当前位置:首页 » 《随便一记》 » 正文

[2021首届“陇剑杯”网络安全大赛] jwt_ShenZ的博客

8 人参与  2021年11月22日 11:44  分类 : 《随便一记》  评论

点击全文阅读


题目描述
昨天,单位流量系统捕获了黑客攻击流量,请您分析流量后进行回答:
1.该网站使用了__jwt__认证方式。(如有字母请全部使用小写)
2.黑客绕过验证使用的jwt中,id和username是__10087#admin__。(中间使用#号隔开,例如1#admin)
3.黑客获取webshell之后,权限是___root__?
4.黑客上传的恶意文件文件名是____1.c_____。(请提交带有文件后缀的文件名,例如x.txt)
5.黑客在服务器上编译的恶意so文件,文件名是_____looter.so____。(请提交带有文件后缀的文件名,例如x.so)
6.黑客在服务器上修改了一个配置文件,文件的绝对路径为_____/etc/pam.d/common-auth____。(请确认绝对路径后再提交)

[2021首届“陇剑杯”网络安全大赛] jwt

追踪http流,可以看到是jwt认证
在这里插入图片描述
搜whoami,看最后一个包,可以看到命令执行了,权限为root
在这里插入图片描述

https://jwt.io/解码得id和用户名
在这里插入图片描述
黑客曾jwt绕过登陆了id10086和10087的两个admin账号,10086没有权限执行whoami
在这里插入图片描述
whoami之后可以看到base64上传了一个c文件,接下来是ls命令,可以看到1.c
在这里插入图片描述
在这里插入图片描述
再向下看,looter.so为编译的恶意so文件
在这里插入图片描述
然后利用重定向重写配置文件/etc/pam.d/common-auth

/etc/pam.d/目录包含应用程序的PAM配置文件。

在这里插入图片描述


点击全文阅读


本文链接:http://m.zhangshiyu.com/post/31165.html

<< 上一篇 下一篇 >>

  • 评论(0)
  • 赞助本站

◎欢迎参与讨论,请在这里发表您的看法、交流您的观点。

最新文章

  • 老婆迷信害死丈母娘,知道真相后她后悔疯了(吴茉莉李秀全)列表_老婆迷信害死丈母娘,知道真相后她后悔疯了(吴茉莉李秀全)老婆迷信害死丈母娘,知道真相后她后悔疯了在线
  • [男友的未婚妻不是我]章节限时抢先看‌_「顾川阿月宝贝」后续在线阅读
  • 「你是我未拆的遗书」最新章节目录番外+全文_[裴谨言桑年]小说章节分享
  • 老公把小狗崽塞进我子宫口碑神作必读篇章_[子宫老公狗宝宝]后续完结版
  • 我在回忆里万劫不复优质(秦见鹿谢梵声)_我在回忆里万劫不复优质秦见鹿谢梵声
  • 完结文我在回忆里万劫不复完结+番外列表_完结文我在回忆里万劫不复完结+番外(秦见鹿谢梵声)
  • 爱你是判决无期全文完结版阅读_[宋曦语裴时域林安安]人物羁绊章节精选
  • 画地为牢宝藏文(池念谢宴清)全书浏览_画地为牢宝藏文全书浏览
  • 画地为牢全书+后续+番外(池念谢宴清)列表_画地为牢全书+后续+番外(池念谢宴清)全书+后续+结局在线
  • 「我送卿归去,爱恨不由己」全文完结版阅读_「萧盈孟天楚孟天衡」小说后续在线免费阅读
  • 「重生后手撕职业打假的表妹」剧情悬念章节分段解锁_林婉路过原谅完结版全文
  • (番外)+(全书)沈昭宜傅沉砚(填我十万八千梦+结局+番外)全书在线_沈昭宜傅沉砚免费列表_笔趣阁(填我十万八千梦+结局+番外)

    关于我们 | 我要投稿 | 免责申明

    Copyright © 2020-2022 ZhangShiYu.com Rights Reserved.豫ICP备2022013469号-1