1、首先打开题目如下:
2、观察访问的地址信息,发现img信息应该是加密字符串,进行尝试解密,最终得到img名称:555.png,如下:
3、获得文件名称之后,应该想到此处会存在文件包含漏洞,因为传输的参数可控,尝试将img的参数值修改为:index.php,加密后为:TmprMlpUWTBOalUzT0RKbE56QTJPRGN3,然后访问结果获得加密的base64字符串进行解密,获得index.php的源码:
4、对代码进行审计发现存在命令执行漏洞,但是对命令进行了过滤且进行了md5的碰撞,存在命令执行漏洞的地方如下:
5、观察过滤的信息,发现未对dir进行过滤,因此用dir来获取目录信息,md5的碰撞采用fastcoll来进行获取,通过命令:fastcoll.exe -p init.txt -o 1.txt 2.txt生成两个文件信息,然后读取下文件信息:
6、开始尝试读取目录信息,因为需要传递a和b的值,因此采用post进行请求,结果如下:
7、发现不存在flag的相关的信息,那尝试读取根目录下的目录信息,结果如下:
8、获取flag信息,在网上查看资料,了解到未实现对\的过滤,因此采用ca\t%20fl\ag来读取flag的信息,如下:
9、index.php的完整源代码如下:
<?php error_reporting(E_ALL || ~ E_NOTICE); header('content-type:text/html;charset=utf-8'); $cmd = $_GET['cmd']; if (!isset($_GET['img']) || !isset($_GET['cmd'])) header('Refresh:0;url=./index.php?img=TXpVek5UTTFNbVUzTURabE5qYz0&cmd='); $file = hex2bin(base64_decode(base64_decode($_GET['img'])));
$file = preg_replace("/[^a-zA-Z0-9.]+/", "", $file); if (preg_match("/flag/i", $file)) { echo '<img src ="./ctf3.jpeg">'; die("xixi~ no flag"); } else { $txt = base64_encode(file_get_contents($file)); echo "<img src='data:image/gif;base64," . $txt . "'></img>"; echo "<br>"; } echo $cmd; echo "<br>"; if (preg_match("/ls|bash|tac|nl|more|less|head|wget|tail|vi|cat|od|grep|sed|bzmore|bzless|pcre|paste|diff|file|echo| sh|\'|\"|\`|;|,|\*|\?|\\|\\\\|\n|\t|\r|\xA0|\{|\}|\(|\)|\&[^\d]|@|\||\\$|\[|\]|{|}|\(|\)|-|<|>/i", $cmd)) { echo("forbid ~"); echo "<br>"; } else { if ((string)$_POST['a'] !== (string)$_POST['b'] && md5($_POST['a']) === md5($_POST['b'])) { echo `$cmd`; } else { echo ("md5 is funny ~"); } }
?> <html> <style> body{ background:url(./bj.png) no-repeat center center; background-size:cover; background-attachment:fixed; background-color:#CCCCCC; } </style> <body> </body> </html>
|
最新文章
- 张高兴的 UWP 开发笔记:汉堡菜单进阶
- Javascript事件模型系列(二)事件的捕获-冒泡机制及事件委托机制
- 书写高效的CSS
- 关于#define预处理指令的一个问题
- Scala:(2)控制结构
- Ubuntu下安装Pyqt4
- SqlSessionFactoryBuilder、SqlSessionFactory、SqlSession作用域(Scope)和生命周期
- javaIO流--Writer,Reader
- 1068: [SCOI2007]压缩
- Linux-KVM
- C#调用C++的dll EntryPointNotFoundException
- crm--分页
- es数据迁移脚本(python)
- java 工作流项目源码 SSM 框架 Activiti-master springmvc 有手机端功能
- jdbc注册驱动 class.forName()
- 剑指offer——面试题26:判断二叉树B是否为二叉树A的子结构
- 使用R语言和XML包抓取网页数据-Scraping data from web pages in R with XML package
- go语言基础之输入的使用
- NFS4 挂载同主机多个目录
- Hibernate学习第三天(2)(多对多关系映射)
热门文章
- js中的undefined
- Unity中的2D层级显示问题
- NodeJs学习日报day7——简单中间件
- 基于全志A40i开发板——Linux-RT内核应用开发教程(1)
- XCTF练习题---MISC---Training-Stegano-1
- QtWebEngine性能问题
- centos 7.0 下安装FFmpeg软件 过程
- Java多线程——实现
- 基于.Net C# 通信开发-网络调试助手
- 【Java分享客栈】超简洁SpringBoot使用AOP统一日志管理-纯干货干到便秘