[XDCTF 2015]filemanager

最新推荐文章于 2021-04-25 21:35:04 发布

penson by 小乌

最新推荐文章于 2021-04-25 21:35:04 发布

阅读量434

点赞数

本文链接：https://blog.csdn.net/SopRomeo/article/details/108299756

版权

刚开始测试文件上传
结果测试无果

抓个包也看不出啥，扫下目录
/www.tar.gz

主要说下几个代码
upload.php

<?php
/**
 * Created by PhpStorm.
 * User: phithon
 * Date: 15/10/14
 * Time: 下午8:45
 */

require_once "common.inc.php";

if ($_FILES) {
	$file = $_FILES["upfile"];
	if ($file["error"] == UPLOAD_ERR_OK) {
		$name = basename($file["name"]);
		$path_parts = pathinfo($name);

		if (!in_array($path_parts["extension"], array("gif", "jpg", "png", "zip", "txt"))) {
			exit("error extension");
		}
		$path_parts["extension"] = "." . $path_parts["extension"];

		$name = $path_parts["filename"] . $path_parts["extension"];

		// $path_parts["filename"] = $db->quote($path_parts["filename"]);
		// Fix
		$path_parts['filename'] = addslashes($path_parts['filename']);

		$sql = "select * from `file` where `filename`='{$path_parts['filename']}' and `extension`='{$path_parts['extension']}'";

		$fetch = $db->query($sql);

		if ($fetch->num_rows > 0) {
			exit("file is exists");
		}

		if (move_uploaded_file($file["tmp_name"], UPLOAD_DIR . $name)) {

			$sql = "insert into `file` ( `filename`, `view`, `extension`) values( '{$path_parts['filename']}', 0, '{$path_parts['extension']}')";
			$re = $db->query($sql);
			if (!$re) {
				print_r($db->error);
				exit;
			}
			$url = "/" . UPLOAD_DIR . $name;
			echo "Your file is upload, url:
                <a href=\"{$url}\" target='_blank'>{$url}</a><br/>
                <a href=\"/\">go back</a>";
		} else {
			exit("upload error");
		}

	} else {
		print_r(error_get_last());
		exit;
	}
}

在这里插入图片描述
设置了白名单，并且在sql查询之前进行了转义，有了转义，基本上是饶不了的
接着看到rename.php

<?php
/**
 * Created by PhpStorm.
 * User: phithon
 * Date: 15/10/14
 * Time: 下午9:39
 */

require_once "common.inc.php";

if (isset($req['oldname']) && isset($req['newname'])) {
	$result = $db->query("select * from `file` where `filename`='{$req['oldname']}'");
	if ($result->num_rows > 0) {
		$result = $result->fetch_assoc();
	} else {
		exit("old file doesn't exists!");
	}

	if ($result) {

		$req['newname'] = basename($req['newname']);
		$re = $db->query("update `file` set `filename`='{$req['newname']}', `oldname`='{$result['filename']}' where `fid`={$result['fid']}");
		if (!$re) {
			print_r($db->error);
			exit;
		}
		$oldname = UPLOAD_DIR . $result["filename"] . $result["extension"];
		$newname = UPLOAD_DIR . $req["newname"] . $result["extension"];
		if (file_exists($oldname)) {
			rename($oldname, $newname);
		}
		$url = "/" . $newname;
		echo "Your file is rename, url:
                <a href=\"{$url}\" target='_blank'>{$url}</a><br/>
                <a href=\"/\">go back</a>";
	}
}
?>
<!DOCTYPE html>
<html>
<head>
    <title>file manage</title>
    <base href="/">
    <meta charset="utf-8" />
</head>
<h3>Rename</h3>
<body>
<form method="post">
    <p>
        <span>old filename(exclude extension)：</span>
        <input type="text" name="oldname">
    </p>
    <p>
        <span>new filename(exclude extension)：</span>
        <input type="text" name="newname">
    </p>
    <p>
        <input type="submit" value="rename">
    </p>
</form>
</body>
</html>

在这里插入图片描述
由于 common.inc.php对传入的所有的参数都进行转义

但是只转义了一次
而rename.php是先查询存不存在这个文件，再用update更新
由此存在二次注入

update `file` set `filename`='{$req['newname']}', `oldname`='{$result['filename']}' where `fid`={$result['fid']}

怎么才能让webshell成功上传呢
那就是利用二次注入使得扩展名为空，同时要上传相同文件名的webshell，然后再修改成webshell的后缀就能将我们的webshell成功传入

观察他的sql语句
构造闭合
payload

',extension='.txt

上传文件名为上面名字的webshell

再进行一次修改，此时经过update，数据库中扩展名已经变为空
在这里插入图片描述

在这里插入图片描述
别看他后面有个后缀，其实这个是之前sql查询查到的后缀，

在这里插入图片描述
再上传相同名字的webshell

此时服务器已经有了和数据库一样的文件
再进行修改
在这里插入图片描述

在这里插入图片描述
直接getshell，查看flag即可

penson by 小乌

关注

0
点赞
踩
2

收藏

觉得还不错? 一键收藏
0
评论
[XDCTF 2015]filemanager

刚开始测试文件上传结果测试无果抓个包也看不出啥，扫下目录/www.tar.gz主要说下几个代码upload.php<?php/** * Created by PhpStorm. * User: phithon * Date: 15/10/14 * Time: 下午8:45 */require_once "common.inc.php";if ($_FILES) { $file = $_FILES["upfile"]; if ($file["error"] == UP
复制链接

扫一扫