时间。格式以 k 指定，类似于%A。 %d 文件在目录树中的深度；0 意味着文件是一个命令行参数。 %f 去掉了前面的目录的文件名 (只剩下最后的成分)。 %F 文件所在文件系统的类型；这个值可以为 -fstype 所用。 %g 文件的组名，如果组没有名称就是数字形式的组ID。 %G 文件的数字形式的组ID。 %h 文件名的前面的目录部分 (仅除去最后的成分)。 %H 据以找到了文件的命令行参数。 %i 文件的 i 结点号(16进制)。 %k 文件大小，以1kB 的块为单位 (四舍五入)。 %l 符号链接的目标 (如果文件不是一个符号链接，那么结果是空字符串)。 %m 文件的权限位 (8进制)。 %n 文件的硬连接数。 %p 文件名。 %P 文件名，去掉了据以找到了文件的命令行参数的名称部分。 %s 文件大小，以字节为单位。 %t 文件最后一次修改的时间。格式是C函数 ctime’ 返回值的格式。
%Tk
文件最后一次修改的时间。格式以 k 指定，类似于%A。
%u
文件的用户名，如果用户没有名称就是数字形式的用户ID。
%U
文件的数字形式的用户ID。
在一个 %' 字符后面使用任何其他字符，%’ 将被忽略 (但是其他字符会被打印出来)。

-prune
如果没有给出 -depth 则返回 true; 不进入当前目录。 如果给出了 -depth 则返回false; 没有效果。
-ls
返回true；以 `ls -dils’ 格式在标准输出列出文件。块以1kB 字节为单位计数，除非设置了环境变量POSIXLY_CORRECT，那样的话会使用 512字节的块。
运算符 OPERATORS
以优先级高低顺序排列：

( expr )
强制为优先
! expr
如果 expr 是false则返回true
-not expr
与 ! expr 相同
expr1 expr2
与 (隐含的默认运算符)；如果 expr1 为false则不会执行 expr2
expr1 -a expr2
与 expr1 expr2 相同
expr1 -and expr2
与 expr1 expr2 相同
expr1 -o expr2
或；如果 expr1 为true 则不会执行 expr2
expr1 -or expr2
与 expr1 -o expr2 相同
expr1 , expr2
列表；expr1 和 expr2 都会被执行。expr1 的值被忽略，列表的值是 expr2的值

以上find命令介绍来着find中文man手册。

现在开始解题：
关卡提示：
在inhere目录中
人类可读的文本
大小1033字节
没有执行权限
依照惯例，进入目录，先ls -AL一下：
Inhere目录下有很多maybehere0？的目录
进入maybehere00，ls -al结果发现有隐藏文件、-开头的文件及有空格的文件。每个目录基本一样。

bandit5@bandit:~/inhere$ ls -al
total 88
drwxr-x--- 22 root bandit5 4096 Oct  5 06:19 .
drwxr-xr-x  3 root root    4096 Oct  5 06:19 ..
drwxr-x---  2 root bandit5 4096 Oct  5 06:19 maybehere00
drwxr-x---  2 root bandit5 4096 Oct  5 06:19 maybehere01
......
bandit5@bandit:~/inhere$ cd maybehere00
bandit5@bandit:~/inhere/maybehere00$ ls -al
total 72
drwxr-x---  2 root bandit5 4096 Oct  5 06:19 .
drwxr-x--- 22 root bandit5 4096 Oct  5 06:19 ..
-rwxr-x---  1 root bandit5 1039 Oct  5 06:19 -file1
-rwxr-x---  1 root bandit5  551 Oct  5 06:19 .file1
-rw-r-----  1 root bandit5 9388 Oct  5 06:19 -file2
-rw-r-----  1 root bandit5 7836 Oct  5 06:19 .file2
-rwxr-x---  1 root bandit5 7378 Oct  5 06:19 -file3
-rwxr-x---  1 root bandit5 4802 Oct  5 06:19 .file3
-rwxr-x---  1 root bandit5 6118 Oct  5 06:19 spaces file1
-rw-r-----  1 root bandit5 6850 Oct  5 06:19 spaces file2
-rwxr-x---  1 root bandit5 1915 Oct  5 06:19 spaces file3

使用find名命令查找符合题意的文件：
find ./ -type f -perm -0000 -size 1033c
命令解释：示例的工作目录为~/inhere。
从当前目录（./）开始查找，文件类型为普通文件（ -type f），文件没有执行权限（-perm -0000），文件大小为1033字节（-size 1033c）

bandit5@bandit:~/inhere$ find ./ -type f -perm -0000 -size 1033c
./maybehere07/.file2
bandit5@bandit:~/inhere$ cat ./maybehere07/.file2
P4L4vucdmLnm8I7Vl7jG1ApGSfjYKqJU

Bandit Level 6

关卡提示：在服务器的某个位置
文件属主为bandit7
文件数组为 bandit6
文件大小33字节
find / -type f -user bandit7 -group bandit6 -size 33c 2>/dev/null -ls
命令解释：从根目录开始查找条件为普通文件、属主为 bandit7，属组为 bandit6，大小为33字节的文件，并用ls命令列出来。
2>/dev/null：find 从根目录查找会因权限问题出现很多报错影响查看结果，所以将错误输出重定向到“黑洞”/dev/mull
Ps1：find命令选项之间的关系在缺省的情况下默认为：-and（与）
Ps2：如果使用了-maxdepth levels、-mindepth levels选项，一定将它们紧随目录之后，以提高find的工作效率。

bandit6@bandit:~$ find / -type f -user bandit7  -group bandit6  -size 33c 2>/dev/null -ls
    77124      4 -rw-r-----   1 bandit7  bandit6        33 Oct  5 06:19 /var/lib/dpkg/info/bandit7.password
bandit6@bandit:~$ cat  /var/lib/dpkg/info/bandit7.password
z7WtoNQU2XfjmMtWA8u5rN4vzqu4v99S
bandit6@bandit:~$

补充上篇内容：

花括号扩展

花括号扩展作用是用来生成字符串，格式为：前缀{字符1，字符2，…}后缀或者前缀{序列表达式}后缀。其中前缀、后缀、字符是可以省略的，也就是花括号扩展最少需要前括号、逗号或者序列表达式、后括号，并且这三项均未被引用。
序列表达式格式{初值…终值…增量}，初值和终值可以是整数或者字符，初值和终值如果是整数且没有设置增量，会扩展到含初值和终值的所有数值。
如果指定了整数增量，增量用作每一项的选取间隔。默认的增量是1或-1。
花括号可以嵌套。
先来看看一组演示：
1、前缀han 后缀为niao {hao,ao,hoa}会生成哪些字符串呢？

2、没有前后缀，仅有花括号部分

3、省略字符串

4、花括号扩展典型的用法之一
使用cp命令给/var/cache/apt/archives/xxd_2%3a8.1.2269-1ubuntu5.21_amd64.deb文件在其所在做一个名为xxd_2%3a8.1.2269-1ubuntu5.21_amd64.deb.bak，使用花括号扩展就是大大减少输入。

5、序列表达式演示：输出0到100之间的偶数

6、花括号扩展典型的用法之二：使用如“202101“格式，按照月创建2021年1月到2023年12月目录。

gyj@guyanjun:~/nn$ mkdir {2021..2023}{01..12}

7、嵌套演示