skyaf

KO | EN

gitlite — search

#python #hacktoberfest #react #typescript #go #android #docker #nodejs #windows #awesome #cli #awesome-list #pytorch #mcp

(★ 15)

CTF PWN解题赛中，PWN题流量监控系统，可快速排查攻击来源、攻击过程，迅速定位可疑相似流量。

skyaf 최신버젼 다운로드

최종 버전 다운로드 (.zip)

// repository documentation

Was this content helpful?

★ 0 (0 ratings)

# Skyaf  [CTF解题赛中，PWN赛题流量监控系统]

## 前言

仓库地址：https://github.com/i0gan/skyaf

CTF大赛中很实用的防止PY工具，国内的PY现象日渐泛滥，在这种趋势下，想要赛选出真正有实力的选手还得看举办方的一个比赛规则的规定，也是举办方与参赛选手的一种对抗。再此呢，我开发了`skyaf`工具，在CTF PWN中十抓九准！曾经实践于2021安洵杯所有pwn题中，大家有兴趣的话，可以看一下当时的流量抓取情况，这里不提供审计结果报告，只提供原始数据。

我也是本来想把这款软件技术写份专利的，但没有时间去搞这玩意儿，知识是拿来分享的，藏着也不行。我呢，目前也逐渐从CTF离开了，就把他公布出来吧，拯救一下国内严重泛滥的PY现象吧。自己之前写过选手博弈举办方的工具，比如[pwn_waf](https://github.com/i0gan/pwn_waf)，当然也配套有AWD批量攻击脚本 [awd_script](https://github.com/i0gan/awd_script)，这两个工具在打ctf awd模式的时候就爽歪歪了，除了安恒举办的awd plus。

## skyaf特点

* 攻击选手信息记录
* 攻击团队信息记录
* 攻击时间记录

* 攻击过程数据记录
* 动态token机制
* 验证token正确或失败记录
* 人性化日志审计

## skyaf原理

`skyaf`工具的思想是源自于我之前写了[pwn_waf](https://github.com/i0gan/pwn_waf)流量抓取工具中的转发模式。在docker内部网络中采用tcp非阻塞select进行转发了一下，并且对数据进行了日志写入。采用人工审计日志以及动态输入token，能够有一定程度防止PY。

选手连接过程：

```
选手 -> docker -> xinitd -> skyaf -> xinitd -> pwn
```

看着有点长，其实真正缩短起来，可以忽略docker和xinitd。

```
选手->skyaf->pwn
```

skyaf是作为选手电脑和pwn服务程序的中介，传输的数据都要经过skyaf，这样skyaf只需吧数据记录下来就可以了。

skyaf不止是进行流量日志记录，且skyaf要求输入参数选手的账号以及选手的名字，若打通了之后，也加入了动态token验证，通过输入正确的token，才能获取正确的flag。

## 编译skyaf

进入到skyaf目录下，输入以下命令

```
make
```

这样就会在当前目录下编译出了skyaf。

## 如何使用skyaf？

### 基于所给的例子来改

我也给了个例子，在`examples/configure/pwnsky/docker/`下，着重看一下ctf.xinetd文件和skyaf.xinetd。这两个文件是xinetd服务的配置文件，相当于跟nginx的CGI一样。将二进制程序的标准IO映射成一个网络端口。ctf.xinetd文件基本就不用改，如下：

ctf.xinetd

```
service ctf
{
    disable = no
    socket_type = stream
    protocol    = tcp
    wait        = no
    user        = root
    type        = UNLISTED
    port        = 8080
    bind        = 0.0.0.0
    server      = /usr/sbin/chroot   
    server_args = --userspec=1000:1000 /home/ctf /pwn
    # safety options
    per_source  = 5 # the maximum instances of this service per source IP address
    rlimit_cpu  = 20 # the maximum number of CPU seconds that the service may use
    rlimit_as  = 100M # the Address Space resource limit for the service
    #access_times = 8:50-17:10
}

```

skyaf.xinetd文件呢，主要包含了个flag信息，其他的也可以不用改，更换flag的话就改这个配置文件。

```
service skyaf
{
    disable = no
    socket_type = stream
    protocol    = tcp
    wait        = no
    user        = root
    type        = UNLISTED
    port        = 80
    bind        = 0.0.0.0
    server      = /skyaf
    server_args = 127.0.0.1 8080 /home/ctf/sky_token d0g3{f2f82dc8faa12b715d90ff8f205a4cf6}
    # safety options
    per_source  = 5 # the maximum instances of this service per source IP address
    rlimit_cpu  = 20 # the maximum number of CPU seconds that the service may use
    rlimit_as  = 100M # the Address Space resource limit for the service
    #access_times = 8:50-17:10
}

```

然后替换一下/home/ctf/pwn为你的附件就ok啦。

### 基于自己的docker文件来增加skyaf

添加一个skyaf.xinetd文件，内容如下

```
service skyaf
{
    disable = no
    socket_type = stream
    protocol    = tcp
    wait        = no
    user        = root
    type        = UNLISTED
    port        = 80 # 这里是填写是你原来 ctf.xinetd 文件中的服务端口，也就是你之前内网所绑定服务的端口
    bind        = 0.0.0.0
    server      = /skyaf
    server_args = 127.0.0.1 8080 /home/ctf/sky_token d0g3{f2f82dc8faa12b715d90ff8f205a4cf6}
    # server_args这里， 第一个参数是 转发的目标ip， 第二个是转发的目标端口，第三个是token生成路径，最后一个是flag，我这里已经写死了，flag当然也可以设置为动态flag，只不过，需要适配ctf平台。
    # safety options
    per_source  = 5 # the maximum instances of this service per source IP address
    rlimit_cpu  = 20 # the maximum number of CPU seconds that the service may use
    rlimit_as  = 100M # the Address Space resource limit for the service
    #access_times = 8:50-17:10
}
```

skyaf.xinetd文件呢，主要关注点有两个，一个是port，另一个是server_args，port这里是填写是你原来 ctf.xinetd 文件中的服务端口，也就是你之前内网所绑定服务的端口。

```
port        = 80
```

我上面默认就是80端口，因为我把80端口通过docker给穿透出去了。

server_args这里

```
server_args = 127.0.0.1 8080 /home/ctf/sky_token d0g3{f2f82dc8faa12b715d90ff8f205a4cf6}
```

填写的内容稍许多一些， 第一个参数是 转发的目标ip， 第二个是转发的目标端口，第三个是token生成路径，最后一个是flag，我这里已经写死了，flag当然也可以设置为动态flag，只不过，需要适配ctf平台。把`d0g3{f2f82dc8faa12b715d90ff8f205a4cf6}` 改成你的flag，主要包含了个flag信息，其他的也可以不用改，如果夹目录不一样，那么就修改一下token生产目录的用户名称，我这里是ctf，也有可能你那里是pwn，那么就改成`/home/pwn/sky_token`。

更换flag的话就改这个配置文件。将编译好skyaf文件复制到docker文件目录下，且赋予可执行权限。

修改你自己的（ctf.xinetd，也有可能是pwn.xinetd）配置文件中的端口为8080，然后在docker启动容器的时候，将其内部的80映射为外部其他端口即可。比如说，我写了个docker-compose.yml。

```
version: '3'
services:
  axb_awd_pwn_runner:
    image: axb_pwn_pwnsky
    build: .
    container_name: con_axb_pwn_pwnsky
    ports:
      - 20135:80
```

穿透出去的也就是20135端口了，外部通过访问 20135就可以访问该题了。

### 日志存放路径

所抓取的日志是放在./skyaf_data下，在skyaf `makefile`中有定义，不出意外的话是在`/skyaf_data`下，里面的文件就是抓取到的攻击者所攻击的日志了。

## 如何对skyaf已抓取到日志流量进行审计？

这里给的例子是，2021安洵杯比赛中所抓取到的日志流量，在examples/traffic/axb2021/unziped/下，该目录下是解压过以及处理过的，向获取未处理过的文件，请查看examples/traffic/axb2021/zip_download/ 目录下的文件。

抓取到的日志流量都比较多，采用一定手段将其无用的日志文件筛选掉。

1. 筛选提交正确flag的日志文件
2. 根据大小排序，依次人工审计流量 【当然这里也有别人采用文件对比的方式进行筛选，但我感觉人工审计比较准确一些】

### 筛选出提交正确的日志文件

一下命令是需要进入到出现一大批日志文件的目录。

赛选出统计提交对日志文件的总数

```
find . | xargs grep -i "right" | wc -l
```

赛选出提交对的日志文件，并移动到 data目录下

```
mkdir -p data && find . | xargs grep  -l "right" 2>0 | xargs -i cp -L {} ./data
```

进入到筛选出来提交正确的日志目录，在电脑上采用文件大小进行排序，然后两两依次向后对比，主要对比就是所交互的逻辑以及所交互的数据。

#### 查看攻击团队基本信息

```bash
for f in `find . -name "*.log"` 
do 
   echo ""
   echo "文件名称：$f"  # 去掉的话可查看到相应的文件名称
   echo "信息："
   awk 'NR==1 || NR==4 || NR==6' $f
done
```

以上脚本可以自己改一下方便统计，比如只查看攻击者名称

```
for f in `find . -name "*.log"` ;do;awk 'NR==6' $f;done
```

只查看攻击队伍

```
for f in `find . -name "*.log"` ;do;awk 'NR==4' $f;done
```

这样就方便我们统计啦！

下面是一个提交正确的日志内容，之后所要做的工作就是流量审计了。

```
// Date: 2021-11-27 03:22:56
// SKYCTF PWN WAF
// Deved By I0gan
team_name: 0RAYS

user_name: X1ng

<-------------------- read ------------------>
aa%17$lxaaaaaaaaaaaaaaaa

r_0 = "\x61\x61\x25\x31\x37\x24\x6c\x78\x61\x61\x61\x61\x61\x61\x61\x61\x61\x61\x61\x61\x61\x61\x61\x61\x0a"

<-------------------- write ----------------->
aa555b73acd9dcaaaaaaaaaaaaaaaa
¿1Þªr Ú¬s[U--+--

w_0 = "\x61\x61\x35\x35\x35\x62\x37\x33\x61\x63\x64\x39\x64\x63\x61\x61\x61\x61\x61\x61\x61\x61\x61\x61\x61\x61\x61\x61\x61\x61\x0a\xbf\x31\xde\xaa\x92\x72\x92\xa0\xda\xac\x73\x5b\x55\x2d\x2d\x2b\x2d\x2d\x0a"

<-------------------- read ------------------>
/bin/shaaaaaaaaaaaaaaaa¿1ÞªrÛ¬s[UÛ¬s[U$Û¬s[UØ¬s[U

r_1 = "\x2f\x62\x69\x6e\x2f\x73\x68\x00\x61\x61\x61\x61\x61\x61\x61\x61\x61\x61\x61\x61\x61\x61\x61\x61\x00\xbf\x31\xde\xaa\x92\x72\x92\x00\x00\x00\x00\x00\x00\x00\x00\x04\xdb\xac\x73\x5b\x55\x00\x00\x03\xdb\xac\x73\x5b\x55\x00\x00\x24\xdb\xac\x73\x5b\x55\x00\x00\x10\xd8\xac\x73\x5b\x55\x00\x00\x0a"

<-------------------- write ----------------->
/bin/sh
w_1 = "\x2f\x62\x69\x6e\x2f\x73\x68"

<-------------------- read ------------------>
cat sky_token

r_2 = "\x63\x61\x74\x20\x73\x6b\x79\x5f\x74\x6f\x6b\x65\x6e\x0a"

<-------------------- write ----------------->
2841E406060DE90F
w_2 = "\x32\x38\x34\x31\x45\x34\x30\x36\x30\x36\x30\x44\x45\x39\x30\x46"

<-------------------- read ------------------>
exit
logger: chall env released
logger: sky_token_is_right

r_3 = "\x65\x78\x69\x74\x0a"

```

上面的的数据方向是：

write：二进制服务程序->选手

read：选手-> 二进制服务程序

提交正确token的日志中都会有`sky_token_is_right`字样

里面所显示的反斜杠hex字符串是数据hex字符串，方便对一些不可显示字符进行对比。

### 判断依据

堆栈题型：一般堆栈题型都逻辑，交互逻辑都比较单一，主要对比的是 数据内容，ip地址，提交时间，来进行综合判断。

堆类型：堆类型一般exp交互过程比较多，主要是先对比交互逻辑，依次是数据内容，ip地址，提交时间。

其他类型：其他类型的题也都差不多，从4个点进行对比：交互逻辑、数据内容、ip地址、提交时间。

skyaf

skyaf 최신버젼 다운로드

오늘의 추천 프로젝트

Was this content helpful?

Recent Feedback

skyaf

skyaf 최신버젼 다운로드

오늘의 추천 프로젝트

Was this content helpful?

Recent Feedback

Download README