2018-05-27

2018.5.18 信息安全铁三赛

纪念下自己的第一次比赛

题目描述

1.黑客的IP是多少
2.服务器1.99的web服务器使用的CMS及其版本号(请直接复制)
3.服务器拿到的webshell的网址(请输入url解码后的网址)
4.服务器1.99的主机名
5.网站根目录的绝对路径(注意最后加斜杠)
6.黑客上传的第一个文件名称是什么
7.黑客进行内网扫描，扫描的端口都有哪些(端口从小到大，用英文逗号分隔)
8.服务器2.88的ftp服务账号密码(格式：账号/密码)
9.黑客成功登陆ftp的时间(格式：10:15:36)
10.黑客在ftp中下载的敏感文件名称是什么
11.服务器2.88中用户名为admin_zz的web后台管理员的密码
12.服务器2.88的mysql账号密码(格式：账号/密码)
13.服务器2.88的mysql服务中有和admin有关的三个表，请按照黑客的查询顺序作答，使用空格分隔
14.请列出黑客设置的genreallog的绝对路径(将路径复制出来，区分大小写)
15.路由器的品牌、型号、版本(请直接复制粘贴)
16.列出路由器的所有IP地址(格式：从小到大，用英文逗号分隔)
17.在路由器的端口监控中，监控端口和被监控端口分别是多少，例，1号端口监控2/3/4号端口:1–>2,3,4
18.路由器一共有几个接口?其中有几个WAN口启用?有几个LAN口启用(格式:用英文逗号分隔)
19.路由器的系统路由表中一共有几条?第三条的子网掩码是多少。例:255 255.255.0则为24(格式:用英文逗号分隔)
20.路由器的5Gwif名称是什么，信道是多少(格式:名称信道)

第一个数据包

首先过滤一下http

发现phpinfo
192.168.1.99是受害者的ip
202.1.1.2是攻击者的ip

进一步进行过滤

http and ip.addr==202.1.1.2 and ip.addr==192.168.1.99

注意关键字Powered by
可以找到CMS及其版本号
EasyTalk X2.0.1

同时可以发现一个url
不难发现这就是webshell的地址

解码后得

http://202.1.1.1/index.php/module/action/param1/$%7B@print(eval($_POST[c]))%7D

phpinfo泄露大量的服务器信息
导出http对象保存为html查看一下

由图可知
主机名为simplefight1
网站根目录/var/www/html/easytalk/

接下来要找到黑客上传的第一个文件
可以这样过滤
http.request.method==POST and ip.addr==202.1.1.2

解码得到
/var/www/html/easytalk/scan.php

继续进行过滤
ip.addr== 202.1.1.2 && http contains “scan.php”

可见起始ip:192.168.0.1
结束ip:192.168.3.255
扫描端口:21,80,8080,1433,3306

归纳一下答案
1.黑客的IP是多少
202.1.1.2
2.服务器1.99的web服务器使用的CMS及其版本号(请直接复制)
EasyTalkX2.0.1
3.服务器拿到的webshell的网址(请输入url解码后的网址)
http://202.1.1.1/index.php/module/action/param1/${@print(eval($_POST[c]))}
4.服务器1.99的主机名
simplefight1
5.网站根目录的绝对路径(注意最后加斜杠)
/var/www/html/easytalk
6.黑客上传的第一个文件名称是什么
scan.php
7.黑客进行内网扫描，扫描的端口都有哪些(端口从小到大，用英文逗号分隔)
21,80,8080,1433,3306