记一次awd线下经历
记一次awd线下经历
文末附湖湘杯源码
全程体验
这次湖湘杯的形式还算挺新颖的吧，早上是渗透，只告诉了一个ip，渗透资产，找到6个flag，由于我们太菜了，pwn在内网里，我们打不进内网，pwn爷爷回去睡觉了。
上午
上午给的是一个tp5框架的cms，我的payload也很拉跨，打了一下发现没打进去，这时候队友告诉我进后台了，我就没管了，在后台找到了个上传点，上传成功后一直找不到位置，就无法getshell，这里卡了一早上。导致内网都没有进，比较菜
下午
下午的比赛就是正常的awd了，这里发现还是不够熟练，一开始上来手忙脚乱的，靶机1看到有两台web，我们两个web手就开始疯狂维护，然后pwn手告诉我们，靶机2也有一台，我又开始维护。不知道别的队怎么样，但我们队这里半个小时的维护时间完全不够，可能和赛棍师傅们完全没得比，一上来就被打了一波。这里吐槽一下，什么权限都没有，rm权限也无，我想提权发现gcc编译都不给，我直接傻掉了。
防御
改ssh密码
这里赛后想想发现真的傻，一开始物理隔离，划了vlan，根本连不上别的ssh，怎么可能改密码，导致一开始浪费了时间在这个上面。
改mysql密码
这里也是改的比较快的，在比赛进行到比较后面的时候，队友发现大部分的队伍还是没有改mysql的密码，所以这里队友搅屎了一波，至少删了40个队伍的库，后面师傅们都说库被人删干净了，师傅们看到了轻点打。
小细节：这里有师傅被删库了，为了不持续宕机扣分，强行在php里写返回200状态码，确实check机制只检测了状态码，没检测其他的，导致没有进一步扣分。原来这也行。。。。
删除预留后门
这里我觉得还算做成功了的，跟师傅们赛后交流发现，很多人一开始都漏了一台web，这里我们三台web机，都进行了修复，除了一个hack.php比较坑爹，我用D盾扫发现只提示了预留后门，并没有显示在哪，我找了一下eval关键字也没找到，导致后面一直忘了这个事，估计全程被打了。
文件监测
这里自己用的是FileMonitor-master，github上一找就能找到，搭建也比较简单，比赛确实给了一些帮助，包括分析师傅们肯定是全场打的，骑马上了一波分，虽然有几个师傅的太强了，上了蠕虫，自己环境直接成了赛马场，脚本不停返回值，但是一些简单的马还是删了的
流量检测
发现根本没有修改的权限，上不上去事前准备的流量检测脚本，导致全程没有流量检测，事后跟师傅们交流发现其实是可以看apache日志的，并且有几个师傅的马没加密，可以直接骑马。
蠕虫防御
网上我也看过了这个蠕虫的脚本，但是还真没想过如何防御，这里我所有的文件都被感染上了蠕虫，每个目录下都有师傅的马，后面也懒得删除不死马了
攻击
预留后门
一开始这里其实利用了挺多的，至少有个三轮师傅们的预留后门还是没删除，但这里我直接拿flag去了，其实想想应该是要做好权限维持的，所以导致后面没审出来新的洞，只能靠骑马得一点flag
代码审计
代码审计应该在做好权限维持和防御之后，比赛时，审计了一个后台命令执行点，但是好像没有执行成功，有空再出一篇代码审计的文章
心得
总结这次awd，毕竟是第一次，太菜了，心态什么的也比较少，全程也比较懵，但是也收获了一些经验
- apache日志可以进行流量检测审计
- 预留后门的权限维持特别重要！！！！！！不要着急预留后门拿flag！！！！！
- 和队友的提前分配沟通特别重要，不要手忙脚乱
- 思考被蠕虫循环感染时要怎么办
暂时就分析这么多吧，如果代码审计出来了就再写把
湖湘杯源码：
链接：https://pan.baidu.com/s/1uxqz77oHqvaza9VXKpCOOg
提取码：9s73
复制这段内容后打开百度网盘手机App，操作更方便哦--来自百度网盘超级会员V2的分享
