第六周 线下AWD总结
博客https://tothemoon2019.github.io/2020/11/06/1/
第六周 线下AWD总结
上周跟着工作室的大佬们去沈阳参加了第三届辽宁省网络安全技能大赛，非常幸运进了线下比赛。
线下比赛的赛制是AWD（网络攻防），以前一直打ctf，偶尔听学长说过，但重来没有了解过。这次真的是恶补了一下，基本上每天都是通宵，但也只是大概对比赛有了一个比较清晰的概念，一切都还得等到比赛时才知晓怎样。果然，不才，只拿了一个华为手表（老师们非常不满意这个成绩啊）。
所以想着写一下总结，记录一下，查漏补缺。供下次比赛复习用。
1.工具
首先是一些工具。脚本，waf，啥的。
这次比赛我负责的是攻击，另一位大佬负责防守，另外一些脚本在他手里，时间匆促，分完工后我也没去学过他那边的。
AoiAWD（脚本已编译好）
上一届学长给了我一个安全响应系统AoiAWD，如果打比赛的时候部署上的话，防御应该非常简单了。可是这次用户给的权限实在太低了，连执行权限chmod +x 都没用。当时第一次部署时问师傅问的快没信心了，不过还是记录一下具体的使用方法，免的年久忘事。
首先启环境，先进入 AoiAWD/AoiAWD/ 里运行 aoiawd.phar
运行成功后会回显token，端口号，然后本机访问
输入token访问之
然后是网络配置，我是在虚拟机里搭建的环境，所以得配置端口映射才能靶机访问到。
这里有两个网卡：网络 nat+自定义。自定义可以不用管，但必须是nat模式。
进入虚拟网络配置器，更改设置，
此时就能在物理机上访问了。
其次是这四个脚本探针（我已生成），每个探针对应不同的功能，放到比赛的靶机里网站根目录下用 ./ 执行。
这里提示命令失败了可能是权限不够，用chmod +x赋予文件可执行权限（这次比赛连chmod+x都没给，也导致了当时没有搭上）。
启动（-s后面接容器网址）
D盾，Seay，Xshell
一些批量的脚本
比如连接ssh，获取flag，提交flag等
2.注意事项
root权限，数据库
运气好的话，可以用弱密码把密码试出来，这次的比赛数据库的密码就是password但是当时旷了，没有试，然后被别的队拿到了权限清空了数据库。赛后我的另一位队友突然想起来php连数据库会把密码写在配置文件里了，淦，傻逼了，第一次打比赛出现这种低级失误。
靶机
这次有两个靶机，一个pwn，一个web，结果我们就维护了web题而没有看到pwn里面居然还有web…导致全程被别人打，所以以后得细心点了。