CTF线下AWD攻防经验总结
给第一次打awd小白看的：举办方会分配多个靶机服务器的ssh（或者vpn）用户名密码，ip及网站信息
其中一台靶机就是我们的，环境相同，我们机器有的漏洞别人也会有
ssh连接工具
MobaXterm
XTerminal
electerm
dump源码
使用ssh工具保留源码，防止源码修改出现问题，或者被攻击者入侵，删除所有源码准备
压缩
tar -cvf html.tar /var/www/html zip -q -r html.zip /var/www/html 解压
tar -xvf html.tar -C /var/www/html unzip web.zip -d /var/www/html 上传下载源码
一般使用ssh工具直接打包源码到本地是最快最方便的
弱密码修改
ssh
拿到ssh第一步就是先和队友修改ssh登录密码（这个被gank点就是第一次打长城杯半决赛在西安被一个师傅利用ssh脚本修改了所有队伍ssh密码，核心原因是因为举办方分配的ssh都是一样的，这是个低级错误，导致全场被gg了）
passwd mysql
一般密码不会动，这里也给出修改mysql的方法吧
这个要看一下主办方是否对密码check；如果不允许修改就不要动了，因为这种伤敌一千自损八百方式少用最好
mysql -u root -p #登录 show databases; #查看数据库 use test; #打开站点数据库 show tables; #打开站点的用户表 select * from admin； update admin set user pass='需要设置的密码'; flush privileges; #立即生效 web后台网站密码
find /var/www//html -path '*config*' 加固
linux加固
源码丢到D盾等工具删除后门，同时利用这个后门发起攻击，实战情况大概是你冰蝎还没连接到人家就已经把后门删除或者修改了，虽然这个漏洞是送分的，但拼的是手速，因此要提前准备好脚本
通过.bash_history查找历史命令，发现痕迹
查看计划任务：cat /etc/crontab、有的是cron.d视情况而定
使用脚本开启日志监控，流量监控
杀掉进程
kill -9 pid //Linux上 taskkill /f /pid pid //Windows上 windows加固
查找所有用户信息，禁止非administrator、禁用guest账户、关闭文件共享
开启系统日志审计功能
确保启动项是可控的
通过PCHunter、Monitor查找恶意代码文件
攻击流程
端口扫描
nmap -sn 39.165.214.6/24#主机发现 nmap -sT -sV -sS -p- -O ip#扫描主机全部端口 nmap --script=vuln -p- ip#脚本漏洞扫描 eval – 类型函数是代码执行而不是命令执行（一句话木马）
system – 类型函数是命令执行而不是代码执行
常见漏洞
SQL注入、文件包含、文件上传
sql类的漏洞一般不会有过滤、可以用sqlmap跑出来、再利用select load_file(‘/flag’)；
文件包含可以直接通过../../../../../flag方式获取
上传漏洞一般也是比较简单的黑名单过滤、服务器解析漏洞，可以直接上传木马
框架漏洞
分为两种：一种是出题人写的框架、另一种是已有漏洞的框架
如果是已有漏洞框架，通常会比较明显，这个需要准备充分，电脑中备好EXP库、漏洞库和各种扫描工具库，以便快速利用
如果是出题人的框架，简单有效就是将源码拷贝到工具进行审计、然后开始常规的渗透测试、比如文件上传、sql等等
总结
第一步ssh工具打包源码备份
第二部修改ssh弱密码
第三步加固、删除后门、拼手速冰蝎连接或者脚本攻击获得flag
第四步开始靠经验变找漏洞变修复
原文链接：https://www.cnblogs.com/guangen/p/18228478
原创文章，作者：优速盾-小U，如若转载，请注明出处：https://www.cdnb.net/bbs/archives/33339
