Upload To rce 安洵杯2019 这不是上传

Posted -zhong

tags:

篇首语:本文由小常识网(cha138.com)小编为大家整理,主要介绍了Upload To rce 安洵杯2019 这不是上传相关的知识,希望对你有一定的参考价值。

0X0A
首先我们大致审计一下 三个源码文件 
upload.php  上传页面 inlculde了helper extend了里面的helper 类型 大致是一个上传文件的函数
判断文件是否上传成功 如果失败则重新上传
再来看看helper里面的函数 看到了经典的反序列化magic _destruct()调用了 view_files 方法
view_file里面file_get_content函数可以造成rce或者任意文件读取
那么调用在哪里呐??
https://www.kancloud.cn/webxyl/php_oop/68881
我们看到show.php的unserialize
str_replace
因为private 私有变量表示前面有* 但是你burp发过去的包进数据库时候没有经过数据处理 但是出来的时候经过了
数据的处理的 所以我们进去的时候也要假装经过数据处理过
函数介绍
https://www.w3school.com.cn/php/func_string_substr.asp

0x01
$_FILES[]
这里调用的$_FILES[$INPUT]前面定义成了file
PHP编程语言中的常见的$_FILES系统函数用法有:
$_FILES[‘myFile‘][‘name‘] 显示客户端文件的原名称。
$_FILES[‘myFile‘][‘type‘] 文件的 MIME 类型,例如"image/gif"。
$_FILES[‘myFile‘][‘size‘] 已上传文件的大小,单位为字节。
$_FILES[‘myFile‘][‘tmp_name‘] 储存的临时文件名,一般是系统默认。
$_FILES[‘myFile‘][‘error‘] 该文件上传相关的错误代码。一下为不同代码代表的意思:
0x02
getimagesize
getimagesize() 函数用于获取图像大小及相关信息,成功返回一个数组,失败则返回 FALSE 并产生一条
<?php
list($width, $height, $type, $attr) = getimagesize("youj-logo.png");
echo "宽度为:" . $width;
echo "高度为:" . $height;
echo "类型为:" . $attr;
?>
0x03
https://www.w3school.com.cn/php/func_string_substr.asp
substr
substr(string,start,length)
strrchr
strrchr() 函数查找字符串在另一个字符串中最后一次出现的位置,并返回从该位置到字符串结尾的所有字符。
https://www.w3school.com.cn/php/func_string_strrchr.asp
<?php
echo strrchr("2.jpg",".");>>.jpg
?>
0x04
implode explode
分割数组为字符串
0x05
fetch_assoc
函数从结果集中取得一行作为关联数组。

 题目源码 github已经开源 这里我们主要注意

技术图片

 

在这里造成了反序列化的产生 调用了 helper里面的_des函数不必多说

技术图片

 

上面说的很清除了 从这里看出来进入数据库的

 只有title是可控制的 其余后缀都加了后嘴名称 所以我们通过title造成file_get_conten漏洞任意操作

 技术图片

 

正常上传图片的sql语句

正常上传图片的sql语句为:

INSERT INTO images (`title`,`filename`,`ext`,`path`,`attr`) VALUES(TIM截图20191102114857,f20c76cc4fb41838.jpg,jpg,pic/f20c76cc4fb41838.jpg,a:2:{s:5:"width";i:1264;s:6:"height";i:992;})

 

 paloady构造

<?php
class helper {
    protected $ifview = True; 
    protected $config = "";
}
$a = new helper();
$b=serialize($a)
echo $b
?>

技术图片

 

 技术图片

 

技术图片

 

以上是关于Upload To rce 安洵杯2019 这不是上传的主要内容,如果未能解决你的问题,请参考以下文章

刷题记录:[安洵杯 2019]easy_serialize_php

[安洵杯 2019]easy_web

[安洵杯 2019]iamthinking

[安洵杯 2019]不是文件上传

2019安洵杯

[安洵杯 2019]easy_serialize_php