本篇文章仅用于技术交流学习和研究的目的，严禁使用文章中的技术用于非法目的和破坏，否则造成一切后果与发表本文章的作者无关
靶机下载之后使用仅主机模式加载到本地VMware Workstation工作站，需要发现目标靶机的IP地址，可以使用nmap，netdiscover，或者arp之类的工具 arp-scan 例如:sudo arp-scan -I eth1 -l 当然也是可以使用Windows环境下mac地址扫描工具都是可以的，那么本次演示就是arp-scan工具发现，本次是直接根据靶机目标给出的地址进行测试
目标靶机的下载地址：https://www.vulnhub.com/entry/spydersec-challenge,128/
发现目标开放了两个端口22和80
尝试访问下80端口的web
没发现什么有价值的内容，就把上面两照片下载下来看看，这个靶机目前是知道根据取证有关，所以照片下载下来看看里面含有哪些信息
35:31:3a:35:33:3a:34:36:3a:35:37:3a:36:34:3a:35:38:3a:33:35:3a:37:31:3a:36:34:3a:34:35:3a:36:37:3a:36:61:3a:34:65:3a:37:61:3a:34:39:3a:33:35:3a:36:33:3a:33:30:3a:37:38:3a:34:32:3a:34:66:3a:33:32:3a:36:37:3a:33:30:3a:34:61:3a:35:31:3a:33:64:3a:33:64
发现上述是16进制内容，尝试使用火狐的hackbar进行转换
发现还是个16进制，再次进行转换
得出base64编码 QSFWdX5qdEgjNzI5c0xBO2g0JQ==
将其解码的结果为：A!Vu~jtH#729sLA;h4%
这个结果先留着，后面应该是有用的
常规思路，查看目标站点的源码，看是否含有敏感重要的信息
发现如下可疑的代码：
eval(function(p,a,c,k,e,d){e=function(c){returnc.toString(36)};if(!''.replace(/^/,String)){while(c--){d[c.toString(a)]=k[c]||c.toString(a)}k=[function(e){returnd[e]}];e=function(){return'\\w+'};c=1};while(c--){if(k[c]){p=p.replace(newRegExp('\\b'+e(c)+'\\b','g'),k[c])}}returnp}('7:0:1:2:8:6:3:5:4:0:a:1:2:d:c:b:f:3:9:e',16,16,'6c|65|72|27|75|6d|28|61|74|29|64|62|66|2e|3b|69'.split('|'),0,{}))
网上搜索下了，发现是可以关于JavaScript的eval函数是可以隐藏代码，需要使用JavaScript压缩器解压一下地址：https://beautifier.io/
上述操作得到如下的16进制转换信息：
61: 6 c: 65: 72: 74: 28: 27: 6 d: 75: 6 c: 64: 65: 72: 2 e: 66: 62: 69: 27: 29: 3 b
上面的16进制转换信息，继续使用火狐插件hackbar进行转换
转换的结果如下：alert('mulder.fbi');
得到这个结果也就先是放着后面有用，尝试使用burpsuite抓包看看有没有新的发现
发现了Cookie中存在一个URI信息
Cookie: URI=%2Fv%2F81JHPbvyEQ8729161jd6aKQ0N4%2F
将其发送至burpsuite的decode处解码
解码后发现是个路径，/v/81JHPbvyEQ8729161jd6aKQ0N4/
尝试访问下这个路径看看
显示403 说明此目录是真实存在的，这个时候试试上面发现的 alert('mulder.fbi'); 作为访问的文件路径看看
发现可以是直接将文件下载下来，将这个文件拷贝到kali下， 使用命令file查看文件类型
发现是个视频文件，在kali下直接播放，期间未发现什么异常，这个地方花了点时间，然后想想这是取证相关，是否在视频里面存在隐藏的信息
于是通过这个地址的方法判断为是个TrueCrypt加密的文件http://oskarhane.com/hide-encrypted-files-inside-videos/
下载文件：tcsteg2.py然后执行进行判断是否为TrueCrypt加密的文件
剩下的就方便了，既然是知道了存在TrueCrypt加密的文件，那就安装TrueCrypt，我这里就在自己的另一个Windows 10 虚拟机中安装
密码就是上面获取的A!Vu~jtH#729sLA;h4%
成功获取flag
网友评论