陇剑杯JWT流量分析与简单日志分析
题目:https://www.nctry.com/2395.html#title-4
JWT流量分析
题目描述:昨天,单位流量系统捕获了黑客攻击流量,请您分析流量后进行回答
1、该网站使用了______认证方式
筛选出POST请求http.request.method == "POST"
追踪http流
可以看到http响应中包含了token。header.payload.signature的格式,属于JWT。所以网站使用了JWT认证
2、黑客绕过验证使用的jwt中,id和username是
首先找到JWT在访问哪个uri时生效,发现是/exec
分析攻击者尝试了哪些JWT
tshark -r goroot.pcap -T fields -Y 'http.request.uri == "/exec"' -e http.cookie_pair | sort | uniq -c
攻击者使用了两个JWT:
5 token=eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJpZCI6MTAwODYsIk1hcENsYWltcyI6eyJhdWQiOiJhZG1pbiIsInVzZXJuYW1lIjoiYWRtaW4ifX0.dJArtwXjas3_Cg9a3tr8COXF7DRsuX8UjmbC1nKf8fc
22 token=eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJpZCI6MTAwODcsIk1hcENsYWltcyI6eyJ1c2VybmFtZSI6ImFkbWluIn19.rurQD5RYgMrFZow8r-k7KCP13P32sF-RpTXhKsxzvD0
第一个JWT已经被验证不能访问/exec,筛选出攻击者使用第二个JWT的请求包
//wireshark过滤
http.cookie_pair contains "eyJpZCI6MTAwODcsIk1hcENsYWltcyI6eyJ1c2VybmFtZSI6ImFkbWluIn19"
得到的第一个包,追踪http流,证明第二个JWT就是绕过验证使用的jwt
header和payload部分是base64url编码,使用Burp suite的decoder模块解码。得到id和username
3 、黑客获取webshell之后,权限是
从
提取出第103个包的post数据,可以知道上传的恶意文件名是1.c
5、黑客在服务器上编译的恶意so文件,文件名是
第121个包
6、黑客在服务器上修改了一个配置文件,文件的绝对路径为
简单日志分析
题目描述:某天晚上,X单位的网站被黑客入侵了,管理员从单位网络出口捕获采样流量,请您分析流量进行回答
黑客攻击的参数是
awk '{print $7}' app.log | grep ?
攻击的参数是user
黑客查看的秘密文件的绝对路径是
//先进行urldecode,再base64解码
awk '{print $7}' app.log |grep ? | awk -F= '{print $2}' | while read line; do echo $line | php -r 'echo urldecode(fgets(STDIN));' | base64 -d;
done
【推荐】编程新体验,更懂你的AI,立即体验豆包MarsCode编程助手
【推荐】凌霞软件回馈社区,博客园 & 1Panel & Halo 联合会员上线
【推荐】抖音旗下AI助手豆包,你的智能百科全书,全免费不限次数
【推荐】博客园社区专享云产品让利特惠,阿里云新客6.5折上折
【推荐】轻量又高性能的 SSH 工具 IShell:AI 加持,快人一步