AWD生存之道
比赛开始阶段
常见漏洞的防御手段:https://www.freebuf.com/articles/web/208778.html
一、登陆SSH
重点 如果ssh的密码不是随机密码，记得一开始就进行密码更改，然后再接着操作。可以参照使用
赛前检测文件夹下的change_ssh_password.py文件，具体如下使用方法
如果不是随机密码，接着使用default_ssh.py进行扫描登陆，具体使用方法如下:
直接配置文件后，python运行即可
压缩 tar -czvf /tmp/backup.tar.gz /var/www/html
解压 tar -zxvf /tmp/backup.tar.gz
复原 cp -R /tmp/var/www/html/ . /var/www/html/
备份数据库
#备份mysql数据库
mysqldump -u 用户名 -p 密码 数据库名 > back.sql
mysqldump --all-databases > bak.sql
#还原mysql数据库
mysql -u 用户名 -p 密码 数据库名 < bak.sql
dump源码
scp -r -P Port remote_username@remote_ip:remote_folder local_file
记住把压缩包移出文件夹中
有时候会遇到压缩不不了了的情况，那样的话就只能拖出⽂文件夹重新开个会话窗⼝。
接着链接上图形化管理软件。
二 开始防护
上waf
find /var/www/html -type f -path "*.php" | xargs sed -i "s/<?php/<?phpninclude('/tmp/waf.php');n/g"
直接使用python脚本往上面加log.php改一下路径配置，就可以成功了。需要更改的路径/www/admin/localhost_80/wwwroot
这里是将tmp目录下的waf.php批量安装到每一个php文件中（可以参考log_t.php ）
禁止文件更改
还要将py文件中file_check.py运用起来进行联合攻击
chattr -R +i /etc
vi /home/www/kill.sh
#!/bin/sh
while :
do
rm -rf upload/*
done
chmod +x /home/www/kill.sh
然后运行杀文件
进行参数记录
-
后台默认密码
-
数据库密码(从web的config中查看)
-
web⽬目录默认权限
扫描网络拓补
为攻击框架做准备，格式为ip.txt
比赛进行时
一 攻击
上传phpinfo查看是否打开远程调试
xdebug.remote_enable = On
xdebug.remote_connect_back = On
代码审计
poc编写 使⽤用攻击框架
漏漏洞洞修补 修补正则
定向攻击
删库跑路
内存马（不死马）未收集
混淆流量
漏洞类型
1.自带后门
webshell扫描
防护开始
检查配置文件
php.ini
auto_prepend_file = "/home/fdipzone/
header.php"
auto_append_file = "/home/fdipzone/
footer.php
.htaccess
php_value auto_prepend_file "/home/fdipzone/
header.php"
php_value auto_append_file "/home/fdipzone/
footer.php"
这种注意查杀
查马
内存马（不死马）的抵制方法
未记录
diff -y 2/ html
一句话木马的查找
find /var/www/ -name "*.php" |xargs egrep
'assert|phpspy|c99sh|milw0rm|eval|
(gunerpress|(base64_decoolcode|spider_bc|
shell_exec|passthru|($_\POST[|eval
(str_rot13|.chr(|${"_P|eval($_R|
file_put_contents(.*$_|base64_decode
php.ini设置
disable_functions=phpinfo,passthru,exec,syste
m,chroot,scandir,chgrp,chown,shell_exec,proc
_open,proc_get_status,ini_alter,ini_alter,ini_re
store,dl,pfsockopen,openlog,syslog,readlink,sy
mlink,popepassthru,stream_socket_server,get
_current_user,leak,putenv,popen,opendir
opendir,putenv
设置“safe_mode”为“on”
禁⽌止“open_basedir” 可以禁⽌止指定⽬目录之外的⽂文件操作
expose_php设为off 这样php不不会在http⽂文件头中泄露露信息
设置“allow_url_fopen”为“off” 可禁⽌止远程⽂文件功能
log_errors”设为“on” 错误⽇日志开启
流量捕捉
在log_t.php这个waf之中有
https://blog.csdn.net/qq_43431158/article/details/103812601
https://github.com/rebeyond/Behinder
文件检测
使用SimpleMonitor_64文件
参数 -w + 监控的路径
提权poc
在getroot的这个文件夹下有提权poc，已经编译完毕。
https://github.com/dirtycow/dirtycow.github.io/wiki/PoCs
exp收集
“<漏洞关键字> inurl:http://www.secbug.cn/bugs/”来搜索
cb.drops.wiki
https://exploits.shodan.io/
