[0CTF 2016]piapiapia

[0CTF 2016]piapiapia

代码审计经验不足，以下是我做题的流程：

1、

进入页面发现登录框，没有注册。先尝试了一下sql注入，发现行不通。

之前做过源码泄露的题，试了一下www.zip，就出源码了。

2、开始代码审计

在profile.php文件里发现了unserialize()和file_get_contents()两个函数，一个是反序列化的标识，一个是查看文件内容的危险函数，而如果我们把$profile[photo]改为config.php,就可以查看flag。

尝试往下追踪参数$profile是通过show_profile()函数传入的，在class.php中发现：

	public function show_profile($username) {
		$username = parent::filter($username);   //使用了父类中的filter方法

		$where = "username = '$username'";
		$object = parent::select($this->table, $where);
		return $object->profile;
	}

先查看fileter方法，是个过滤，根据过滤的方法，可以尝试反序列化字符串逃逸。select方法返回一个实例化对象:

	public function filter($string) {
		$escape = array('\'', '\\\\');
		$escape = '/' . implode('|', $escape) . '/';
		$string = preg_replace($escape, '_', $string);

		$safe = array('select', 'insert', 'update', 'delete', 'where');
		$safe = '/' . implode('|', $safe) . '/i';
		return preg_replace($safe, 'hacker', $string);
	}

	public function select($table, $where, $ret = '*') {
		$sql = "SELECT $ret FROM $table WHERE $where";
		$result = mysql_query($sql, $this->link);
		return mysql_fetch_object($result);
	}

到了这一步，这部分利用已经没办法进行下去了。

接着尝试查一下serialize()方法，看看对象是在哪序列化的。

查到了update.php，发现这里用一堆正则过滤我们提交的参数

<?php
	require_once('class.php');
	if($_SESSION['username'] == null) {
		die('Login First');	
	}
	if($_POST['phone'] && $_POST['email'] && $_POST['nickname'] && $_FILES['photo']) {

		$username = $_SESSION['username'];
		if(!preg_match('/^\d{11}$/', $_POST['phone']))
			die('Invalid phone');

		if(!preg_match('/^[_a-zA-Z0-9]{1,10}@[_a-zA-Z0-9]{1,10}\.[_a-zA-Z0-9]{1,10}$/', $_POST['email']))
			die('Invalid email');
		
		if(preg_match('/[^a-zA-Z0-9_]/', $_POST['nickname']) || strlen($_POST['nickname']) > 10)
			die('Invalid nickname');

		$file = $_FILES['photo'];
		if($file['size'] < 5 or $file['size'] > 1000000)
			die('Photo size error');

		move_uploaded_file($file['tmp_name'], 'upload/' . md5($file['name']));
		$profile['phone'] = $_POST['phone'];
		$profile['email'] = $_POST['email'];
		$profile['nickname'] = $_POST['nickname'];
		$profile['photo'] = 'upload/' . md5($file['name']);

		$user->update_profile($username, serialize($profile));
		echo 'Update Profile Success!<a href="profile.php">Your Profile</a>';
	}
	else {

这段跟其他的匹配不一样，还能用数组形式绕过,所以nickname就可以随意输入了。

		if(preg_match('/[^a-zA-Z0-9_]/', $_POST['nickname']) || strlen($_POST['nickname']) > 10)
			die('Invalid nickname');

//这段是数据接收后的流程，在第二个参数奖$profile序列化了
	$user->update_profile($username, serialize($profile));
		echo 'Update Profile Success!<a href="profile.php">Your Profile</a>';
	}
	else {

接着看一下update_profile()函数,传入的值都经过了过滤，

	public function update_profile($username, $new_profile) {
		$username = parent::filter($username);
		$new_profile = parent::filter($new_profile);

		$where = "username = '$username'";
		return parent::update($this->table, 'profile', $new_profile, $where);
	}

根据上述内容，总结一下我们的流程：

先注册一个账号，然后会进入到update.php页面，抓包该nickname

这里注意一下，如果nickname是字符串的话后面跟上";s:5:"photo";s:10:"config.php"就可以，但现在nickname[]是数组，所以要多加一个}。

然后查看profile.php，查看源代码，解码图片，即可。
``
这里注意一下，如果nickname是字符串的话后面跟上";s:5:“photo”;s:10:"config.php"就可以，但现在nickname[]是数组，所以要多加一个}。

然后查看profile.php，查看源代码，解码图片，即可。