信息系统安全实验——Week 3的入土初体验

Posted 2023-04-02 Coco_T_

tags:

篇首语：本文由小常识网(cha138.com)小编为大家整理，主要介绍了信息系统安全实验——Week 3的入土初体验相关的知识，希望对你有一定的参考价值。

T1.弱密码

题目描述
弱口令没有严格和准确的定义，通常认为容易被别人猜测到或被破解工具破解的口令均为弱口令。
弱密码漏洞，即由于mysql 数据库root账户的密码设置简单，为弱密码，很容易爆破成功。
MySQL数据库的登录密码是典型的弱密码，并且有远程登录的权限，攻击者可以通过 sqlmap
等工具破解出弱密码，登录数据库并且获取数据库当中的随机flag。
tips：注意sqlru库

留心这个网络拓扑图！有重要作用！

第一次接触实验平台，尬了很长时间蚌埠住询问了学姐
学姐说：没有给你靶机吗？虚拟环境生成的时候有一个网络拓扑图啊。。。
我才恍然大悟为什么题目上强调了 " 远程登录的权限 "

首先我们要了解一点点MySQL数据库的基本命令

显示数据库
show databases;
选择数据库
use 数据库名;
显示数据库中的表
show tables;
显示数据表的结构
describe 表名;
显示表中记录
SELECT * FROM 表名；
建库
create databse 库名；
本地登录MySQL数据库
mysql -uroot -p输入root密码进去即可查看。
指定IP地址和端口号远程登录MySQL数据库
命令格式为：mysql -h ip -u root -p -P 3306
例如：mysql -h 1.1.100.3 -u root -p -P 3306
MySQL默认端口号为3306

我们来直接尝试一下接入靶机的MySQL数据库
我就试了一下123456没想到就成功了，不愧是弱口令

让我们看看里面有哪些数据库
根据提示进入sqlru库中寻找flag

显示一下sqlru库中users表的内容，问题就迎刃而解啦~

T2.robots协议

题目描述
robots是网站跟爬虫间的协议，用简单直接的txt格式文本方式告诉对应的爬虫被允许的权限，也就是说robots.txt是搜索引擎中访问网站的时候要查看的第一个文件。
当一个搜索蜘蛛访问一个站点时，它会首先检查该站点根目录下是否存在robots.txt，如果存在，搜索机器人就会按照该文件中的内容来确定访问的范围；如果该文件不存在，所有的搜索蜘蛛将能够访问网站上所有没有被口令保护的页面。
这道题很简单，主要考查对robots协议的理解。如果你真的理解了robots协议，那么你就可以轻松的找到flag。