2019西湖论剑线下赛总结

CTF

对于早上的CTF,唯一的感受就是自己的接触面太少。由于自己只学了 Web ,对于 CTF 的其他内容没有学习。然后这次的 CTF 的 Web 题又难的一批。最后也没有一个人能解出来。而这次的杂项和密码学还算简单,做出来的师傅很多。但是这两项我都没有去好好学过,只做过一些简单的杂项图片隐写(也只会个 binwalk 分离图片) 。这次杂项虽然也有图片隐写。但没思路….密码学 RSA 的题做出来的师傅也很多,虽然上课讲过 RSA 算法但 CTF 里这种类似的密码学,我也没做过,不太清楚解题思路…

黑客是不能有短板的,只有大量的标准板和某一块长板。而通过这次 CTF 比赛,让我感觉到了自己是只有一块短板,然后剩下的板还没有…

CTF 个人赛对一个人知识面的考验真很全面,平时打 CTF 线上赛都是以团队赛来打,一个人负责一块内容,每次赛后对于其他题目的解题思路自己也不去了解,也不是很有兴趣去了解。总觉得完成自己所学的,范围内的就可以了。但这次的 CTF 最后被零封的结果真的让我充分的意识到了自己的菜…

AWD

过程

这是第一次打 AWD ,赛前已经想到了1000种被大佬锤烂的方法了。但是最后的结果是幸运的,在55支队伍中取得了第20名的成绩,差个4名就拿奖了=.=

这一天的赛程安排,9:00-12:00 CTF ,13:00-17:00 AWD。然后这次我认为失误比较严重的是中午吃饭的时间没注意,等我们到赛场时,比赛已经开始了。大师傅们已经开火了,我们还在调试电脑和网络。然后前期就有点手忙脚乱。原本以为的有半小时的加固时间,好像也没有。

这次给了两台服务器,都是 Web 服务器,其中一台是赛方自己写的 CMS ,预留洞最多的就是这台,其中还有一个是 root 权限建的 shell,拿到的账户 ctf 还没权限删除。然后一开始的慌乱也没想到这个洞这么利用。另一台的预留洞比较少,D盾就扫到了一个。但是这个洞我们也没看懂这么利用,不知道这么修,怕乱动,导致服务宕掉。随意就没管它了,因为第一台扫到的预留洞比较少。也修不来…就直接上了 WAF,还上了一个文件监控(这个文件监控还是起了很大作用的)。

接下来我们主要针对第二台漏洞比较多的进行了修补。修补完了想分析流量看看大佬们是这么揍我们的。看了 WAF 监控下来的流量,发现流量里的内容是编码过的,还有大佬的流量混淆,这让我们根本找不到那一条请求成功了。这时候我想去看下 Apache 的访问记录,发现没权限访问…

刚开始的半个小时,我们的成绩直接成了倒数第一名。但我们给两个两台服务器都上了 WAF 和 文件监控后,每轮掉的分都少了。每轮只有两个队伍在进攻我们。排名也在逐渐上升。

转过头来看第一台服务器,发现一直被师傅们写 shell,但还好的是都一写上来就被文件监控删除了。基本加固完成后,试图去挖洞来进攻,但是由于三个人的代码审计能力都不行…洞也不会挖…

就这样一直做着加固…然后比赛快过了一半了,才想到弱口令没检查…结果一查,发现两台服务器的后台都是弱口令….吓的我们急忙改了口令。然后抱着试一试的心态看看有没有队伍的口令没改…一看有些队伍的服务都已经宕掉了…还有的第二台服务器删的只剩了一个删不掉的 root 创建的 shell (感觉这就是我们虽然没进攻,但排名却一直在升的原因,我们的 WAF 和 文件监控让我们只有一两个师傅打我们,中间还有几轮没人攻击我们)。发现了弱口令之后才焕然大悟,那个删不了的 shell 只要登录进了后台就可以利用了,急忙用这个打了一波,发现只有一个队伍没改了,这个队还是一直把我们从头打到尾的队…赶紧趁机拿了一波分…

比赛只剩一个小时的时候,我们的 web1服务器被两个队的师傅种上了不死马…这么样都删不掉…结果疯狂掉分…本来到了15 的然后又慢慢的掉了下来,掉到了20

总结

  1. 代码审计能力极差(几乎没有),导致了挖不到洞,有洞的话如果复杂一点,导致补也不会补….
  2. 常规一点的不死马还能杀,非常规的马就束手无策了
  3. 脚本编写能力差,这次到最后我们也只利用上了一个预留的删不掉的洞。而且最后还是手工测试的,本来完全可以写的自动化脚本直接跑的。
  4. 经验不足

赛后大佬们在群里讨论,web1服务,可以用 sudo 命令,当时比赛时我根本没想到这个点,觉得既然给了低权限的用户,那这么可能可以用 sudo 也没去试。如果当时能意识到,那么对于不死马也就有解决的策略了。

还有师傅说可以提权到 root ,这当时也没想过…然后比赛中洞也挖不到,日志也审计不出来,就只能等着师傅们打过来,如果种了不死马,常规的不死马杀一下这样。最后只能靠 WAF 和 文件监控 两个脚本苟活

所以说,经验也很重要,但毕竟是第一次,而且最后也拿了第 20 的成绩,感觉已经很不错了,毕竟这次高手很多…感觉都是神仙打架。