2023陇剑杯初赛wp
前言
集训队Dozer队伍在第二届陇剑杯网络安全大赛中逐日组排名48，总排名为230名，成功晋级半决赛！
下面是本队伍做题的write up，文章最后提供比赛题目供大家参考学习！
hacked
1、
admIn用户的密码是什么？
直接看wireshark，找到aes密钥和IV，导出来成txt文件后是这样的
再找到login的请求包即可获得密码
2、
app.config['SECRET_KEY']值为多少？
CTRL+f搜索得到ssti_flask_hsvaldb
3、
flask网站由哪个用户启动？
red，上图即可发现
SmallSword
1、
连接蚁剑的正确密码是______________?（答案示例：123asd）
左下角数字即为flag
2、
攻击者留存的值是______________?(答案示例：d1c3f0d3-68bb-4d85-a337-fb97cf99ee2e)
选中的字符串编码base64可得到flag
3、
攻击者下载到的flag是______________?(答案示例：flag3{uuid})
从info.php导出exe文件
运行生成图片，修改后缀和高度即可得到flag
Tcpdump
1、
攻击者通过暴力破解进入了某Wiki 文档，请给出登录的用户名与密码，以:拼接，比如admin:admin
随便翻翻，找到了
3、
攻击使用jdbc漏洞读取了应用配置文件，给出配置中的数据库账号密码，以:拼接，比如root:123456
往下面追踪流发现了密码和账号
5、
给出攻击者获取系统权限后，下载的工具的名称，比如nmap
看见nmap随便找了一个fscan输入，成功！
IncidentResponse
1、
挖矿程序所在路径是？
用工具扫出来了，为/etc/redis/redis-server,改成md5即可
2、
挖矿程序连接的矿池域名是？
既然已经知道在redis里面，就可以在配置文件里面查找痕迹
4、
攻击者的IP是？
在root日志里面能够发现攻击者ip
5、
攻击者发起攻击时使用的User-Agent是？
在/var/log/nginx可以找到User-Agent
echo -n 'mozilla/5.0(compatible;baiduspider/2.0;+http://www.baidu.com/search/spider.html)'|md5sum|cut'|md5sum|cut) -d ' ' -f1
server save
黑客是使用什么漏洞来拿下root权限的。格式为：CVE-2020-114514
打开流量包找到执行漏洞代码直接搜
CVE-2022-22965
黑客反弹shell的ip和端口是什么，格式为：10.0.0.1:4444
tcp后即是反弹shell ip
黑客的病毒名称是什么？ 格式为：filename
d盾直接扫
黑客的病毒运行后创建了什么用户？请将回答用户名与密码：username:password
放到沙箱里直接看进程
服务器在被入侵时外网ip是多少? 格式为：10.10.0.1
在病毒同一文件夹中
病毒运行后释放了什么文件？格式：文件1,文件2
根据沙箱查看 释放的俩个文件
7和8
矿池地址是什么？ 格式：domain:1234
黑客的钱包地址是多少？格式：xx:xxxxxxxx
病毒释放的文件中包含地址
hard web
服务器开放了哪些端口，请按照端口大小顺序提交答案，并以英文逗号隔开(如服务器开放了80 81 82 83端口，则答案为80,81,82,83)
服务器中根目录下的flag值是多少？
哥斯拉流量解码
aes解码key=748007e861908c03
直接cyber烤出来
该webshell的连接密码是多少？
748007e861908c03
直接查询md5
easy web
服务器自带的后门文件名是什么？（含文件后缀）
调用ViewMore.php植入d00r.php马 是服务器自带的
服务器的内网IP是多少？
直接搜索ifconfig
返回包中含有内网ip 10.10.101.132
攻击者往服务器中写入的key是什么？
压缩包需要密码
上面的返回包有密码
直接解压
baby forensics
1.
磁盘中的key是多少？
放到内存分析中发现key.txt
直接findstr后dump下来就行
rot47解码
cyber烤一下
2.
电脑中正在运行的计算器的运行结果是多少？
vol的windows指令
name就是结果
3.
该内存文件中存在的flag值是多少？
内存文件中包含这些特殊的字符
dump下来直接aes解码
qwerasdf为key
一开始在xways上看的时候有/par注意原数据要去掉/par
但是在010里就没有问题
wireshark
被入侵主机的IP是？
直接追踪流查看放包地址
被入侵主机的口令是？
根据命令查看
用户目录下第二个文件夹的名称是？
/etc/passwd中倒数第二个用户的用户名是？
