![](https://casear.net/static/img/53ba9b06e3bdb49c5e6422e7d31ebef4.image.webp)


# burpsuite ca证书安装
使用Burp Suite做安全测试时，要抓取HTTPS的包的话，是需要有Burp Suite的CA证书的，否则浏览器不支持。<br>
首先要把Burp Suite的CA证书下载到本地<br>
Burp Suite是自带CA证书的，有两种方法把CA证书下载到本地
## 通过浏览器访问https://burp，下载证书<br>
  -     先使用FoxyProxy启用代理，让Burp Suite能抓到浏览器的数据包才能访问https://burp
       ![image.png](/static/img/9d8457cae24a6ad3e2e91901cd72e78d.image.webp)
  -    点击 `CA Certificate`即可下载
      ![](https://casear.net/static/img/53ba9b06e3bdb49c5e6422e7d31ebef4.image.webp)
## 第二种方法则是直接从Burp Suite中导出证书
点开代理设置<br>
![image.png](/static/img/d73d6495b7c6e2e53dfb1761bf67c6cf.image.webp)<br>
选择导入/导出ca证书选项
![image.png](/static/img/2519d93752a208e00f56ea0acdc24ffc.image.webp)<br>
选择导出dra格式的证书<br>

![image.png](/static/img/0c8a5738b02b172e748cc314baec461e.image.webp)<br>
接下来就是选择导出路径和文件名了<br>
![](https://casear.net/static/img/b16f895291fd00be4faa1107ca2d4e9f.image.webp)

## 接下来就是在浏览器中导入证书了
在浏览器设置中搜索证书
![image.png](/static/img/a156a4fc6c19c8409c35e0cd9b7f3c77.image.webp)
打开证书管理器
![image.png](/static/img/9f589e79db47403185344e4da4e2776b.image.webp)
选择导入并信任证书即可
![image.png](/static/img/e2e6169da28a28d94ae905a0328f1f49.image.webp)

导入成功后再抓https的包就不会报错了

burpsuite ca证书安装

轮询关闭进程
如果在死循环中不断查找任务管理器进程，发现它在运行就把它关闭，就可以做一个小小
的“病毒”。代码很简单，基本上一下子就能看懂。一开始我没有加 Sleep，然后 CPU 使用
率飚的非常高，加了之后基本上对电脑性能没有影响了。

```sh
$process_name = "taskmgr"
while ($true) {
 $processes = Get-Process
 if ($processes.Name -contains $process_name) {
 Get-Process $process_name|Stop-Process
 }
 else {
 Start-Sleep -Milliseconds 500
 }

}
```

powerShell script

# Palo Alto Networks PAN-OS关键安全漏洞详情



## 漏洞概述
- **CVE编号**: CVE-2024-3400
- **CVSS得分**: 10.0（最高严重性）
- **受影响版本**: PAN-OS 10.2, PAN-OS 11.0, PAN-OS 11.1
- **漏洞组合**: 两个漏洞的组合，导致未经验证的远程shell命令执行

## 漏洞细节
1. **第一个漏洞**:
   - GlobalProtect服务在存储会话ID前未充分验证，允许攻击者存储一个空文件。

2. **第二个漏洞**:
   - 将文件名作为命令的一部分，认为文件是系统生成的。

## 攻击利用
- **Operation MidnightEclipse**: 利用该漏洞的两阶段攻击活动名称。
- **第一阶段**: 发送精心制作的shell命令代替有效的会话ID，创建一个空文件，文件名由攻击者选择并包含嵌入式命令。
- **第二阶段**: 一个计划的系统作业使用攻击者提供的文件名，导致攻击者命令以更高权限执行。

## 补丁和更新
- Palo Alto Networks已发布针对CVE-2024-3400的补丁，包括主要版本和多个维护版本。
  - **补丁版本**:
    - PAN-OS 10.2.9-h1
    - PAN-OS 10.2.8-h3
    - PAN-OS 10.2.7-h8
    - PAN-OS 10.2.6-h3
    - PAN-OS 10.2.5-h6
    - PAN-OS 10.2.4-h16
    - PAN-OS 10.2.3-h13
    - PAN-OS 10.2.2-h5
    - PAN-OS 10.2.1-h2
    - PAN-OS 10.2.0-h3
    - PAN-OS 11.0.4-h1
    - PAN-OS 11.0.4-h2
    - PAN-OS 11.0.3-h10
    - PAN-OS 11.0.2-h4
    - PAN-OS 11.0.1-h4
    - PAN-OS 11.0.0-h3
    - PAN-OS 11.1.2-h3
    - PAN-OS 11.1.1-h1
    - PAN-OS 11.1.0-h3

## 相关组织和措施
- **Bishop Fox**: 发现了绕过设备遥测功能的新方法。
- **Volexity**: 披露了攻击者使用cron作业和UPSTYLE后门的初始持续机制。
- **CISA（美国网络安全和基础设施安全局）**: 将该漏洞添加到其已知漏洞目录中，并命令联邦机构在2024年4月19日前确保设备安全。

## 暴露风险
- **Shadowserver基金会**: 报告约有22,542台暴露在互联网上的防火墙设备可能存在CVE-2024-3400漏洞。
  - **主要受影响地区**: 美国、日本、印度、德国、英国、加拿大、澳大利亚、法国和中国。

## 用户建议
- 鉴于CVE-2024-3400已被广泛利用，并且存在概念验证(PoC)漏洞利用代码，建议用户尽快应用热修复程序以防范潜在威胁。

# CVE-2024-3400漏洞安全建议与现状

## 漏洞滥用情况
- **CVE编号**: CVE-2024-3400
- **滥用情况**: 已被大量滥用
- **PoC代码**: 存在概念验证(Proof of Concept)漏洞利用代码

## 官方建议与措施
- **建议**: 用户应尽快采取措施应用热修复程序以防范潜在威胁。
- **CISA指令**: 美国网络安全和基础设施安全局（CISA）已将该漏洞添加到其已知漏洞目录中，并命令联邦机构在2024年4月19日前确保其设备安全。

## 受影响设备概览
- **Shadowserver基金会信息**: 约有22,542台暴露在互联网上的防火墙设备可能存在CVE-2024-3400漏洞。
- **统计日期**: 截至2024年4月18日
- **主要受影响地区**:
  - 美国
  - 日本
  - 印度
  - 德国
  - 英国
  - 加拿大
  - 澳大利亚
  - 法国
  - 中国

## 行动呼吁
- 用户和相关组织应立即评估其网络中的PAN-OS设备，并根据Palo Alto Networks提供的指导应用必要的补丁和修复程序。
- 联邦机构应遵循CISA的指令，确保在规定期限前完成设备的安全性更新。

[原文地址](https://thehackernews.com/2024/04/palo-alto-networks-discloses-more.html)

Palo Alto Networks 披露受攻击的 PAN-OS 关键漏洞的更多细节

# JavaScript Attacks (前端攻击)
The attacks in this section are designed to help you learn about how JavaScript is used in the browser and how it can be manipulated. The attacks could be carried out by just analysing network traffic, but that isn't the point and it would also probably be a lot harder.<br>
> 本章节中的攻击旨在帮助您了解如何在浏览器中使用 JavaScript 以及如何对其进行操作，攻击可以通过分析网络流量来实现，但这不是本章节的重点而且可能要困难得多。<br>

Simply submit the phrase "success" to win the level. Obviously, it isn't quite that easy, each level implements different protection mechanisms, the JavaScript included in the pages has to be analysed and then manipulated to bypass the protections.<br>
> 只需提交单词 “success” 即可攻击成功，显然这并不是那么容易。每个级别都实现了不同的保护机制，页面中包含的JavaScript必须经过分析，然后才能绕过保护。<br>


![image.png](/static/img/2fbfdc136f7dd0e3c6c39454a087ee8e.image.webp)



# Low
## 源码
```html
	<form name="low_js" method="post">
		<input type="hidden" name="token" value="" id="token" />
		<label for="phrase">Phrase</label> 
                <input type="text" name="phrase" value="ChangeMe" id="phrase" />
		<input type="submit" id="send" name="send" value="Submit" />
	</form><script>

/*
MD5 code from here
https://github.com/blueimp/JavaScript-MD5
这里是一个md5编码的函数
*/

!function(n){"use strict";function t(n,t){var r=(65535&n)+(65535&t);return(n>>16)+(t>>16)+(r>>16)<<16|65535&r}function r(n,t){return n<<t|n>>>32-t}function e(n,e,o,u,c,f){return t(r(t(t(e,n),t(u,f)),c),o)}function o(n,t,r,o,u,c,f){return e(t&r|~t&o,n,t,u,c,f)}function u(n,t,r,o,u,c,f){return e(t&o|r&~o,n,t,u,c,f)}function c(n,t,r,o,u,c,f){return e(t^r^o,n,t,u,c,f)}function f(n,t,r,o,u,c,f){return e(r^(t|~o),n,t,u,c,f)}function i(n,r){n[r>>5]|=128<<r%32,n[14+(r+64>>>9<<4)]=r;var e,i,a,d,h,l=1732584193,g=-271733879,v=-1732584194,m=271733878;for(e=0;e<n.length;e+=16)i=l,a=g,d=v,h=m,g=f(g=f(g=f(g=f(g=c(g=c(g=c(g=c(g=u(g=u(g=u(g=u(g=o(g=o(g=o(g=o(g,v=o(v,m=o(m,l=o(l,g,v,m,n[e],7,-680876936),g,v,n[e+1],12,-389564586),l,g,n[e+2],17,606105819),m,l,n[e+3],22,-1044525330),v=o(v,m=o(m,l=o(l,g,v,m,n[e+4],7,-176418897),g,v,n[e+5],12,1200080426),l,g,n[e+6],17,-1473231341),m,l,n[e+7],22,-45705983),v=o(v,m=o(m,l=o(l,g,v,m,n[e+8],7,1770035416),g,v,n[e+9],12,-1958414417),l,g,n[e+10],17,-42063),m,l,n[e+11],22,-1990404162),v=o(v,m=o(m,l=o(l,g,v,m,n[e+12],7,1804603682),g,v,n[e+13],12,-40341101),l,g,n[e+14],17,-1502002290),m,l,n[e+15],22,1236535329),v=u(v,m=u(m,l=u(l,g,v,m,n[e+1],5,-165796510),g,v,n[e+6],9,-1069501632),l,g,n[e+11],14,643717713),m,l,n[e],20,-373897302),v=u(v,m=u(m,l=u(l,g,v,m,n[e+5],5,-701558691),g,v,n[e+10],9,38016083),l,g,n[e+15],14,-660478335),m,l,n[e+4],20,-405537848),v=u(v,m=u(m,l=u(l,g,v,m,n[e+9],5,568446438),g,v,n[e+14],9,-1019803690),l,g,n[e+3],14,-187363961),m,l,n[e+8],20,1163531501),v=u(v,m=u(m,l=u(l,g,v,m,n[e+13],5,-1444681467),g,v,n[e+2],9,-51403784),l,g,n[e+7],14,1735328473),m,l,n[e+12],20,-1926607734),v=c(v,m=c(m,l=c(l,g,v,m,n[e+5],4,-378558),g,v,n[e+8],11,-2022574463),l,g,n[e+11],16,1839030562),m,l,n[e+14],23,-35309556),v=c(v,m=c(m,l=c(l,g,v,m,n[e+1],4,-1530992060),g,v,n[e+4],11,1272893353),l,g,n[e+7],16,-155497632),m,l,n[e+10],23,-1094730640),v=c(v,m=c(m,l=c(l,g,v,m,n[e+13],4,681279174),g,v,n[e],11,-358537222),l,g,n[e+3],16,-722521979),m,l,n[e+6],23,76029189),v=c(v,m=c(m,l=c(l,g,v,m,n[e+9],4,-640364487),g,v,n[e+12],11,-421815835),l,g,n[e+15],16,530742520),m,l,n[e+2],23,-995338651),v=f(v,m=f(m,l=f(l,g,v,m,n[e],6,-198630844),g,v,n[e+7],10,1126891415),l,g,n[e+14],15,-1416354905),m,l,n[e+5],21,-57434055),v=f(v,m=f(m,l=f(l,g,v,m,n[e+12],6,1700485571),g,v,n[e+3],10,-1894986606),l,g,n[e+10],15,-1051523),m,l,n[e+1],21,-2054922799),v=f(v,m=f(m,l=f(l,g,v,m,n[e+8],6,1873313359),g,v,n[e+15],10,-30611744),l,g,n[e+6],15,-1560198380),m,l,n[e+13],21,1309151649),v=f(v,m=f(m,l=f(l,g,v,m,n[e+4],6,-145523070),g,v,n[e+11],10,-1120210379),l,g,n[e+2],15,718787259),m,l,n[e+9],21,-343485551),l=t(l,i),g=t(g,a),v=t(v,d),m=t(m,h);return[l,g,v,m]}function a(n){var t,r="",e=32*n.length;for(t=0;t<e;t+=8)r+=String.fromCharCode(n[t>>5]>>>t%32&255);return r}function d(n){var t,r=[];for(r[(n.length>>2)-1]=void 0,t=0;t<r.length;t+=1)r[t]=0;var e=8*n.length;for(t=0;t<e;t+=8)r[t>>5]|=(255&n.charCodeAt(t/8))<<t%32;return r}function h(n){return a(i(d(n),8*n.length))}function l(n,t){var r,e,o=d(n),u=[],c=[];for(u[15]=c[15]=void 0,o.length>16&&(o=i(o,8*n.length)),r=0;r<16;r+=1)u[r]=909522486^o[r],c[r]=1549556828^o[r];return e=i(u.concat(d(t)),512+8*t.length),a(i(c.concat(e),640))}function g(n){var t,r,e="";for(r=0;r<n.length;r+=1)t=n.charCodeAt(r),e+="0123456789abcdef".charAt(t>>>4&15)+"0123456789abcdef".charAt(15&t);return e}function v(n){return unescape(encodeURIComponent(n))}function m(n){return h(v(n))}function p(n){return g(m(n))}function s(n,t){return l(v(n),v(t))}function C(n,t){return g(s(n,t))}function A(n,t,r){return t?r?s(t,n):C(t,n):r?m(n):p(n)}"function"==typeof define&&define.amd?define(function(){return A}):"object"==typeof module&&module.exports?module.exports=A:n.md5=A}(this);


	function rot13(inp) {
		return inp.replace(/[a-zA-Z]/g, function(c) {
			return String.fromCharCode((c <= "Z" ? 90 : 122) >= (c = c.charCodeAt(0) + 13) ? c : c - 26);
		});
	}

	function generate_token() {
		var phrase = document.getElementById("phrase").value;
		document.getElementById("token").value = md5(rot13(phrase));
	}

	generate_token();
</script>
```
## 漏洞复现

1. 在页面的源代码中发现插入的js脚本，发现是获取了 ID为`phrase `的输入框的值，
   然后再使用md5进行编码，后赋值给一个ID`token`，来验证token

   最后一行中的`generate_token();`代表着加载完就调用函数，所以这个等级很简单


    ![image.png](/static/img/95118c3896acd59716438b426cdabd96.image.webp)
    先在输入框中输入"success",然后再在控制台调用函数重新编码覆盖旧的token即可
2. 使用burpsuite抓包观察一下
    
   ![image.png](/static/img/362598536e98b0e0e6b0c48c51de93b0.image.webp)
   
    ![image.png](/static/img/6f00f1aab6597c712c458e15ef379858.image.webp)
    ```
    token=8b479aefbd90795395b3e7089ae0dc09&phrase=success&send=Submit
    ```
    发现两次发送的token都一样，这时候观察源码发现有个将value值编码并赋值的函数
    `generate_token();`
    直接在浏览器控制台手动调用函数并传参为要加密的字符
    
    ![image.png](/static/img/1863150548edcfa3ed7e3e8b29ca23a7.image.webp)

    得到token后在burpsuite中修改数据为更新后的token
    
    ![image.png](/static/img/737e84c6e3835a8d29bdb2acfa139162.image.webp)
    最后在返回的第77行得到了成功提示
    
    
# Medium
## 源码
```html
	<form name="low_js" method="post">
		<input type="hidden" name="token" value="" id="token" />
		<label for="phrase">Phrase</label> 
                <input type="text" name="phrase" value="ChangeMe" id="phrase" />
		<input type="submit" id="send" name="send" value="Submit" />
	</form><script src="../../vulnerabilities/javascript/source/medium.js"></script>
```
## 漏洞复现
发现form表单下并没有像 Low 等级中直接写出JavaScript代码，而且引用了一个文件
```js
function do_something(e) {
	for (var t = "", n = e.length - 1; n >= 0; n--) 
        t += e[n];
	return t
}
setTimeout(function() {
	do_elsesomething("XX")
}, 300);

function do_elsesomething(e) {
	document.getElementById("token")
		.value = do_something(e + document.getElementById("phrase")
			.value + "XX")
}
```
生成 token 的函数被放在单独的js文件中，生成的方式是将 "XX" + phrase 变量的值 + "XX"字符串反转作为 token。
```js
do_something(e + document.getElementById("phrase").value + "XX")
```
![](https://casear.net/static/img/385f8e27c5086e2abb6a432eb632ff2c.image.webp)
在控制台中将这段加密部分打印出来

再用burpsuite查看传过去的token

![image.png](/static/img/49a36a0cdf224f15fa7dfb5c54a9a942.image.webp)

解题思路和上一等级一样，调用函数生成新的token，再进行发送即可通关

![image.png](/static/img/4274c1462f9ba884a61205a78b5def7f.image.webp)

![image.png](/static/img/78111552ec10b45eae2c2429f9bc7c92.image.webp)

# High
## 源码
```html
	<form name="low_js" method="post">
		<input type="hidden" name="token" value="" id="token" />
		<label for="phrase">Phrase</label> 
                <input type="text" name="phrase" value="ChangeMe" id="phrase" />
		<input type="submit" id="send" name="send" value="Submit" />
	</form><script src="../../vulnerabilities/javascript/source/high.js"></script>
        
```
## 漏洞复现

![image.png](/static/img/762ec9481b8420d91485582a5027be85.image.webp)
继续查看引入的js文件，发现被混淆过，使用[还原工具](http://deobfuscatejavascript.com/#)得到源码
```js

function do_something(e) {
    for (var t = "", n = e.length - 1; n >= 0; n--) t += e[n];
    return t
}
function token_part_3(t, y = "ZZ") {
    document.getElementById("token").value = sha256(document.getElementById("token").value + y)
}
function token_part_2(e = "YY") {
    document.getElementById("token").value = sha256(e + document.getElementById("token").value)
}
function token_part_1(a, b) {
    document.getElementById("token").value = do_something(document.getElementById("phrase").value)
}
document.getElementById("phrase").value = "";
setTimeout(function() {
    token_part_2("XX")
}, 300);
document.getElementById("send").addEventListener("click", token_part_3);
token_part_1("ABCD", 44);
```
由于执行 `token_part_2("XX")` 有 300 毫秒延时，所以 `token_part_1("ABCD", 44)` 会被先执行，而 `token_part_3()` 则是和提交按钮的 `click` 事件一起执行。

攻击方式#
和前面的思路差不多，依次执行 `token_part_1("ABCD", 44)` 和 `oken_part_2("XX")`，最后点击提交执行 `token_part_3()`。


![image.png](/static/img/a634701a98a681955271104b06012075.image.webp)

![image.png](/static/img/be134335258e6d30661f66528060bdf7.image.webp)

# Impossible

![image.png](/static/img/a7493708024d89e06b97b917afdfa083.image.webp)

:::tip{title="提示"}
你永远无法相信来自用户的任何信息，也无法阻止用户对其进行干扰，因此不存在不可能达到的水平。
:::

DVWA靶场--JavaScript Attacks (前端攻击)

# 强网杯2023 谍影重重2.0 wp
## 题目描述
> 小明是某间谍组织的一员，他终日监听着我国某重点军事基地的飞行动态，妄图通过分析参数找到我国飞的最快的飞机。我国费尽千辛万苦抓住了他，并在他的电脑上找到了一段他监听的信息，请分析出这段信息中飞的最快的飞机。
格式为flag{md5(ICAO CODE of the fastest plane)}<br>
> 附件内所涉及的信息均为公开信息，题目描述也均为虚构，切勿当真



:::tip{title="提示"}
文末有下载地址
:::
## 使用`tshark - r` 文件名打印流量信息
![image.png](https://casear.net/static/img/b720a5b6d227a7f88f4c3e931e8847f3.image.webp)
发现都是tcp协议的流量

## 然后导出流量
命令：
```shell
tshark -r [流量包文件] -Y "tcp" -T fields -e tcp.segment_data > [导出的文件名]
```

![image.png](/static/img/9bcf16afd89e34105949292dbadd2d5f.image.webp)


:::warning{title="注意"}
我习惯使用root用户来操作，在平时使用时，请尽量使用普通用户来运行
:::
## 分析导出的流量

这里使用了[kimi](https://kimi.moonshot.cn/)的国内免费ai来进行提问<br>
得知ADS—B可以传输速度信息
![image.png](/static/img/6ec2b2b92c06ca330b7bfc1d31c5cb02.image.webp)

`cat`一下导出的流量<br>

![image.png](/static/img/8b78da6e2076ce0ea216fbdd02b0ec00.image.webp)
使用python的`pyModeS`来解析并筛选
```python
import re  # 导入正则表达式模块，用于匹配和处理字符串
import pyModeS  # 导入pyModeS库，用于解码Mode S信号

speed = []  # 创建一个空列表，用于存储包含"Speed"的行
numbers = []  # 创建一个空列表，用于存储从文本中提取的数字

# 打开tcp.txt文件并读取所有行
with open(r"/root/Desktop/demo.txt", "r") as x:
    lines = x.readlines()  # 读取文件的所有行，并存储在lines列表中

# 创建或清空demo_output.txt文件用于写入解码后的结果
with open(r"/root/Desktop/demo_output.txt", "w", encoding="utf-8") as output_file:
    for i in lines:  # 遍历lines列表中的每一行
        # 检查行的长度是否为47个字符
        if len(i) == 47:
            try:
                # 尝试使用pyModeS库解码特定部分的内容
                # 注意：这里假设pyModeS库有decoder模块和tell方法，实际情况可能不同
                decoded_output = pyModeS.decoder.tell(
                    i[18:]
                )  # 解码从第18个字符开始到最后的内容
                # 将解码后的结果写入demo_output.txt文件
                output_file.write(str(decoded_output) + "\n")
            except Exception as e:
                # 如果解码过程中出现错误，将错误信息写入demo_output.txt文件
                output_file.write("错误译码行:" + str(e) + "\n")

# 再次打开demo_output.txt文件，这次用于读取解码后的结果
with open(
    r"/root/Desktop/demo_output.txt", "r", encoding="utf-8", errors="ignore"
) as file:
    for line_number, line in enumerate(file, 1):  # 遍历文件的每一行，并为每一行编号
        if "Speed" in line:
            # 如果行包含"Speed"，则将该行添加到speed列表中
            speed.append(line.strip())
            # 使用正则表达式找到该行中所有的数字
            found_numbers = re.findall(r"\d+", line)
            # 将找到的数字转换为整数并添加到numbers列表中
            numbers.extend([int(num) for num in found_numbers])
            # 再次将处理后的行添加到speed列表中（这里重复添加，可能是代码逻辑上的错误）

# 检查numbers列表是否非空
if numbers:
    # 找出numbers列表中的最大数，并将其转换为字符串
    max_number = str(max(numbers))

# 将最大数写入到test.txt文件中
with open("/root/Desktop/test.txt", "w", encoding="utf-8") as f:
    # 写入最大数到test.txt文件，并在末尾添加换行符
    f.write(max_number + "\n")

```
    筛选完后得出最大速度为`Speed: 371 knots`

![image.png](/static/img/f50b9e9d7d8febc8de6ec2c9b88cb413.image.webp)

## 获取flag值
解码后的最快速度的数据块为
```
                ICAO address: 79a05e 
             Downlink Format: 17 
                    Protocol: Mode-S Extended Squitter (ADS-B) 
                        Type: Airborne velocity 
                       Speed: 371 knots
                       Track: 213.3474959459136 degrees
               Vertical rate: -64 feet/minute
                        Type: Ground speed 
```
再把`ICAO address MD5`一下就得到了`fla`g，后来发现这个并不对，要把`ICAO address`先大写再`MD5`后得到：
```flag
flag{4cf6729b9bc05686a79c1620b0b1967b}
```
[数据包下载地址](https://www.lanzouw.com/ilqKJ1t3f4ng)

强网杯2023 谍影重重2.0 wp

script

msvalidate.01

link

如果你有机会到好望角，请在海边的石头上刻下我的故事👨‍💻