并没有什么技术含量,纯粹就是玩个黑盒的过程。挺有意思的,所以就写下来了。
起因
天台在群里说,他们那有个OJ是用windows的
当然二话不说上来看看咯。
开整之前大致想出流程,
-
判断是否容器
-
判断是否出网
第一因为是用windows所以有点希望,就来验证第二个看看。
bypass
先找个时间长点的题目
上去提交代码。能用的有C/C++/G++/JAVA/C#以及PASCAL
试了一下,C/C++没有windows.h,基本的system等函数就直接reset了。
估计有一些防火墙。
运气好,发现C# 能执行api???
这下好说了,shellcode走起。
直接参考这个
提交,运行,之后cs上线了
但是10s一过就被k了。
原本是想找个能自动复制的shellcode,或者是干脆直接exe2shellcode然后编码到代码里提交上去写出
结果提交代码有长度限制,最多6kb,只能继续在shellcode上整活了。
那么继续,我们换个思路。
我们把自己复制一个,然后用api把自己运行不就行了?
经过测试之后,发现,CreateProcess这个api可以用,shellExecute这些倒是被reset了。
那么接下来就简单了
测试之后发现,只有本体线程上线了。。。复制之后的那个没上线?这就很尴尬。
现在有3个猜测
-
Temp文件夹没权限
-
CreateProcess并不能运行
-
本体不是exe而是某种动态执行的东西,所以复制本体出去压根不是正确的PE文件
总体来说就这三种情况,那么我们该怎么排查呢?
伪黑盒测测
oj也不是完全黑盒,oj也是有返回结果的
其中我们只需要关注Judge Status
,Exe.Time
,Exe.Memory
这些就行
前两个我们是可以手动控制结果,后面一个Memory是判断我们程序是否正确运行。
那么接下来就简单了。我们可以手动一个选择支(if),达成某种目标,就给出正确答案,或者超时等等。
我们先判断程序是否复制到了Temp文件夹下面,如果复制到了那么就直接Sleep到超时。
if (File.Exists("C:\\WINDOWS\\Temp\\asd.exe"))
{
System.Threading.Thread.Sleep(2000);
return;
}else{return;}
经过测试之后发现,文件不存在。程序并没有超时,直接return了。
继续判断扩展名
string filename = System.IO.Path.GetFileName(szPath);
if(Path.GetExtension(fileName)==".exe"){System.Threading.Thread.Sleep(2000);}
发现超时,说明文件确实被编译成exe了。
那么既然temp目录没有权限,那么我们就直接复制到本地目录不就行了嘛。
经过修改代码之后,提交运行。这次倒是上线了两个。
但是依旧是过了10s,这两个程序同时掉线了。预测是被k了。
这就很奇怪了。
难道TMD学360还能判断进程链?还是说有什么组策略?
既然这样,我们就换个方法,既然它会k进程链,那么我们就注入到不是我们创建的进程不就行了嘛?
经过测试,Process这个关键字没被拦截,那么Process[] processes = Process.GetProcessesByName(processName);
这个方法应该也不会被拦截,试了一下果不其然。
这oj真的有做过滤嘛emmm,不过能调用api本来也就很奇怪了吧。
依旧同样的方法,判断explorer.exe是否存在,然后找到它的pid。
这里要注意点,可能找到的不一定是guest用户的explorer也许是其他用户的,我们不一定有权限注入。
所以是循环查找。
然后就是远程线程注入。
很好,自信满满,提交运行。
结果:
????
换了x64/x32的shellcode都不行,msf的也试过了。全TMD都不行。
我本地测试一下也奇怪的奔溃了。但是用C++写的那份却可以运行。怪事。
不得已,只能上CPP了,还是CPP用的顺手。
不过在此之前只能祈祷这上面能用内联汇编
提交了个
#include<stdio.h>
int main(){__asm{NOP;}return 0;}
上去,发现编译通过了!!!
不就是不能用windows.h
嘛,小事。
之前想过,不能用windows.h最大的问题是什么?不能调用winapi嘛。
然而懂计算机的都知道,我们只需要知道函数的地址,然后手动call不就能调用了嘛。
和这种情况类似的有什么呢?对,就是shellcode。直接PEB或者SEH查找k32.dll的地址然后再找到LoadLibrary和GetProcAddress的地址,那么winapi不就是随便用了吗?
因为仅仅是不能用windows.h
,和我另外一篇 自己动手打造一份熊猫烧香 ,还是有点区别的,至少strcat这些简单函数都能用,其他的都好说了。
为了节约代码长度,这次不用上一篇文章的那个方法整结构体了。直接参考
中的内联汇编代码,抄出来稍微改改就行
然后就是定义api然后调用
代码很长后面我就不截图了。有了API原理就和C#版本的一模一样
一样的注入explorer.exe,提交,运行。
感天动地,终于上线了。过了一分钟也没被k。
收尾
现在就是判断系统版本,先判断系统版本,systeminfo是不能用的,tasklist也不行。因为是guest权限不是那些IIS权限,所以前段时间我用的很爽的各种土豆都用不了,这土豆是真滴好用。啊废话有点多。
用C#随便写一个判断系统版本的丢上去。
这时候确实是C#比较舒服。.net库还是全的,如果是CPP整winapi还得弄一堆七七八八。
最后结果是win7。虽然结果是这么写的,但是也有可能是08之类的东西。因为上传shellcode没被杀,所以确认是没有杀软,直接提交exp吧。
有了这个就很简单了,随便找个1458丢上去,运气好提权成功。
用1458的时候还出了点小意外,详情可以看我博客里面有个tgchannal。过于丢人就不说了,总之还是换了8639,提权成功。
接下来就是横向了,不过我只是为了日OJ而来,剩下的就索然无味了,横向还是日tw的edu好玩。又没有法律风险,难度也不是很高,他们的web一个个都可以是梦回2008年代的画风。但是意外的洞却不多,所以又简单的同时也有难度,啊又跑题了。
总之第一步随手看个netstat -an
,以及arp -a
,查看其他资产,有mysql连接,这种主机肯定存在MySQL配置,可以用来横向。
第二步当然是我们最爱的ms17010啦。
emmmm,这管理员真的有在管学校嘛。
剩下的没意思,溜了溜了
能执行api的话其实完全没啥技术含量,大家就看个思考过程乐呵乐呵下吧。日到这个地步就没必要碰了,数据库啥的看的想法都没有。
在这提醒大家想日这些还是去日tw的比较好,毫无心理负担(